Good Smile Company hat den unbefugten Zugriff auf seinen Onlineshop bestätigt, bei dem eine externe Partei Kundendaten einsehen konnte. Die Datenpanne könnte persönliche Daten, Kaufhistorien und teilweise Informationen zu Zahlungskarten offengelegt haben.
Der japanische Hersteller von Sammlerartikeln, bekannt für seine beliebten Nendoroid-Figuren, hat am 23. Okt. den Sicherheitsvorfall offengelegt. Eine unbefugte dritte Partei griff zwischen dem 19. und 22. Okt. auf das Administrationssystem des Shops zu, woraufhin das Unternehmen die Website abschaltete. Ein Update vom 26. Okt. enthielt zusätzliche Informationen über den Vorfall und seine möglichen Auswirkungen auf Kunden.
Für Sammler mit offenen Bestellungen oder gespeicherten persönlichen Daten stellt sich unmittelbar die Frage, ob ihre Konten betroffen sind, ob ihre Zahlungsinformationen sicher sind und was sie tun sollten, solange der Onlineshop nicht verfügbar ist.
Welche Informationen wurden bei der Datenpanne von Good Smile Company offengelegt?
Nach Angaben von Good Smile Company griff eine unbefugte dritte Partei mehrfach auf Informationen im Administrationssystem des Onlineshops zu und sah diese ein – erstmals kurz nach 15 Uhr japanischer Standardzeit am 19. Okt. und letztmals gegen 22 Uhr am 22. Okt.
Zu den möglicherweise eingesehenen Informationen gehören:
- Persönliche Daten: Namen der Kunden, phonetische Schreibweisen der Namen, Geschlecht, Postanschriften, Telefonnummern und E-Mail-Adressen.
- Kaufdaten: Bestelldaten, Produktnamen, Mengen, Preise, Lieferadressen, Kontaktdaten der Empfänger, Zahlungsmethoden und Zahlungsstatus.
- Teilweise Zahlungskartendaten: Kartenanbieter, Ablaufdaten und die letzten vier Ziffern der Kartennummern.
Good Smile Company erklärte, dass vollständige Kartennummern, Namen der Karteninhaber und Sicherheitscodes nicht in den möglicherweise offengelegten Daten enthalten waren.
Das Unternehmen hat nicht bekannt gegeben, wie viele Kunden betroffen waren oder wie viele Datensätze möglicherweise offengelegt wurden.
Good Smile Company geht davon aus, dass der unbefugte Zugriff durch die Ausnutzung einer Schwachstelle in seinem Onlineshop-System möglich wurde. Das Unternehmen erklärte, es habe seine Sicherheitssysteme verstärkt, die vermutete Schwachstelle behoben und den Vorfall der japanischen Datenschutzbehörde, der Personal Information Protection Commission, gemeldet.
Die Schwachstelle wurde jedoch nicht öffentlich benannt, und die Untersuchung dauert an. In seinem Update vom 26. Okt. erklärte Good Smile Company, dass die Datenpanne nicht durch eine PHP-Schwachstelle verursacht worden sei, die das Unternehmen während Wartungsarbeiten am 21.–22. Okt. separat behoben hatte.
Das Unternehmen erfuhr erstmals am 23. Okt. von dem unbefugten Zugriff, nachdem es eine Benachrichtigung des Dienstleisters erhalten hatte, der seinen Onlineshop entwickelt und wartet.
Das mögliche Phishing-Risiko ähnelt den in der Berichterstattung von eSecurity Planet zum Vorfall mit ASOS-Kundendaten geäußerten Bedenken, obwohl die beiden Datenpannen unterschiedliche Ursachen hatten.
Welche Good-Smile-Company-Shops und Zahlungsdienste waren betroffen?
Good Smile Company stellte klar, dass mehrere verbundene Shops und Dienste auf separaten Systemen betrieben werden und von diesem Vorfall nicht betroffen waren.
Dazu gehören Good Smile Company US, Good Smile Company Europe Online Shop, Good Smile Company Europe, Good Smile Company UK, Nendoroid Face Maker und der Marketplace-Shop des Unternehmens bei Rakuten.
Das Unternehmen erklärte außerdem, dass mit Käufen über externe Zahlungsdienste wie Amazon Pay und PayPal verbundene Kreditkarteninformationen nicht über den kompromittierten Shop offengelegt wurden, da diese Zahlungsdaten nicht auf seinen Servern gespeichert waren.
Diese Unterscheidung schließt jedoch nicht zwangsläufig aus, dass zugehörige Bestell- oder Kontaktdaten offengelegt wurden. Der betroffene Onlineshop bleibt vorübergehend geschlossen, und Good Smile Company hat noch keinen Termin für die Wiedereröffnung bekannt gegeben. Das Unternehmen erklärte, dass es bestehende Bestellungen und für Oktober geplante Vorbestellungen weiterhin bearbeitet und versendet, obwohl der Onlineshop nicht verfügbar ist.
Kunden, bei denen während der Schließung des Shops Zahlungsfehler auftreten, können den Support kontaktieren. Good Smile Company erklärte, dass betroffene Vorbestellungen aufgrund dieser Fehler nicht automatisch storniert werden.
