Die gestrige Entdeckung eines Cybersicherheitsforschers sollte jedem Fitnessstudio-Mitglied das Blut in den Adern gefrieren lassen.
Jeremiah Fowler entdeckte etwas, das jeder Vorstellungskraft spottet: 1.605.345 Audiodateien lagen völlig ungeschützt online. Kein Passwort. Keine Verschlüsselung. Überhaupt kein Schutz.
Dabei handelte es sich nicht um zufällige Dateien. Es waren fünf Jahre persönlicher Telefonate und Sprachnachrichten von Fitnessstudio-Mitgliedern aus dem Zeitraum von 2020 bis 2025, verwaltet von der in Minnesota ansässigen Kommunikationsplattform Hello Gym. Mit KI-Stimmklonen , die inzwischen nur drei Sekunden Audiomaterial benötigen, um überzeugende Nachbildungen zu erstellen, macht dieser Datenverstoß jede offengelegte Stimme zu einer Waffe, die Kriminelle für gezielte Phishing-Angriffe einsetzen können.
Persönliche Sicherheitsdaten für jeden mit Internetzugang frei verfügbar
In einem Blogbeitrag vom 9. September, stellte Fowler fest, dass jede Aufnahme als leicht zugängliche .mp3-Datei in einem offenbar nur für den internen Gebrauch vorgesehenen VoIP-Speicher lag. Und die Sprachnachrichten enthielten weit mehr als einfache Anfragen zum Fitnessstudio: Sie enthielten Namen, Telefonnummern und konkrete Gründe für den Anruf – ein fertiges Profil für Angreifer.
Und es kommt noch schlimmer. In einigen Aufnahmen teilten Mitarbeiter von Fitnessstudios bei Routineanrufen ihre Namen, die Nummern ihrer Fitnessstudios und persönliche Passwörter mit.
In einer Aufnahme war zu hören, wie ein Fitnessstudio-Manager bei einem Sicherheitsdienst anrief, um für einen Test die Alarme deaktivieren zu lassen, und dabei freimütig seinen Namen, den Standort und seine Zugangsdaten mitteilte. Dieser eine Fehler verschaffte Kriminellen im Grunde die Schlüssel zu mehreren Sicherheitssystemen – plus die authentischen Stimmen, die sie ausnutzen konnten.
Stimmendiebstahl trifft auf künstliche Intelligenz – eine perfekte Katastrophe
Für die 1,6 Millionen Betroffenen hätte der Zeitpunkt kaum schlechter sein können. Microsoft-Forscher gaben bekannt , dass ihr KI-Tool VALL-E-2 bereits 2023 mit nur drei Sekunden Audiomaterial menschlich klingende Stimmklone erzeugen kann – und reale Angriffe treffen bereits Opfer.
Finanzinstitute waren Wellen von Stimmklonen ausgesetzt , die versuchten, auf Kundenkonten zuzugreifen. Eltern erhalten Erpresseranrufe mit den geklonten Stimmen ihrer Kinder, in denen sofortige Zahlungen gefordert werden. Im vergangenen Jahr nutzten Kriminelle in Hongkong Deepfake-Audio und -Videos von Unternehmensleitern, um 25 Millionen US-Dollar zu stehlen. Anfang dieses Jahres verlor eine Frau aus Florida 15.000 US-Dollar , nachdem Betrüger die Stimme ihrer Tochter mithilfe von Videos aus sozialen Medien geklont hatten.
Die Raffinesse dieser Angriffe nimmt stetig zu. Da die meisten Cyberangriffe auf menschliche Interaktion und Social Engineering setzen, machen authentische Sprachproben Betrugsversuche weitaus überzeugender.
Ihre Stimme lässt sich nicht wie ein Passwort ändern
Dieser Datenverstoß ist gefährlicher als ein typisches Datenleck.
Im Gegensatz zu Passwörtern oder Kreditkarten können Sie Ihre Stimme nicht einfach austauschen, wenn sie kompromittiert wurde. Sprachdaten könnten nach US-Richtlinien und den Gesetzen einzelner Bundesstaaten als biometrische Informationen gelten. Das bedeutet, dass dieser Datenverstoß etwas so Dauerhaftes wie einen Fingerabdruck betroffen haben könnte. Unheimlich, oder?
Cyberkriminelle können nun detaillierte Opferprofile erstellen, indem sie diese Audiodaten mit Informationen aus dem Darknet oder anderen Datenlecks abgleichen. Die Fitnessbranche hat ihre Schwachstellen bereits gezeigt: Total Fitness fiel im Januar 2021 einem Cyberangriff zum Opfer, bei dem Bankkontoinformationen und Mitgliedsvereinbarungen offengelegt wurden, die bis Juni 2018 zurückreichten.
Organisationen wird empfohlen, Verschlüsselung einzusetzen, Schwachstellentests durchzuführen, Daten zu segmentieren und ein Drittanbieter-Risikomanagement (TPRM) zu betreiben, um ähnliche Datenlecks zu verhindern. Für Einzelpersonen ist die Empfehlung klar: Gehen Sie davon aus, dass Ihre Stimme möglicherweise bereits kompromittiert wurde, und treffen Sie entsprechende Vorkehrungen. Überwachen Sie Finanzkonten genau, verifizieren Sie Telefonanrufe über alternative Kanäle und warnen Sie Familienmitglieder vor Betrugsmaschen mit Stimmklonen, bei denen Ihre authentischen Stimmmuster verwendet werden könnten.
Die Ära, in der man Stimmen am Telefon vertraute, ist vorbei – und 1,6 Millionen Menschen mussten feststellen, dass ihr persönlichster biometrischer Identifikator nun in den Händen der Bösen liegt.