Anmeldedaten von Drittanbieter gestohlen 270.000 Tickets deutscher Samsung-Kunden geleakt

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Indem er sich ganz einfach mit gestohlenen Daten beim Ticketing-Dienstleister von Samsung einloggte, konnte ein Cyberkrimineller 270.000 Tickets stehlen. Auf Have-I-Been-Pwned können Samsung-Nutzer jetzt überprüfen, ob die eigenen Daten betroffen sind.

Unglaubliche 270.000 Kundentickets von Samsung Deutschland soll ein Cyberkrimineller namens „GHNA“ gestohlen und im Internet veröffentlicht haben. Darüber berichtet der Threat-Intelligence-Spezialist Hudson Rock. Doch die Daten, die offenbar von der Domain samsung-shop.spectos.com stammen, hätte der Hacker nicht über einen ausgeklügelten Zero Day Exploit oder mithilfe eines Insiders stehlen können. Stattdessen behaupten die Analysten von Hudson Rock, dass dem jüngsten Datendiebstahl bei Samsung das Stehlen von Zugangsdaten mithilfe eines Infostealers im Jahr 2021 vorausgegangen sei.

Ausnutzung einer kritischen Schwachstelle

Sechs Millionen Datensätze bei Oracle-Breach gestohlen

So einfach hatte es der Cyberangreifer

Bereits vor vier Jahren hätte die Infostealer-Malware „Raccoon“ unbemerkt die Anmeldedaten eines Mitarbeiters von Spectos abgegriffen, einem Unternehmen, welches sich auf Prozessoptimierung spezialisiert hat. Die gestohlenen Anmeldedaten seien mit Samsungs deutschem Ticketsystem unter samsung-shop.spectos.com verknüpft, wie sich nun herausgestellt habe. Bis GHNA diese Login-Daten in die Hände bekommen habe und damit 270.000 Kundentickets offenlegte, seien die Anmeldeinformationen ungenutzt gewesen.

Die meisten der veröffentlichten Kundentickets würden aus diesem Jahr stammen, da die Login-Daten nie rotiert worden seien. Hudson Rock behauptet, die kompromittierten Anmeldedaten bereits vor Jahren in seiner Cavalier-Datenbank identifiziert zu haben. In dieser Datenbank dokumentiert der Hersteller kompromittierte Zugangsdaten aus Infostealer-Malware. Darin seien bereits über 30 Millionen infizierte Geräte erfasst. Darüber, ob Hudson Rock Samsung aktiv über den Vorfall informiert hat oder sogar vorab gewarnt hat, dass Anmeldedaten, die mit dem Ticketing-System verbunden sind, gestohlen wurden, geben die Analysten keine Information. Doch sie kritisieren den Smartphone-Hersteller, der hätte handeln und seine Kundendaten proaktiv schützen müssen. Ein wichtiger Punkt wäre bereits auf Seiten von Spectos das Routieren der Passwörter gewesen. Auf Samsungs Seite ist die Frage, ob überhaupt Monitoring-Lösungen eingesetzt wurden, die Drittanbieterzugänge mit überwachen, oder ob diese einfach nur versagt haben. Auch das aktive Suchen nach offengelegten Credentials wäre eine sinnvolle Maßnahme gewesen. So musste sich der Cyberkriminelle nicht aufwendig Zugang auf die Systeme von Samsung verschaffen, sondern konnte sich einfach einloggen.

Apache Tomcat

Kritische Sicherheitslücke 30 Stunden nach Bekanntwerden ausgenutzt

Diese Daten wurden gestohlen

Diese Versäumnisse von Samsung und seinem Dienstleister haben Hudson Rock zufolge dazu geführt, dass sensible Kundendaten gestohlen werden konnten. Denn die Tickets sind nicht nur Support-Protokolle, sondern sie enthalten detaillierte Informationen über den Kundenstamm von Samsung Deutschland. Zu den Informationen, die GHNA gestohlen haben soll, gehören:

• Vornamen

• E-Mail-Adressen

• Wohnadressen

• Bestellnummern

• Modellnummern

• genutzte Zahlungsmethoden

• erhaltene Preise und Rabatte

• Tracking-URLs

• Ticket-IDs

• Agenten-E-Mails

• Probleme, die in den Tickets beschrieben wurden

• Antworten der Support-Mitarbeiter

Mit diesen Informationen seien Cyberkriminelle nicht nur in der Lage, klassische Phishing-Angriffe durchzuführen, sondern auch Lieferpläne zu überwachen und Pakete zu stehlen. Deswegen appellieren die Sicherheitsexperten an Unternehmen, gestohlene Zugangsdaten proaktiv aufspüren. Denn gerade Infostealer seien keine kurzlebige Bedrohung, sondern könnten bereits Informationen gestohlen haben, die nur darauf warten würden, ausgenutzt zu werden.

Kopie der Daten in Leak-Datenbank

Auf der Leak-Datenbank Have-I-Been-Pwned ist mittlerweile eine Kopie der gestohlenen Datensätze verfügbar. Dort können Nutzer überprüfen, ob der Diebstahl sie betrifft. Laut Troy Hunt, Betreiber der Website, handelt es tatsächlich sich um 216.000 einzelne E-Mail-Adressen zusammen mit Namen und Wohnadressen.

Redline-Infostealer verbreitet sich extrem schnell

Zunahme von Infostealer-Infektionen um fast 650 Prozent

(ID:50373354)