- Wahlkommission verheimlicht Einzelheiten zu massivem Hack trotz wortkargem Verhalten
- Samsung gibt keine Informationen zu Kundenanzahl bei einem einjährigen Datenleck preis
- Shadow-Daten gestohlen, Shadow jedoch stumm
- Lyca Mobile verweigert Angaben zu Art des Cyberangriffs und den gestohlenen Daten
- MGM Resorts gibt keine Informationen preis, wie viele Kunden von Datenraub betroffen waren
- Dish gibt trotz Ransomware-Angriff keine genauen Informationen zu Anzahl der betroffenen Personen bekannt
- CommScope informierte Mitarbeiter spät über gestohlene Daten und gibt keine Informationen preis
Elektoral Commission
Im vergangenen Jahr haben wir eine Liste mit schlechtem Verhalten von Unternehmensriesen zusammengestellt, als sie mit Hacks und Sicherheitsverletzungen konfrontiert waren. Dies umfasste alles, angefangen damit, die realen Auswirkungen von Lecks persönlicher Informationen herunterzuspielen bis hin zur Nichtbeantwortung grundlegender Fragen.
Wie sich herausstellt, machen in diesem Jahr viele Organisationen weiterhin die gleichen Fehler. Hier ist das diesjährige Dossier darüber, wie man nicht auf Sicherheitsvorfälle reagieren sollte.
Der Wahlkommission verschwieg ein Jahr lang Einzelheiten zu einem massiven Hack, blieb aber dennoch wortkarg
Die Wahlkommission, die als Aufsichtsbehörde für Wahlen im Vereinigten Königreich verantwortlich ist, hat verheimlicht, dass sie von “feindlichen Akteuren” angegriffen wurde, die die persönlichen Daten von bis zu 40 Millionen Wählern im Vereinigten Königreich, darunter vollständige Namen, E-Mail-Adressen, Wohnadressen, Telefonnummern und alle persönlichen Bilder, die an die Kommission geschickt wurden, abgerufen haben.
Obwohl es sich anhört, als ob die Wahlkommission offen über den Cyberangriff und dessen Auswirkungen war, ereignete sich der Vorfall im August 2021, also vor etwa zwei Jahren, als die Hacker erstmals Zugang zu den Systemen der Kommission erlangten. Es dauerte noch ein Jahr, bis die Kommission die Hacker bei ihrer Tat ertappte. Es wurde berichtet, dass die Aufsichtsbehörde im gleichen Zeitraum beim Tests für Cybersicherheit versagt hatte, als die Hacker Zugang zur Organisation erlangten. Es wurde noch nicht enthüllt, wer den Einbruch begangen hat, oder ob es bekannt ist, und wie die Kommission gehackt wurde.
Samsung will nicht sagen, wie viele Kunden von einem einjährigen Datenleck betroffen sind
Samsung hat es erneut auf unsere Liste der schlecht gehandhabten Sicherheitsverletzungen geschafft. Der Elektronikriese verfolgte wieder seinen typisch wortkargen Ansatz, als er mit Fragen zu einem einjährigen Datenleck in seinen Systemen konfrontiert wurde, durch das Hacker Zugriff auf die persönlichen Daten seiner in Großbritannien ansässigen Kunden erlangt haben. In einem im März an betroffene Kunden versandten Schreiben gab Samsung zu, dass Angreifer eine Sicherheitslücke in einer nicht näher genannten Anwendungssoftware eines Drittanbieters ausnutzten, um die nicht näher spezifizierten persönlichen Informationen von Kunden zu erlangen, die zwischen Juli 2019 und Juni 2020 Einkäufe in seinem Geschäft im Vereinigten Königreich getätigt hatten.
In dem Schreiben hat Samsung zugegeben, dass es bis November 2023 gedauert hat, bis das Leck behoben wurde. Auf die Frage von TechCrunch weigerte sich der Technologieriese jedoch, weitere Fragen zu dem Vorfall zu beantworten, wie beispielsweise, wie viele Kunden betroffen waren oder wie die Hacker Zugang zu seinen internen Systemen erlangten.
Hacker stahlen Shadow-Daten, und Shadow wurde stumm
Der französische Cloud-Gaming-Anbieter Shadow macht seinem Namen alle Ehre, wie sich bei einer Sicherheitsverletzung zeigte. Die Hacker führten einen “fortgeschrittenen Social-Engineering-Angriff” gegen einen Mitarbeiter von Shadow durch, der ihnen Zugang zu den privaten Daten der Kunden verschaffte, wie aus einer E-Mail hervorgeht, die an die betroffenen Kunden von Shadow versandt wurde.
