Kategorie: Hackerangriffe

Datenpanne bei PayPal-Tochter: 1,6 Millionen Kundendaten betroffen

6. Dezember 2017

Aufgrund eines Datenlecks bei TIO Networks, einem Unternehmen von Paypal, hat der Online-Bezahldienst bekanntgegeben, dass circa 1,6 Millionen Kundendaten abhanden gekommen sein könnten.

TIO Networks bietet Dienste an, die Kunden das Bezahlen von Rechnungen ermöglicht, die ansonsten keinen einfachen Zugang zu Banken haben. Paypal hatte das Unternehmen aus Kanada im Juli dieses Jahres für circa 233 Millionen US-Dollar gekauft. Zu den betroffenen Daten gehören die persönlichen Informationen von Kunden, insbesondere deren Bankdaten und Sozialversicherungsnummern. Schon am 10. November hatte Paypal die Angebote von TIO Networks daher vorübergehend eingestellt ohne bisher eine Abschätzung abgeben zu können, wann das Unternehmen wieder den Betrieb aufnehmen kann. Auch ist bislang unklar, wer den Angriff initiiert hat und für das Datenleck verantwortlich ist.

Kunden sind angehalten, einen Service zum Schutz ihrer Identität in Anspruch zu nehmen. Darüber hinaus bietet TIO Networks seinen Kunden als Entschädigung ein kostenloses Credit Monitoring für das nächste Jahr an.

Da TIO Networks völlig unabhängig vom Paypal-Netzwerk agiert, sind Kunden von Paypal selbst allerdings nicht betroffen.

Datenpanne bei Fahrradverleiher oBike

1. Dezember 2017

Eine Radtour mit einem Leihfahrrad des Anbieters oBike mag gesund, umweltfreundlich und praktisch sein. Doch leider wurden bis vor kurzem bei einer Fahrt mit einem der gelben Fahrräder, die in Berlin, Frankfurt, Hannover und München zum Verleih stehen, auch viele Daten preisgegeben.

Journalisten vom Bayerischen Rundfunk (BR) Data und BR Recherche konnten eine Vielzahl von Nutzerdaten im Internet einsehen. Nicht nur der Abstellort wurde übermittelt, sondern ein umfangreiches Bewegungsprofil. Ohne Verschlüsselung oder anderem Schutz lag der genaue Streckenverlauf online offen. Die Smartphone-App von oBike ermöglichte zudem, den Streckenverlauf in sozialen Netzwerken zu teilen. Damit gab der Fahrradfahrer auch persönliche Daten oder Profilbilder preis. Doch auch ohne Nutzung von Social-Media-Kanälen konnten Kriminelle Nutzerdaten kopieren, darunter Namen und E-Mail-Adressen.

Nachdem sich der BR an oBike gewandt hat, wurde die Sicherheitslücke geschlossen. Das Bayerische Landesamt für Datenschutzaufsicht (LDA) wertete dieses Datenleck als Verstoß gegen das Bundesdatenschutzgesetz (BDSG). Der deutsche Firmensitz von oBike liegt in Berlin. Derzeit prüft die Berliner Beauftragte für Datenschutz und Informationsfreiheit ihre Zuständigkeit für diesen Fall.

US-Justizministerium beschuldigt Chinesen des Hackings

29. November 2017

Drei chinesische Mitarbeiter des Unternehmens Guangzhou Bo Yu Information Technologie Company Ltd. werden von dem US-Justizministerium bezichtigt, Cyber-Attacken auf den deutschen Großkonzern Siemens AG ausgeübt zu haben. Die Angriffe auf das Netzwerk von Siemens sowie zwei weiteren deutschen Unternehmen fanden zwischen den Jahren 2011 und 2017 statt.

Bei Siemens versuchten die Hacker im Sommer 2014 Passwörter und Nutzernamen abzugreifen. Im Sommer 2015 wurden erfolgreich 407 Gigabyte geschützter Daten des Unternehmens entwendet.

Siemens äußerte sich dabei aus Prinzip nicht zu Angelegenheiten, welche die interne Sicherheit betreffen. Jedoch betonte der Unternehmenssprecher, dass die Datensicherheit für das Unternehmen weltweit von höchster Priorität sei und Siemens seine Infrastruktur streng überwache und schütze.

Die drei Angeklagten befinden sich derzeit nicht in Gewahrsam und werden als Einzelpersonen behandelt, nicht als vom chinesischen Staat unterstützte Hacker. Beispiele wie dieses bestätigen Studien, die in Cyberangriffen auf Unternehmen eine allgegenwärtige und ernstzunehmende Bedrohung sehen.

