Im dekompilierten APK-Binary der Audi HR-App findet sich ein fest einprogrammiertes Testpasswort: #audi4ringe. Dieser Demo-Account umgeht sämtliche Sicherheitsmechanismen — inklusive der Zwei-Faktor-Authentifizierung. Das Ergebnis: Zero Authentication für ein Backend mit 87.000 Mitarbeiterdatensätzen.
Die Audi HR-App ist öffentlich im Google Play Store verfügbar. Eine statische Analyse des dekompilierten APK-Binaries offenbart:
#audi4ringe — als String-Literal in der APKDiese Kombination eliminiert jede Authentifizierungsbarriere zwischen dem öffentlichen Internet und dem Audi HR-Backend.
Hartcodierte Credentials in öffentlichen Apps sind ein bekanntes Anti-Pattern (CWE-798). Bei Audi kommt erschwerend hinzu:
#audi4ringe ist kein zufälliger String — es folgt Audi-Branding und wurde offensichtlich als Testpasswort gewählt, aber nie entferntIdentifiziert durch statische Analyse des öffentlich verfügbaren APK-Binaries. Kein Login durchgeführt. Keine Daten extrahiert. Keine Systeme zugegriffen. Reine Code-Analyse gemäß ISO 29147.
Die Credentials wurden im dekompilierten Quellcode identifiziert, nicht durch Brute-Force oder Social Engineering.
Statische Analyse öffentlich verfügbarer APKs aus dem Google Play Store. Kein Systemzugriff. Keine Credentials getestet. Keine Nutzerdaten extrahiert. ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.