Ein Cyberangriff auf einen japanischen E-Mail-Versanddienst könnte etwa 77 Millionen E-Mail-Adressen offengelegt haben, während die Angreifer die kompromittierte Plattform mutmaßlich nutzten, um Millionen verdächtiger Nachrichten zu verbreiten.
Paycloud Holdings, die Muttergesellschaft von Arara, gab den Vorfall am 2. Nov. bekannt und erklärte, dass ein unbefugter Zugriff auf die Infrastruktur des Dienstes Arara Message möglicherweise 97 Server und etwa 380 Kundenunternehmen betroffen habe.
Die Angreifer versendeten Berichten zufolge zwischen dem 28. und 30. Okt. bis zu 7,13 Millionen verdächtige E-Mails, in denen sie sich als Kreditkartenunternehmen ausgaben und versuchten, die Empfänger zu täuschen.
Paycloud betonte, dass sich die Zahl von 77 Millionen auf E-Mail-Adressen und nicht auf einzelne Nutzer bezieht. Einige Personen verfügen möglicherweise über mehrere Adressen, und das Unternehmen untersucht noch, wie viele Informationen tatsächlich entwendet wurden.
Der Vorfall geht zudem über die jüngste Offenlegung hinaus. Eine bereits zuvor gemeldete Datenpanne in einer gemeinsam genutzten Umgebung betraf 61 Unternehmen und legte 3.386.187 E-Mail-Adressen offen. Bei fünf Unternehmen wurden außerdem bis zu 411.827 Kundendatensätze mit zusätzlichen personenbezogenen Informationen entwendet.
Angreifer nutzten den Dienst auch zum Versenden von Phishing-E-Mails
Die Angreifer beschränkten ihre Aktivitäten nicht auf den Diebstahl von Informationen. Sie nutzten Arara Message ausum zwischen dem 28. und 30. Okt. bis zu 7,13 Millionen verdächtige E-Mails zu verbreiten.
Die Nachrichten gaben vor, von Kreditkartenunternehmen zu stammen, und wurden von der Absenderadresse news@arara.comversendet. Ihre Betreffzeilen enthielten Aufforderungen, in denen die Empfänger gebeten wurden, die Nutzung ihres Kontos und ihre Abrechnungsübersichten zu bestätigen.
Arara blockierte die Kommunikation aus den betroffenen Umgebungen, machte die kompromittierten Zugangsdaten ungültig und bestätigte, dass nach dem 30. Okt. keine neuen verdächtigen E-Mails versendet worden waren.
Das Unternehmen stellte den gesamten Dienst Arara Message am 31. Okt. ein. Einen Termin für die Wiederaufnahme hat es noch nicht angekündigt.
Gemeinsam genutzte E-Mail-Infrastruktur schafft ein größeres Sicherheitsproblem
Der Vorfall verdeutlicht die Risiken beim Umgang von Unternehmen mit E-Mail-Diensten von Drittanbietern. Unternehmen verwalten möglicherweise ihre eigenen Kundendatenbanken und Sicherheitskontrollen, sind für die Kommunikation mit Kunden in großem Maßstab jedoch häufig auf externe Plattformen angewiesen.
Diese Abhängigkeit birgt ein Konzentrationsrisiko. Ein erfolgreicher Einbruchin einen Dienstanbieter kann Informationen von Hunderten ansonsten voneinander unabhängigen Unternehmen offenlegen.
Für Unternehmen könnten die Folgen über die gesetzlichen Benachrichtigungspflichten hinausgehen. Gestohlene E-Mail-Adressen in Kombination mit Namen, Telefonnummern und Mitgliederdaten liefern Angreifern zusätzliches Material für überzeugende Phishing-Kampagnen.
Arara überarbeitete außerdem seine Darstellung des Vorfalls und erklärte, dass der Einbruch neben einer Schwachstelle in einem Webserver auch Probleme in seiner Systemumgebung betraf. Dies deutet darauf hin, dass die Behebung einer einzelnen verwundbaren Komponente möglicherweise nicht ausreicht, um das Vertrauen in die Plattform wiederherzustellen.
Für Unternehmen, die gemeinsam genutzte Kommunikationsplattformen einsetzen, unterstreicht der Vorfall, wie wichtig es ist zu verstehen, wie Anbieter Kundendaten schützen, Zugriffe verwalten und reagieren, wenn ihre Systeme kompromittiert werden.
Worauf betroffene Nutzer achten sollten
Personen, die über Unternehmen, die Arara Message nutzen, Marketing-E-Mails, Mitgliederinformationen oder andere Mitteilungen erhalten, sollten auf unerwartete Nachrichten und Anrufe achten. Die bestätigte Phishing-Kampagne macht dies besonders wichtig. Angreifer könnten die Vertrautheit mit legitimen Unternehmen ausnutzen, damit betrügerische Aufforderungen echt erscheinen.
Nutzer sollten nicht auf unerwartete Links zur Zahlungsabwicklung oder Kontobestätigung klicken, keine Passwörter weitergeben und bei unaufgeforderten Anrufen keine persönlichen Informationen preisgeben. Stattdessen sollten sie Unternehmen über unabhängig verifizierte Websites oder Kundendienstkanäle kontaktieren.
Unternehmen, die Arara Message nutzen, müssen ebenfalls umgehend handeln. Sie müssen feststellen, ob ihre Kundendaten betroffen waren, das mögliche Ausmaß der Offenlegung bewerten und Kunden gegebenenfalls warnen. Arara plant, von den Kundenunternehmen vor der Wiederaufnahme des Dienstes das Zurücksetzen von Administratorkennwörtern, API-Schlüsseln und anderen Zugangsdaten zu verlangen.
Das Unternehmen hat die japanischen Behörden, darunter die Kommission für den Schutz personenbezogener Daten, informiert und den Vorfall der Polizei gemeldet. Die finanziellen Auswirkungen werden noch geprüft.
Für Unternehmen, die auf Kommunikationsplattformen von Drittanbietern angewiesen sind, zeigt die Arara-Datenpanne, wie ein Sicherheitsversagen bei einem Anbieter Kundendaten offenlegen, wichtige Dienste unterbrechen und bei Hunderten von Organisationen Phishing-Risiken schaffen kann.
Weitere Nachrichten aus der Cybersicherheit: Google hat das XCPE-Botnetz gestört, das mehr als 1,3 Millionen Android-Geräte kompromittiert hatte, nachdem das Unternehmen Videostrong Technology vorgeworfen hatte, eine Hintertür auf Firmware-Ebene eingebaut zu haben, die es Kriminellen ermöglichte, Geräte für Proxy-Dienste für Privathaushalte, Werbebetrug und die Verbreitung von Schadsoftware zu kapern.