Hacker bekommen bei McDonalds alles gratis

Ein Trio aus Deutschland hat einen Weg gefunden, um nie wieder bei McDonalds bezahlen zu müssen. Dazu benötigen sie lediglich die offizielle McDonalds App, mit der in den Filialen bestellt und bezahlt werden kann, zwei Smartphones und ein Notebook, berichtet Vice.

Für den Hack nutzen Lenny Bakkalian, David Albert und Mats Tesch zwei Sicherheitslücken. Mit der ersten gibt es nur ein kleines Gratis-Getränk. Dazu haben sie einen Gutschein-Generator erstellt. Dieser basiert auf dem McDonalds-Umfrageprogramm, das auf den Rechnungen der Fastfood-Kette zu finden ist. Nimmt man an der Umfrage teil, gibt es das Gratis-Getränk. Weil die Umfrage-Website schlecht gesichert ist, kann der Generator beliebig oft eine abgeschlossene Umfrage vorgaukeln und so den Gutschein-Code für das Getränk erstellen.

Gutschein-Code für alles

Den zweiten Teil haben die Hacker direkt in einer McDonalds-Filiale demonstriert. Auf einem Smartphone wird ein Internet-Hotspot aufgemacht. Das Notebook dient als Proxy-Server für das zweite Smartphone, kann also Daten zwischen dem zweiten Smartphone und dem Hotspot auslesen und manipulieren.

In der offiziellen McDonalds-App des zweiten Smartphones wird jetzt der generierte Code für das Gratis-Getränk eingegeben. Danach werden weitere, kostenpflichtige Speisen hinzugefügt. Über das Notebook ist der Code für diese Bestellung sichtbar. Mit einem Tool wird der jetzt verändert und zurück an die App geschickt. Diese glaubt jetzt, der Coupon für das Gratis-Getränk gilt für die gesamte Rechnung und setzt diese auf 0.

McDonalds will das Geld nicht

Mit einem Antippen auf „Abschließen und 0,00 Euro bezahlen“ ist in der App die Bestellung aufgegeben, ohne dafür bezahlen zu müssen. Auch beim Abholen am Schalter gibt es keine Probleme – was die drei Hacker nicht freut. Sie erklären dem Schichtleiter die Situation und bitten mehrmals darum, die 17 Euro bezahlen zu dürfen – dieser lehnt aber ab. Anscheinend sei es zu umständlich, die 17 Euro im Nachhinein im Kassasystem zu verbuchen.

Bei einem anderen Test in Berlin haben sie mit derselben Methode 15 Burger im Wert von über 100 Euro bestellt. Allerdings haben sie vorher das Personal informiert, damit die Bestellung vor der Zubereitung storniert werden konnte. Sie sagen, lediglich die Sicherheitslücke aufdecken und nicht davon profitieren zu wollen.

Mehrere Wochen nachdem sie die Sicherheitslücke an McDonalds gemeldet haben, wurde diese schließlich geschlossen. Die drei hätten auch eine Belohnung von McDonalds erhalten. Ob das Geld oder Gutscheine für Gratis-Essen sind, ist nicht bekannt.