Zuvor geleakte Zugangsdaten können zu einem neuen Sicherheitsrisiko werden, wenn sie in einer ungesicherten Datenbank gesammelt werden.
In einem am 12. Okt. von ExpressVPN veröffentlichten Bericht am 12. Okt. von ExpressVPN veröffentlichten Bericht, beschrieb der Cybersicherheitsforscher Jeremiah Fowler, wie er 13,7 Millionen öffentlich zugängliche Datensätze in einer mit dem indischen KI-Softwareentwickler Vibetech verknüpften Datenbank gefunden hatte.
Die Sammlung enthielt Datensätze mit Bezeichnungen wie AT&T, Amazon, Walmart und PayPal. Diese Bezeichnungen belegen keine neuen Datenlecks bei den genannten Unternehmen.
Der Vorfall macht ein anhaltendes Problem mit gestohlenen Daten deutlich. Informationen, die bei einem Datenleck kompromittiert wurden, können noch lange nach dem ursprünglichen Vorfall eine Bedrohung darstellen – insbesondere, wenn sie in eine weitere unzureichend gesicherte Datenbank. Obwohl die Datenbank Berichten zufolge nach der Meldung gesichert wurde, ist weiterhin unklar, ob unbefugte Dritte zuvor auf die Datensätze zugegriffen oder sie heruntergeladen hatten.
Details zum Vorfall
Fowler brachte die IP-Adresse der Datenbank mit einer Dateninformationsplattform in Verbindung, die nach seinen Angaben von Vibetech betrieben oder entwickelt wurde. Die Anzahl der Datensätze lässt nicht darauf schließen, wie viele verschiedene Personen betroffen waren.
Fowler wies darauf hin, dass die Daten in einer begrenzten Stichprobe zu Menschen aus mehreren Ländern gehörten. Dies zeigt, wie die groß angelegte Sammlung von Daten Menschen auf der ganzen Welt an einem einzigen risikoreichen Ort zusammenführen kann.
Zu den identifizierten Daten gehören Namen, Telefonnummern, E-Mail-Adressen, Passwörter, Bankkontodaten und weitere Informationen.
Fowler nannte Sammlungen mit den Bezeichnungen AT&T Data Leak, Gambling Private Combo, casio.ru Data Breach und Amazon Private Combo. Sie enthielten jeweils etwa 7,91 Millionen, 2,24 Millionen, 1,71 Millionen beziehungsweise 1,21 Millionen Datensätze.
Weitere Bezeichnungen verwiesen auf Walmart, WhatsApp-Nutzer in Spanien, PayPal, ein FBI-Mitarbeiterverzeichnis und Interpol. Die Bezeichnungen allein bestätigen nicht die Herkunft der Datensätze.
Fowler wies darauf hin, dass einige Datensätze nicht mit bekannten öffentlichen Angaben zu Datenlecks übereinstimmten, sodass ihre genaue Herkunft unklar bleibt.
Nachdem Fowler die Offenlegung entdeckt hatte, informierte er das mit der IP-Adresse verbundene Unternehmen und dessen Hosting-Anbieter. Die Datenbank wurde anschließend eingeschränkt. Am folgenden Tag zeigte die IP-Adresse ein Dashboard einer Plattform zur Einhaltung der Vorgaben für ein Informationssicherheits-Managementsystem (ISMS) an.
Die genaue Beziehung zwischen Vibetech, der Plattform und der Datenbank blieb unklar.
Fowler vermutete, dass es sich bei der Plattform um ein internes Projekt oder um Software handeln könnte, die für einen Drittanbieter-Kunden entwickelt wurde. Es ist weiterhin unbekannt, wie lange die Datenbank offengelegt war oder ob andere Personen darauf zugegriffen hatten.
Eine andere Form des Datenrisikos
Für Sicherheitsteams macht der Vorfall zwei Verantwortlichkeiten deutlich: Sie müssen auf offengelegte Zugangsdaten reagieren und alle Daten aus Datenlecks schützen, die ihre Organisation sammelt.