Diebstahl von Millionen Kundendaten

24. November 2017

Der Fahrdienst-Vermittler Uber gab am Dienstag den 21.11.2017 bekannt, dass es im Jahr 2016 einen Hackerangriff gab, bei dem  Millionen Daten des Unternehmens gestohlen wurden.

Darunter waren sowohl ca. 50 Millionen Kundendaten sowie sieben Millionen Daten von Uber-Fahrern. Von 600.000 betroffenen Mitarbeitern des Uber Unternehmens wurden nicht nur Stammdaten, sondern ebenfalls Führerscheinnummern abgegriffen. Kreditkarten-Daten ebenso wie genauere Informationen zu den Fahrten die mit den Uber Fahrzeugen durchgeführt wurden waren jedoch kein Bestandteil des Diebstahls.

Durch das Stehlen von Stammdaten und Kontaktinformationen der Kunden war es den Hackern möglich das Unternehmen Uber zu einer Zahlung von 100.000 $ zu nötigen um im Gegenzug eine Löschung der geraubten Daten zu veranlassen.

Uber gab nun zu, dass weder Behörden noch die betroffenen Personen über den Diebstahl der Daten informiert wurden. Was genau mit den Daten passierte, nachdem die Zahlung der 100.000 $ bei den Hackern einging, ist nicht bekannt. Das Unternehmen geht jedoch davon aus, dass keine weitere Nutzung der Daten stattfand und eine Löschung durch die Hacker vollzogen wurde.

Möglich war der Hackerangriff durch eine nicht ausreichend gesicherte Datenbank. Um solch eine gravierende Sicherheitslücke zukünftig zu vermeiden wurde der bisherige Sicherheitschef entlassen.

Nach zahlreichen Skandalen rund um die Führungszeit des Uber-Chefs Travis Kalanick, die von unfairen Arbeitsbedingungen bis hin zu Sexismus-Vorwürfen reichten, erzeugt dieser Skandal erneut einen schweren Schlag für die Reputation des Unternehmens.

Kategorien: Hackerangriffe
Schlagwörter: , ,

WPA2: Sicherheitslücke aufgedeckt

19. Oktober 2017

In der WPA2-Verschlüsselung ist eine kritische Schwachstelle gefunden worden.

Die WPA2-Verschlüsselung ist üblicherweise für den Schutz der Datenübertragung im WLAN zuständig.

Zwei Sicherheitsforscher der belgischen KU Leuven haben die Schwachstelle im WPA2-Protokoll, die dazu führt, dass Angreifer den eigentlich geschützten Datenverkehr mitlesen können, aufgedeckt. Durch einen Angriff auf die Schwachstelle können persönliche Informationen belauscht und mitgeschnitten und/oder Daten manipuliert werden. Zugegriffen wird dabei auf den Verbindungsaufbau. Die Angreifer klinken sich in diesen ein und haben so Zugriff auf die nicht mehr geschützten Daten.

Das hört sich in der Theorie schlimmer an, als es in der Praxis tatsächlich ist. Durch den Angriff kann zum einen nicht das WLAN-Passwort in Erfahrung gebracht werden und zum anderen werden sehr viele Vorgänge durch SSL/TLS zusätzlich gesichert, wie beispielsweise bei HTTPS-Verbindungen die für Online-Banking oder zum Übertragen von Login-Daten  genutzt werden. Außerdem müssen die Angreifer für den Zugriff in Reichweite des WLANs sein, was zumindest zahlenmäßig große Angriffe ausschließt, da sie sehr aufwändig wären.

Die Schwachstelle kann zudem durch Software-Updates, welche von einigen Herstellern bereits angekündigt wurden,  behoben werden.

Kategorien: Allgemein · Hackerangriffe · Online-Datenschutz
Schlagwörter:

Cybercrime – Jeder zweite Deutsche war schon Opfer

12. Oktober 2017

Im vergangenen Jahr ist fast jeder zweite Deutsche Opfer von Cybercrime geworden. Dies ergab eine Umfrage im Auftrag des Digitalverbands BITKOM. Das häufigste Delikt ist dabei die Infizierung des Computers mit Schadprogrammen wie Viren. 43 Prozent der Internetnutzer wurden Opfer eines solchen Angriffs.
Bei rund jedem Fünften wurden Zugangsdaten zu Online-Diensten wie sozialen Netzwerken oder Online-Shops gestohlen (19 Prozent) oder persönliche Daten illegal genutzt (18 Prozent). Jeder Sechste (16 Prozent) ist beim Online-Shopping oder Online-Banking betrogen worden. Acht Prozent berichten von massiven Beleidigungen, fünf Prozent von sexueller Belästigung im Web. In jedem zweiten Fall von Cybercrime (54 Prozent) ist auch ein finanzieller Schaden entstanden.

