Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine inzwischen geschlossene Sicherheitslücke in der Luca-App bemängelt. Zuvor hatte der IT-Sicherheitsexperte Marcus Mengs in einem Youtube-Video vorgeführt, wie er theoretisch ein an die Luca-App angebundenes Gesundheitsamt lahmlegen könnte. Mengs hatte dazu als Luca-Nutzer bestimmte Sonderzeichen in die Eingabefelder für seine eigenen Daten eingegeben, beispielsweise ins Feld für die Postleitzahl seiner Anschrift. Diese Sonderzeichen hätten von dem Microsoft-Office-System im Gesundheitsamt als Programmcode interpretiert werden können. Diese Angriffsmethode wird als "Code-Injection" bezeichnet.
Das BSI teilt über Twitter mit: "Wir schätzen das Angriffs-Szenario einer Code-Injection über das Luca-System abhängig von der konkreten Einsatzumgebung als plausibel ein."