Ein Vorfall, der selbst in der Welt der Datenschutzpannen heraussticht: Rund 270.000 Datensätze von Kunden des deutschen Samsung-Shops sind in einem Hackerforum aufgetaucht. Besonders bitter: Die Sicherheitslücke existierte offenbar seit Jahren - und wurde nie geschlossen. (via WinFuture)
Daten öffentlich zugänglich - für 2 Euro
Ein Hacker mit dem Pseudonym “GHNA” veröffentlichte die sensiblen Daten kürzlich auf BreachForums, einer bekannten Plattform für gestohlene Informationen. Die geleakten Informationen umfassen personenbezogene Daten, Bestellverläufe, Support-Tickets und sogar die interne Kommunikation von Mitarbeitenden.
Das Pikante: Die Daten sind nicht durch einen spektakulären Zero-Day-Hack erbeutet worden, sondern durch uralt-kompromittierte Zugangsdaten, die seit 2021 im Umlauf sind. Sie stammen ursprünglich von einem infizierten Rechner eines Mitarbeiters der Spectos GmbH - dem Dienstleister, der das Serviceportal unter samsung-shop.spectos.com betreibt.
Eine vergessene Sicherheitslücke
Die Schadsoftware hinter dem Angriff heißt Raccoon Infostealer - bekannt dafür, Zugangsdaten aus Browsern und Programmen zu stehlen. Die betroffenen Zugangsdaten waren laut dem Cybersicherheitsunternehmen Hudson Rock schon jahrelang in deren Datenbank vermerkt. Dennoch: Samsung bzw. Spectos haben es offenbar versäumt, die Admin-Zugänge zu deaktivieren oder zu ändern.
Ergebnis: Der Angreifer konnte sich mit legitimen (!) Admin-Zugangsdaten einloggen - und ganz offiziell auf das System zugreifen.
Was ist in den Daten drin?
Die veröffentlichten JSON-Datensätze enthalten:
- Namen und Kontaktdaten von Kund:innen
- Bestellnummern und Versandinformationen
- Support-Tickets mit Problembeschreibungen
- Interne Notizen, Bewertungen und Eskalationsverläufe
Was das Ganze noch bedenklicher macht: Die Daten wurden praktisch verschenkt. Für symbolische zwei Euro konnte jeder die vollständige Sammlung erwerben - was das Risiko für Missbrauch durch Phishing, Social Engineering oder Betrugsversuche deutlich erhöht.
Schweigen aus Korea
Samsung selbst hat sich bisher nicht zu dem Vorfall geäußert. Die Echtheit der Daten gilt allerdings als weitgehend gesichert. Metadaten, Support-IDs und authentische Agentenkontaktdaten belegen, dass es sich wohl kaum um Fakes handelt.
Die Datenschutz-Grundverordnung (DSGVO) könnte Samsung nun teuer zu stehen kommen. Neben dem Reputationsschaden drohen empfindliche Bußgelder - und eine ganze Welle an Kundenbeschwerden.
Kommentare (0)