„Die zunehmende Vernetzung und die verbreitete Nutzung digitaler Technologien lockt auch Kriminelle an. Internetnutzer sollten sich mit technischen Hilfsmitteln wie aktuellen Virenscannern und Firewalls schützen, zugleich muss aber auch das Wissen der Nutzer über mögliche Angriffe im Netz und Schutzmöglichkeiten verbessert werden“, fordert BITKOM-Präsidiumsmitglied Winfried Holz. Denn

Die Opfer sehen wenig Chancen die Täter zu ergreifen, so haben gut 65 % der Opfer nichts gegen die Cybercrime-Fälle unternommen. Nur 18 % haben überhaupt eine Anzeige bei den Strafverfolgungsbehörden erstattet.Rund jedes zweite Cybercrime-Opfer (45 Prozent), das keine Anzeige erstattet hat, glaubt, dass die Täter ohnehin nicht gefasst werden, jedem Dritten (34 Prozent) ist zudem der Aufwand zu hoch. 13 Prozent sagen, dass Polizei und Staatsanwaltschaft Cybercrime nicht ernst nehmen, zwölf Prozent waren sich nicht sicher, ob ihr Fall überhaupt von den Behörden verfolgt würde und acht Prozent glauben, dass sich die Ermittler mit dem Thema schlicht nicht auskennen.

Dabei sollten sich die Opfer an die Strafverfolgungsbehörden wenden. „Verbrechen in der digitalen Welt sind kein Kavaliersdelikt. Bei allen Landeskriminalämtern gibt es inzwischen eine Zentrale Ansprechstelle Cybercrime, an die sich betroffene Bürger und Unternehmen wenden können“, so Holz. „Die staatlichen Stellen müssen jetzt technologisch und personell besser ausgestattet werden, damit sie solche Vorfälle ebenso verfolgen können wie Verbrechen in der analogen Welt.“

Yahoo: Hackerangriff aus 2013 betraf mehr als drei Milliarden Nutzer

5. Oktober 2017

Der Hackerangriff auf den US-Internetanbieter Yahoo im Jahr 2013 hat nach Medienangaben alle drei Milliarden Nutzer getroffen – und somit zwei Milliarden mehr als bisher bekannt. Die Betroffenen würden per Email informiert, teilte das Unternehmen mit. Zugleich versicherte Yahoo, dass die Hacker weder Passwörter noch Bankdaten entwendet hätten. Yahoo war Anfang des Jahres von dem US-Telekommunikationskonzern Verizon übernommen worden. Danach wurden das Ausmaß und die Umstände der Cyberattacke von 2013 noch einmal überprüft.

Kategorien: Hackerangriffe
Schlagwörter: ,

Cyber-Attacken bei der Bundestagswahl

17. August 2017

Aus dem letzten Verfassungsschutzbericht des Bundesamts für Verfassungsschutz geht hervor, dass das Risiko, Opfer von Cyber-Attacken ausländischer Dienste zu werden, stetig steigt. Dabei registriert der Verfassungsschutz unter anderem vermehrt auch Attacken auf die Politik und die Verwaltung. Bei früheren Cyber-Attacken auf verschiedene Parteien und den Bundestag ist es dabei bereits zu größeren Datenabflüssen gekommen.

Im Wahljahr gerät nun auch die im September 2017 anstehende Bundestagswahl in den Fokus. Die Möglichkeit gezielter Cyber-Attacken auf das Verwaltungsnetz sieht auch der Bundeswahlleiter Dieter Sarreither. Man bereite sich auf verschieden Szenarien vor und spiele diese durch. Um einen bestmöglichen Schutz zu gewährleisten sei die Infrastruktur des Rechenzentrums verdreifacht worden. Darüber hinaus sei man nach Sarreither auch in der Lage, die Standorte und die Rechner zu wechseln. Im Ernstfall könne man außerdem auch auf das Cyber-Abwehrzentrum der Bundesregierung zurückgreifen. Des Weiteren würde das Datennetz der Wahlleitung von Experten des Bundesamtes für Sicherheit in der Informationstechnik überprüft und auf mögliche Schwachstellen hin untersucht. Rund eine Woche vor der Bundestagswahl sollen schließlich noch einmal alle Systeme in einer ausführlichen Generalprobe getestet werden.

Aufgrund all dieser Sicherheitsmaßnahmen sieht sich Sarreither für die Bundestagswahl gut gewappnet: „Eine Attacke könnte die Veröffentlichung des vorläufigen Wahlergebnisses schlimmstenfalls verzögern“.

