Kundendaten von BitDefender im Klartext erbeutet und Firma erpresst

Auch Unternehmen, die sich der IT-Sicherheit verschrieben haben, bergen nicht unbedingt die Garantie, auf die einfachsten Standards im Umgang mit den Daten ihrer Kunden zu achten. Das zeigt ein Hack, der die Security-Firma BitDefender getroffen hat und in dessen Folge Anwender-Informationen öffentlich wurden. Das Unternehmen räumte ein, mit einem Sicherheits-Problem zu kämpfen zu haben. Betroffen sei eine einzelne Komponente des Cloud-Angebotes gewesen. Dem Angreifer sei es keineswegs gelungen, direkt in den Server einzudringen, trotzdem habe dieser Zugriff auf einen Teil der Nutzerdaten erhalten. BitDefender spricht hier davon, dass nur ein sehr kleiner Teil von etwa einem Prozent der Kunden aus dem Segment der kleineren und mittleren Firmen betroffen sei. Privatkunden und Enterprise-User hätten nicht dazugehört.

Dem US-Magazin Forbes ist es gelungen, mit dem Angreifer in Kontakt zu treten. Dieser konnte dabei eine Reihe von Datensätzen präsentieren, die Nutzernamen, E-Mail-Adressen und Passwörter enthielten. Nach seinen Angaben war der Zugriff auf diese im Klartext möglich, obwohl es eigentlich längst normal sein sollte, insbesondere Passwörter ausschließlich verschlüsselt aufzubewahren.

Umfang der Beute unklar

Welchen Umfang die erbeuteten Daten haben, ist unklar. Gezeigt wurden rund 250 Datensätze, bei denen es sich angeblich nur um einen Teil des kompletten Bestandes handle. Laut dem Angreifer, der unter dem Pseudonym DetoxRansome agiert, habe das Problem in der Verwendung der Amazon-Cloud durch BitDefender gesteckt. Der Dienst Amazon Elastic Web sei bekannt für seine Probleme bei der SSL-Sicherheit, was der Attacke den Boden bereitete.

DetoxRansome ging es keineswegs darum, auf ein bestehendes Problem aufmerksam zu machen. Er versuchte statt dessen BitDefender zu erpressen. Er drohte damit, dass die kompletten Nutzerdaten im Klartext im Internet landen, wenn das Unternehmen nicht 15.000 Dollar zahlt. Die Firma ging auf die Forderung nicht ein, sondern übergab die ganze Angelegenheit an die Ermittlungsbehörden. Hacker, Hack, Usb, Usb Stick, Hacked muyseguridad