Die genauen Auswirkungen des Vorfalls sind jedoch unbekannt. TechCrunch erhielt eine Datenprobe, die private API-Schlüssel enthielt, die den Kundenkonten zugeordnet sind. Auf Anfrage von TechCrunch weigerte sich das Unternehmen, einen Kommentar abzugeben, und wollte auch nicht sagen, ob es die französische Datenschutzbehörde CNIL von der Sicherheitsverletzung, wie es nach europäischem Recht erforderlich ist, informiert hat. Das Unternehmen unterließ es auch, den Vorfall außerhalb der E-Mails, die an betroffene Kunden versandt wurden, öffentlich zu machen.
Lyca Mobile verweigerte die Angabe, welcher Art von Cyberangriff sie ausgesetzt waren
Lyca Mobile, der in Großbritannien ansässige virtuelle Mobilfunknetzbetreiber, gab im Oktober bekannt, dass sie Opfer eines Angriffs auf Millionen ihrer Kunden geworden sei. Lyca Mobile bestätigte, dass unbekannte Angreifer “zumindest einige der persönlichen Informationen in unserem System” während des Angriffs abgerufen hatten.
Es ist nun über zwei Monate her, und Lyca Mobile hat immer noch nicht gesagt, welche Daten aus ihren Systemen gestohlen wurden (obwohl sie auch sensible persönliche Informationen wie Kopien von Ausweisen und finanzielle Daten speichern) oder wie viele ihrer 16 Millionen Kunden von der Sicherheitsverletzung betroffen waren. Trotz wiederholter Anfragen von TechCrunch hat das Unternehmen auch die Art des Vorfalls nicht kommentiert, obwohl die Sicherheitsverletzung wie Ransomware aussieht.
MGM Resorts hat immer noch nicht gesagt, wie viele Kunden nach dem Hack Daten gestohlen wurden
Die Sicherheitsverletzung bei MGM Resorts ist eine der eindrucksvollsten des Jahres 2022. Bei dem Vorfall konnten sich Hacker, die mit der Gruppe Scattered Spider in Verbindung gebracht wurden, Zugang zu den Systemen des Unternehmens verschaffen, um Kundenkonten zu kompromittieren. MGM gab an, dass der Vorfall dem Unternehmen mindestens 100 Millionen Dollar kosten wird.
MGM enthüllte zunächst, dass es von Hackern ins Visier genommen wurde, und es sollte bis Oktober dauern, bis das Unternehmen in einer Behördeneinreichung bestätigte, dass das angreift. Das umfasst Kundennamen, Kontaktdaten, Geschlecht, Geburtsdaten, Führerscheinnummern sowie Sozialversicherungs- und Reisepassscans für einige Kunden.
Es ist nun mehr als drei Monate später, und wir wissen immer noch nicht, wie viele Kunden von MGM betroffen waren. Die Sprecher von MGM haben wiederholt abgelehnt, auf die Fragen von TechCrunch zu dem Vorfall zu antworten.
Dish verletzt möglicherweise Millionen – vielleicht noch mehr
Im Februar bestätigte der Satelliten-TV-Gigant Dish in einer öffentlichen Einreichung, dass ein Ransomware-Angriff für eine anhaltende Störung verantwortlich war, und warnte davor, dass Hacker aus seinen Systemen Daten exfiltriert haben , frustriert von dem Schweigen des Unternehmens, dass die Auswirkungen des Vorfalls weit über die etwa 10 Millionen Kunden von Dish hinausgehen könnten. Ein ehemaliger Dish-Händler teilte TechCrunch mit, dass die von den Hackern gestohlenen Daten persönliche Informationen von bis zu 2,2 Millionen Personen enthielten, einschließlich Namen, Geburtsdaten, E-Mail-Adressen, Telefonnummern, Sozialversicherungsnummern und Kreditkarteninformationen. Die Person sagte, dass diese Informationen unbefristet gespeichert werden, auch für potenzielle Kunden, die die anfängliche Kreditprüfung von Dish nicht bestanden haben.
CommScope informierte seine eigenen Mitarbeiter spät darüber, dass ihre Daten gestohlen wurden
TechCrunch erfuhr von bei der Firma, bei der ihre persönlichen Informationen betroffen waren. Das in North Carolina ansässige Unternehmen, das Netzwerkinfrastrukturprodukte für eine Reihe von Kunden entwirft und herstellt, wurde im April von der Ransomware-Gruppe Vice Society ins Visier genommen. Die von der Gruppe veröffentlichten Daten, , umfassten die persönlichen Daten Tausender von CommScope-Mitarbeitern, darunter vollständige Namen, Postanschriften, E-Mail-Adressen, persönliche Telefonnummern, Sozialversicherungsnummern, Reisepassscans und Bankkontoinformationen.
CommScope lehnte es ab, unsere Fragen im Zusammenhang mit den durchgesickerten Mitarbeitersdaten zu beantworten, und unterließ es auch, die betroffenen Personen zu informieren. Mehrere Mitarbeiter teilten TechCrunch damals mit, dass das Unternehmen wenig darüber gesagt hat, außer dass es “keine Beweise” dafür vorliegen hat, dass Mitarbeiterdaten involviert waren.
