Ein Passwort-Reset kann einen Zugangsweg zu einem Konto schließen. Die persönlichen Daten, die einen Betrugsversuch überzeugend machen, kann er jedoch nicht zurückholen.
Sony Network Communications, Sonys japanische Tochtergesellschaft für Internetdienste, gab am 27. Oktober einen Datenschutzvorfall mit 2.585.481 Kundendatensätzen von So-net und plala (S Course) bekannt. Außerdem wurden Passwörter von 54.401 E-Mail-Adressen bei ausgewählten So-net-E-Mail-Diensten offengelegt – mit Risiken, die über die ursprüngliche Datenbank hinausgehen.
Für betroffene Kunden geht es sowohl um die Kontosicherheit als auch um die Frage, was als Nächstes kommt: Nachrichten oder Anrufe, die echte persönliche Daten verwenden, um sich als ihr Internetanbieter auszugeben.
Was der So-net-Datenschutzvorfall offengelegt hat
Sonys offizielle Mitteilung zum Datenschutzvorfall, die am 27. Oktober veröffentlicht und am 29. Oktober aktualisiert wurde, führt 2.141.986 So-net-Kundendatensätze und 443.495 plala-(S-Course-)Datensätze auf. Zu den offengelegten Feldern gehören Namen, Telefonnummern, E-Mail-Adressen, Benutzer-IDs, Geburtsdaten, Geschlecht und Internetverbindungs-IDs.
Die beiden wichtigsten Kategorien von Kundendatensätzen enthielten keine Passwörter. Sony stellte jedoch separate Offenlegungen von E-Mail-Passwörtern und einer kleinen Zahl von My-Page-Anmeldedaten fest. E-Mail-Adressen und Passwörter für E-Mail-Dienste wurden für 54.401 Adressen offengelegt, die mit Mail Service (G), A-Box, So-net VAIO Mail und PostPet Mail Account Service verbunden waren. Sony erklärte, man habe keine Offenlegung von Passwörtern für den kostenlosen einfachen So-net-Mailbox-Dienst bestätigt.
Sonys Kunden-FAQ bestätigt außerdem, dass sieben Datensätze aus Benachrichtigungen zu Passwort-Resets „So-net-My-Page-Benutzer-IDs und -Passwörter“ enthielten. Das Unternehmen erklärte, es habe die betroffenen Passwörter zurückgesetzt. Diese Offenlegung war von den 54.401 E-Mail-Adressen mit offengelegten Passwörtern für E-Mail-Dienste getrennt.
Weitere 16 Datensätze enthielten Bankkontoinformationen, darunter Kontonummern und Namen der Kontoinhaber. Sony erklärte, das Unternehmen speichere keine Bankkonto-PINs und die offengelegten Daten enthielten keine Kreditkarteninformationen.
Eine separate Mitteilung von NTT Docomo besagt, dass die betroffenen Kunden Docomo Hikari mit plala (S Course) nutzten, darunter auch Kunden, die ihren Vertrag innerhalb der vorangegangenen sechs Monate gekündigt hatten. Docomo erklärte, die offengelegten Informationen dieser Gruppe enthielten keine Passwörter oder Zahlungsdaten; andere plala-Dienste waren nicht betroffen.
Die Entdeckung erfolgte vier Tage nach dem Eindringen
Sony zufolge erfolgte der unbefugte Zugriff am 19. Oktober und wurde am 23. Oktober entdeckt. Daraufhin stoppte das Unternehmen den betroffenen Server und blockierte die Kommunikation von der unbefugten Quelle. Die Ermittler bestätigten die Offenlegung personenbezogener Daten am 24. Oktober.
Das Unternehmen setzte die betroffenen Passwörter für E-Mail-Dienste am 27. Oktober zurück und meldete den Vorfall an die japanische Datenschutzkommission. Die Untersuchung der Ursache und des Umfangs dauert an. In den Kunden-FAQ erklärte Sony, man habe bis zum 29. Oktober keinen mit dem Vorfall verbundenen Folgeschaden bestätigt.
Diese Aussage macht einen wichtigen Unterschied deutlich: Das Fehlen bestätigten Missbrauchs bedeutet nicht, dass die offengelegten Zugangsdaten nie verwendet wurden.
„Sony erklärt, die betroffenen E-Mail-Passwörter zurückgesetzt zu haben – ein wichtiger Schritt. Aber ein Passwort-Reset ist keine Zeitmaschine“, sagte Darin Fredde, Senior Director bei Ridge Security. „Er sagt uns nicht, ob zuvor auf ein Postfach zugegriffen wurde, und einen Geburtstag kann man schließlich nicht einfach ändern.“
Warum der nächste Kontakt legitim klingen könnte
Ein Anrufer, der den Namen, das Geburtsdatum und die Internetverbindungs-ID eines Kunden kennt, kann wie ein Supportmitarbeiter des Anbieters klingen. Diese Angaben sollten nicht länger als Beweis dafür gelten, dass der Anrufer vertrauenswürdig ist.
Waseem Ahmed, Leiter der Entwicklungsabteilung bei Secure.com, warnte, dass Angreifer sogar die Reaktion auf den Datenschutzvorfall ausnutzen könnten.
„Kunden sollten mit SMS und E-Mails rechnen, die sich als So-net oder plala ausgeben und sie häufig auffordern, das Passwort zurückzusetzen, das Sony gerade zurückgesetzt hat“, sagte Ahmed.