Was Kunden von Good Smile Company jetzt tun sollten
Good Smile Company erklärte, dass es allen Mitgliedern eine E-Mail schicken werde, einschließlich ehemaliger Mitglieder, die ihre Konten nach dem Vorfall geschlossen haben. Außerdem will das Unternehmen potenziell betroffene Kunden im weiteren Verlauf der Untersuchung individuell benachrichtigen.
Obwohl das Unternehmen nicht bestätigt hat, dass die offengelegten Daten für Phishing oder Finanzbetrug verwendet wurden, könnten Kontaktdaten und Bestellhistorien von Kunden Kriminellen dabei helfen, überzeugende betrügerische Nachrichten zu erstellen.
Ein Angreifer könnte sich auf einen tatsächlichen Kauf, eine Lieferadresse oder eine Zahlungsmethode beziehen, um einen Kunden zur Preisgabe weiterer Informationen zu bewegen.
Kunden sollten folgende Vorsichtsmaßnahmen beachten:
- Benachrichtigungen über die Datenpanne unabhängig überprüfen. Die offizielle Support-Website von Good Smile Company direkt aufrufen, anstatt Links in E-Mails oder Textnachrichten zu folgen.
- Auf gefälschte Liefer- und Zahlungsaufforderungen achten. Nachrichten mit der Behauptung, eine Bestellung erfordere eine sofortige Zahlung, Kontobestätigung oder Aktualisierung der Karteninformationen, mit Misstrauen begegnen.
- Zahlungsaktivitäten überprüfen. Kontoauszüge auf unbekannte Transaktionen prüfen und den Kartenanbieter kontaktieren, wenn verdächtige Abbuchungen auftauchen.
- Konten schützen. Obwohl Passwörter nicht als offengelegt identifiziert wurden, sollten Sie für Ihre Konten einzigartige Passwörter verwenden und, sofern unterstützt, die Multifaktor-Authentifizierung aktivieren. Seien Sie vorsichtig bei unaufgeforderten Anfragen zum Zurücksetzen von Passwörtern.
- Aufzeichnungen zu Vorbestellungen aufbewahren. Bestätigungs-E-Mails und Transaktionsdetails speichern, solange der Onlineshop nicht verfügbar ist.
Kunden, die ihre Konten bei Good Smile Company schließen möchten, können über das offizielle Supportformular des Unternehmens einen Antrag stellen. Dieses wird unabhängig vom betroffenen Onlineshop betrieben.
Für zusätzlichen Kontext zur Sicherheit von Kundenkonten untersucht die Berichterstattung von eSecurity Planet über die Datenpanne bei Capcom mit 11,7 Millionen betroffenen Datensätzen einen weiteren Vorfall bei einem großen japanischen Unterhaltungsunternehmen.
Wer sich wegen Risiken im Zusammenhang mit der eigenen Identität sorgt, kann auch die Berichterstattung von eSecurity Planet über die IDScan-Datenpanne mit 13 Millionen betroffenen Personen lesen, die die möglichen Folgen offengelegter persönlicher Daten beleuchtet.
Warum die Datenpanne für Kunden von Good Smile Company wichtig ist
Good Smile Company erklärte, dass vollständige Zahlungskartennummern und Sicherheitscodes nicht zu den möglicherweise eingesehenen Informationen gehörten. Offengelegte Kontaktdaten und Kaufhistorien könnten Kriminellen jedoch weiterhin dabei helfen, überzeugende Phishing-Nachrichten oder betrügerische Zahlungsaufforderungen zu formulieren.
Für Sammler könnte eine betrügerische Nachricht über eine verspätete Nendoroid-Vorbestellung oder eine fehlgeschlagene Zahlung glaubwürdig erscheinen, insbesondere wenn sie genaue Angaben aus einer früheren Transaktion enthält. Das bedeutet nicht, dass solche Betrugsversuche stattgefunden haben, zeigt aber, warum offengelegte Einkaufsdaten Sicherheitsrisiken schaffen können.
Kunden sollten unerwartete Mitteilungen zu Bestellungen, Rückerstattungen und der Wiederherstellung von Konten über offizielle Kanäle überprüfen, statt direkt darauf zu antworten. Wer eine verdächtige Zahlungsaufforderung erhält, sollte Good Smile Company direkt kontaktieren, bevor er Finanzinformationen weitergibt.
Die Untersuchung dauert an, und Good Smile Company hat nicht bekannt gegeben, wann der Onlineshop wieder öffnen wird. Bis weitere Einzelheiten bekannt werden, sollten Kunden ihre Konten überwachen, Kaufbelege aufbewahren und sich auf bestätigte Mitteilungen des Unternehmens verlassen, bevor sie auf Zahlungs- oder kontobezogene Anfragen reagieren.
Lesen Sie zu einer weiteren aktuellen Datenpanne mit offengelegten Kundendaten, wie sich die Zeabur-Datenpanne auf 321.810 Konten auswirkte und was Kunden tun sollten, um sich zu schützen.