Passwort-Vorgaben im Unternehmen: Der Vorreiter bereut sein Werk

11. August 2017

Bill Burr ist 72 Jahre alt, mittlerweile im Ruhestand und arbeitete beim National Institute of Standards and Technology, das unter anderem für Technlogiestandards zuständig ist. Er ist auch derjenige, der die Vorgaben für Passwörter verfasst hat, die mehr als ein Jahrzent als das Nonplusultra galten. Im Rahmen seines 2008 verfassten Dokumentes „NIST Special Publication 800-63. Appendix A“ empfahl er, welche Passwort-Richtlinien Behörden, Unternehmen und Webseitenbetreiber für ihre Nutzer und Mitarbeiter einführen sollten.

Konkret regte Burr an, dass Passwörter alle 90 Tage gewechselt werden sowie stets nicht nur kleine und große Buchstaben, sondern auch eine Nummer und ein Sonderzeichen enthalten sollten. Der Schutz, der durch solche Maßnahmen tatsächlich erreicht wird, ist allerdings schon seit längerem fraglich. So schätzte Microsoft-Analyst Cornac Herley schon vor Jahren, dass die Pflicht, das Passwort in regelmäßigen Abständen zu wechseln, mehr koste als eventuelle Angriffe von IT-Kriminellen, vor denen der Wechsel des Kennwortes schützen soll. Auch die Varation zwischen normalen Buchstaben, Zahlen und Sonderzeichen bringt oftmals nicht den gewünschten Effekt der höheren Sicherheit, da Nutzer in vielen Fällen einfach nur einen Begriff variieren und die einzelnen Buchstaben eines Wortes mit Sonderzeichen – wie etwa dem „$“ für ein „S“ – ersetzen. Algorithmen, die dafür genutzt werden, Passwörter erraten zu können, können diese Varationen leicht erraten.

Wie Burr in einem Interview mit dem Wall Street Journal erklärte, bereue er seine Empfehlungen mittlerweile: „Vieles von dem, was ich getan habe, bereue ich.“ Sein Problem war vor allem, dass 2003 der Kenntnisstand über den effektiven Schutz von Passwörtern sehr gering war und er sich daher laut seinen Angaben im Interview auf ein Paper aus den 1980er Jahren stützte. Einem Jahrzent, in dem nur Wenige überhaupt ein Computerpasswort benutzten.

Nicht nur deswegen hat der NIST in diesem Sommer Burrs Empfehlungen komplett überarbeitet. Dabei konnten sie auf die Auswertung von einer Vielzahl von Passwörtern zurückgreifen, die Hacker in den letzten Jahren nach Angriffen auf beliebte Webseiten geknackt und ins Netz gestellt hatten. Dies half dem NIST, zu verstehen, wie Nutzer ihre Kennwörter auswählen und wie leicht sie für Hacker zu knacken sind. Nach Ansicht des NIST empfiehlt es sich daher, Passwörter aus möglichst mehreren Wörter zu bilden, sodass ein langes Passwort entsteht. Die Nutzung von Sonderzeichen und Zahlen ist dabei nicht mehr erforderlich.

Cyberangriff auf UniCredit-Bank: Informationen von 400.000 Kunden ausgelesen

28. Juli 2017

Hackern gelang es durch einen Cyberangriff an Kontodaten von über 400.000 italienischen Kunden der UniCredit-Bank zu kommen. Das Unternehmen bestätigte den Angriff, unterstreicht allerdings auch, dass keine besonders kritischen Daten, wie Passwörter, kopiert wurden, die für einen Zugriff auf Kundenaccounts oder illegale Transaktionen genutzt werden könnten. Sicher ist jedoch, dass persönliche Informationen und die IBAN-Nummern der Kunden abhanden gekommen sind.

Bereits Ende 2016 war die UniCredit-Bank in das Visier von Hackern geraten und erlebt damit nun bereits den zweiten Cyberangriff innerhalb von zehn Monaten. Nach Angaben des Unternehmens soll der Zugriff auf die Daten über einen „unautorisierten Zugang durch einen italienischen Dienstleister“ erfolgt sein.

Die UniCredit-Bank will nun 2,3 Milliarden Euro investieren, um die eigene IT-Sicherheit zu stärken. Zu beachten ist hierbei, dass das Unternehmen für die Datensicherheit ihrer Kunden und Partner stets selbst verantwortlich bleibt, auch wenn verschiedene Prozesse – wie hier – durch Outsourcing von anderen Unternehmen im Wege der Auftragsdatenverarbeitung übernommen werden. Das Outsourcing stellt aber oftmals auch ein erhöhtes Sicherheitsrisiko dar, weshalb bei der Auswahl des Dienstleisters und den zu treffenden Sicherheitsvorkehrungen höchste Sorgfalt geboten ist. Erst recht, wenn 2018 die DSGVO in Kraft tritt und solche Datenpannen mit erhöhten Bußgeldern geahndet werden können.

1 2 3 11