Pizza Hut Japan: Angreifer stehlen Session-Tokens über Zahlungs-API

Ein Sicherheitsvorfall bei Pizza Hut Japan verdeutlicht die anhaltenden Risiken durch kompromittierte Programmierschnittstellen und abgefangene Sitzungsdaten.

Am 19. Oktober 2026 kam es zu einem unbefugten Zugriff auf die Zahlungs-API des Unternehmens. Dabei erlangten die unbekannten Angreifer Zugriff auf sensible Datensätze. Betroffen sind unter anderem Kunden-IDs, E-Mail-Adressen, Telefonnummern, bereits gelöschte Kundeninformationen, Transaktionsaufzeichnungen sowie Session-Login-Tokens.

Wie Pizza Hut Japan mitteilte, waren Kreditkartendaten von dem Vorfall nicht betroffen. Das Unternehmen reagierte auf den Sicherheitsbruch, indem es die identifizierten IP-Adressen der Angreifer sperrte und die ausgenutzten Schwachstellen im System schloss.

Um betroffene Verbraucher zu unterstützen, richtete die Kette eine telefonische Kontaktstelle unter der Rufnummer 0120-679-023 ein, die täglich von 10:00 bis 19:00 Uhr erreichbar ist. Zudem warnte das Unternehmen vor betrügerischen E-Mails und Kurzmitteilungen, die den Namen von Pizza Hut missbrauchen, um Phishing-Angriffe durchzuführen.

Wachsende Bedrohung durch Token-Diebstahl

Der Vorfall bei dem Gastronomieunternehmen steht im Kontext einer branchenweiten Zunahme von Angriffen, die gezielt auf Sitzungsdaten abzielen. Da Session-Tokens nach einer erfolgreichen Anmeldung zur Authentifizierung dienen, erlauben sie Cyberkriminellen unter bestimmten Umständen die Umgehung bestehender Sicherheitsbarrieren.

Angesichts der steigenden Zahl von Hackerangriffen auf digitale Konten ist der Wechsel zu modernen Anmeldeverfahren wichtiger denn je. Dieser kostenlose Report zeigt, wie Sie Passkeys bei großen Diensten wie Amazon oder WhatsApp einrichten und so Ihre Sicherheit massiv erhöhen. Passkey-Report jetzt kostenlos herunterladen

Welche Ausmaße der Missbrauch von Sitzungstokens annehmen kann, belegen aktuelle Analysen des IT-Sicherheitsdienstleisters Huntress. Das Unternehmen dokumentierte eine koordinierte Token-Replay-Kampagne gegen Microsoft-365-Umgebungen: Im Zeitraum vom 14. Juli 2026 bis zum 22. September 2026 verzeichnete Huntress rund 497 erfolgreiche, nicht autorisierte Anmeldungen bei 79 Organisationen, denen mehr als 200.000 Fehlversuche gegenüberstanden.

Bei dieser Kampagne fing ein sogenanntes Adversary-in-the-Middle-Relay die Session-Tokens legitimer Nutzer ab. Durch die direkte Wiederverwendung dieser Tokens gelang es den Angreifern, Multi-Faktor-Authentifizierungen (MFA) vollständig zu umgehen.

Zwischen dem Diebstahl eines Tokens und dessen missbräuchlicher Nutzung vergingen teilweise lediglich 4 bis 12 Minuten. In der Folge registrierten die Angreifer 48 nicht autorisierte Microsoft-Entra-Geräte. Bei 19 Organisationen wurden bestehende MFA-Methoden entfernt und innerhalb von 3 Stunden nach dem Erstzugriff neue Methoden hinterlegt.

Infrastruktur und Schutzmaßnahmen

Die Analyse von Huntress ergab zudem, dass die Angreifer in mehreren Wellen zwischen sechs IP-Adressen aus dem Bereich 193.26.115.0/24 wechselten. Diese Infrastruktur stammte von der Hamburger 1337 Services GmbH.

Um ihre Aktivitäten zu verschleiern, richteten die Akteure versteckte Regeln in den Posteingängen ein, die kurze Namen sowie Interpunktion nutzten, um E-Mails als gelesen zu markieren, zu löschen oder in Unterordner wie RSS-Feeds zu verschieben.

Da herkömmliche Passwörter oft die größte Schwachstelle darstellen, suchen viele Nutzer nach sichereren Alternativen gegen Datenklau. Erfahren Sie in diesem Gratis-Leitfaden, wie die neue Technologie der Passkeys funktioniert und Hackern künftig keine Chance mehr lässt. Kostenlose Anleitung für passwortlose Sicherheit sichern

Eine spezifische Regel filterte gezielt Begriffe wie „payroll“, „direct deposit“, „bank“ und „bonus“ heraus, wodurch auch Antworten eines externen Buchhalters verborgen wurden.

Allerdings konnte der Einsatz von Conditional Access bei vier Organisationen über 1.000 Anmeldeversuche einer Angreifer-IP stoppen; eine Zuordnung der Aktivitäten zu einem bestimmten Land oder einer Hackergruppe liegt laut Huntress nicht vor.

Angesichts dieser Angriffsmuster empfiehlt Huntress Organisationen die Implementierung kürzerer Token-Lebensdauern sowie den Einsatz von Continuous Access Evaluation (CAE). Zudem sollten Anmeldungen aus bekannten Proxy-Netzwerken überwacht werden. Als wirksamsten Schutz gegen das Abfangen von Tokens nennt der Sicherheitsdienstleister phishing-resistente MFA-Verfahren wie FIDO2-Sicherheitsschlüssel oder Windows Hello for Business.