Wenn offengelegte Zugangsdaten mit Arbeitskonten verknüpft sind, sollten Teams prüfen, ob diese Konten noch aktiv sind, betroffene Passwörter zurücksetzen und die Anmeldeaktivitäten auf verdächtige Zugriffe untersuchen. Ein altes Passwort funktioniert möglicherweise nicht mehr, doch die zugehörigen Namen, E-Mail-Adressen und Telefonnummern können Angreifern weiterhin dabei helfen, überzeugende Phishing-Nachrichten zu erstellen.
Organisationen, die Repositorien mit Informationen zu Datenlecks unterhalten, sollten eine Authentifizierung verlangen, den Zugriff auf autorisiertes Personal beschränken und Massenabfragen sowie Downloads überwachen. Rohdaten mit Zugangsdaten sollten nur dort aufbewahrt werden, wo dies für einen genau definierten defensiven Zweck erforderlich ist.
Wenn ein Repository öffentlich zugänglich wird, sollten sie verfügbare Protokolle sichern und das Zeitfenster der Offenlegung untersuchen und zugleich den Zugriff beschränken. Das Schließen der Datenbank beendet die laufende Offenlegung, lässt aber nicht darauf schließen, ob bereits Kopien angefertigt wurden.
Das Zusammenführen dieser Datensätze schafft eine weitere Angriffsfläche und kann es erleichtern, Zugangsdaten aus verschiedenen Quellen zu durchsuchen, zu ordnen und abzurufen, ohne jedes ursprüngliche Datenleck einzeln ausfindig machen zu müssen. Have I Been Pwned zeigt einen stärker eingeschränkten Ansatz: Die E-Mail-Suche legt keine zugehörigen Passwörter offen, und für Domänensuchen ist eine Bestätigung der Kontrolle über die Domäne erforderlich. Die Überwachung von Datenlecks kann nützliche Informationen liefern, ohne Rohdaten mit Zugangsdaten öffentlich zugänglich zu machen.
Das Risiko endet nicht, sobald die Datenbank gesichert ist. Jeder, der vor der Zugriffsbeschränkung auf ihre Inhalte zugegriffen und sie heruntergeladen hat, könnte eine Kopie behalten – außerhalb der unmittelbaren Kontrolle des Eigentümers. Die Berichte belegen nicht, ob dies geschehen ist, doch die Möglichkeit zeigt, warum die Entfernung des öffentlichen Zugriffs nicht garantieren kann, dass offengelegte Informationen wieder zurückgeholt oder gelöscht wurden.
Was das für Sie bedeutet
Ihr Passwort wird nicht automatisch sicher, nur weil das Datenleck, durch das es offengelegt wurde, Jahre zurückliegt. könnten Kriminelle versuchen, es gegen Ihre E-Mail-, Bank- oder Social-Media-Konten einzusetzen und sich möglicherweise Zugang zu verschaffen, ohne direkt in diese Plattformen eindringen zu müssen.
Für jedes Konto ein eigenes Passwort zu verwenden und die Multi-Faktor-Authentifizierung zu aktivieren kann dieses Risiko verringern.
Wenn Sie vermuten, dass Ihre Zugangsdaten offengelegt wurden, ändern Sie die betroffenen Passwörter sowie alle wiederverwendeten Varianten – beginnend mit Ihren E-Mail- und Finanzkonten. Sie können Ihre E-Mail-Adresse auf Have I Been Pwned auf Vorkommen in den dort erfassten Datenlecks überprüfen. Ein eindeutiges Ergebnis beweist nicht, dass Ihre Daten nie offengelegt wurden, und die Suche kann nicht unbedingt bestätigen, dass sie in dieser speziellen Datenbank enthalten waren.
Die Verantwortung liegt jedoch nicht allein bei den Nutzern. Unternehmen, die zuvor geleakte Informationen sammeln, analysieren oder speichern, müssen sie ebenfalls schützen, denn die Absicherung des ursprünglichen Dienstes bedeutet wenig, wenn dieselben Daten an anderer Stelle erneut offengelegt werden können.
Mehr dazu: Der Verstoß gegen das dänische Register macht die Risiken schwacher Authentifizierung und des Zugriffs durch Dritte deutlich, was unterstreicht, warum sensible Datenbanken strenge Zugriffskontrollen und Überwachung benötigen.