Das ist eine Warnung vor möglichen Folge-Betrugsversuchen und keine Bestätigung dafür, dass eine solche Kampagne stattgefunden hat. Kunden sollten über die offizielle Website des Anbieters zu ihren Kontoeinstellungen gelangen, statt einem unaufgefordert zugesandten Reset-Link zu folgen. Das Erkennen verschiedener Formen von Phishing, darunter Betrugsversuche per SMS und Telefon, kann ihnen ebenfalls helfen, verdächtige Folgekontakte zu erkennen.
Offengelegte Passwörter schaffen außerdem ein separates Credential-Stuffing-Risiko: Angreifer könnten dieselben Zugangsdaten bei anderen Diensten ausprobieren, bei denen Kunden sie wiederverwendet haben.
„Jeder, dessen E-Mail-Passwort offengelegt wurde, sollte es überall ändern, wo er es wiederverwendet hat, und Organisationen sollten MFA durchsetzen sowie neue Anmeldungen mit bekannten geleakten Zugangsdaten abgleichen“, sagte Ahmed.
Schützen Sie die Konten, die diese Daten entsperren könnten
Kunden, die über offengelegte E-Mail-Passwörter benachrichtigt wurden, sollten zunächst das betroffene Postfach und alle Konten absichern, bei denen dasselbe Passwort verwendet wurde. Wer über die sieben offengelegten Datensätze mit My-Page-Zugangsdaten informiert wurde, sollte außerdem Sonys Anweisungen zum Zurücksetzen des Kontos befolgen und jedes wiederverwendete Passwort an anderer Stelle ändern.
Sofern der Dienst entsprechende Funktionen anbietet, sollten Sie die letzten Anmeldungen, Wiederherstellungsdaten, aktiven Sitzungen und Weiterleitungsregeln prüfen und die Multi-Faktor-Authentifizierung aktivieren. Eine unbekannte Wiederherstellungsadresse oder Weiterleitungsregel sollte auch nach einer Passwortänderung untersucht werden.
„Offengelegte E-Mail-Zugangsdaten erzeugen einen gefährlichen Dominoeffekt, weil Angreifer über ein kompromittiertes Postfach verknüpfte Dienste mithilfe automatisierter Passwort-Resets übernehmen können“, sagte Andrew Hartnett, CTO bei Bitwarden. „Organisationen müssen diesen Schadensradius begrenzen, indem sie wiederverwendbare Zugangsdaten durch phishing-resistente Authentifizierung wie Passkeys ersetzen.“
Hartnett betonte außerdem, wie wichtig der Schutz von Wiederherstellungsmethoden ist: „Wenn Organisationen Passkeys einführen, ist es jedoch ebenso entscheidend, die Prozesse zur Kontowiederherstellung abzusichern. So wird verhindert, dass herkömmliche Passwort-Reset-Fallbacks diese stärkeren kryptografischen Kontrollen versehentlich umgehen.“
Für Sicherheitsteams wirft der Vorfall eine weitergehende Frage auf: Könnten aus einem Verbraucherdienst gestohlene Informationen jemandem dabei helfen, einen Helpdesk davon zu überzeugen, ein Arbeitskonto zurückzusetzen? Die Risiken, die durch Phishing mit angeblichen Microsoft-365-Passkeys sichtbar werden, zeigen, warum Registrierung, Wiederherstellung und die Verifizierung durch den Support ebenso viel Aufmerksamkeit verdienen wie der Anmeldevorgang selbst. Mitarbeitende sollten sensible Anfragen über einen etablierten Kanal verifizieren und sich nicht auf persönliche Daten verlassen, die möglicherweise bereits öffentlich sind.
Der Datenschutzvorfall betraf auch ehemalige Kunden. Dadurch wird die Aufbewahrung zu einem konkreten Sicherheitsproblem, auch wenn die Offenlegung allein nicht belegt, dass Sony Informationen unrechtmäßig aufbewahrt hat. Teams sollten ermitteln, welche Datensätze gekündigter Konten sie behalten, dokumentieren, warum sie diese noch benötigen, und unnötige Kopien löschen. Die Offenlegung von Kundeninformationen beim Versanddienstleister ShipMonk ist ein weiterer Grund, diese Prüfungen auf Dienstleister auszuweiten.
Ahmed empfahl außerdem, die Datenbank selbst zu überwachen und bei ungewöhnlichen Massenabfragen und -exporten Warnmeldungen auszulösen. Das ist eine defensive Empfehlung und keine bestätigte Erkenntnis darüber, wie dieser Eindringversuch ablief.
Das praktische Ziel besteht darin, sowohl den unmittelbaren Zugriff als auch künftige Identitätsvortäuschungen zu verhindern. Das Zurücksetzen von Zugangsdaten verringert den Wert gestohlener Passwörter; die Überprüfung der Postfachaktivität kann dauerhafte Zugriffe aufdecken; strengere Kontrollen bei der Wiederherstellung schränken ein, was sich mit gestohlenen Identitätsdaten entsperren lässt. Kunden und Organisationen benötigen alle drei Maßnahmen, weil Namen, Geburtsdaten und Konto-IDs für Kriminelle noch lange nützlich sein können, nachdem der ursprüngliche Server abgesichert wurde.
Mehr lesen: Erfahren Sie, wie ein Brevo-Datenschutzvorfall Phishing-E-Mails an 347.000 Trezor-Abonnenten ermöglichte, und warum vertraute Zustellwege dazu führen können, dass betrügerische Sicherheitswarnungen schwerer zu erkennen sind.