Hacks und Leaks der Woche

In der vergangenen Woche sind erneut zwei Sicherheitsvorfälle bekannt geworden, die ich kurz aufgreifen möchte. Eine E-Mail-Marketing-Firma hat eine Datenbank mit 809 Millionen Adressen öffentlich im Internet stehen lassen. Und das interne Citrix-Netzwerk wurde wohl gehackt.

E-Mail-Datenbank ungeschützt im Internet

Wired berichtet hier über einen gravierenden Sicherheitsvorfall, bei dem die Datenbank E-einer Validierungsfirma für das Mail-Marketing mit 809 Millionen Adressen ungeschützt öffentlich im Internet erreichbar war. Die öffentlich zugängliche und ungeschützte MongoDB-Datenbank mit 150 Gigabyte enthielt detaillierte Marketingdaten im Klartext. Darunter befanden sich 763 Millionen eindeutige E-Mail-Adressen. Das Ganze wurde letzte Woche von den Sicherheitsforschern Bob Diachenko und Vinny Troia entdeckt und jetzt öffentlich gemacht.

Der Fund ist nicht nur umfangreich, sondern auch ungewöhnlich: Er enthält Daten über einzelne Konsumenten sowie scheinbar "Business Intelligence-Daten", wie Mitarbeiter- und Umsatzzahlen verschiedener Unternehmen. Die Datenbank, die sich im Besitz der Firma "E-Mail-Validierung" (Verifications.io) befindet, wurde am selben Tag offline genommen, an dem Diachenko sie dem Unternehmen gemeldet hat.

Validierer im E-Mail-Marketing sind öffentlich kaum wahrnehmbar, spielen aber eine entscheidende Rolle in der E-Mail-Marketing-Branche. Sie versenden keine Marketing-E-Mails im eigenen Namen und ermöglichen auch keine automatisierten Massen-E-Mail-Kampagnen. Stattdessen überprüfen sie die Mailingliste eines Kunden, um sicherzustellen, dass die darin enthaltenen E-Mail-Adressen gültig sind. Einige E-Mail-Marketing-Unternehmen bieten diesen Mechanismus intern an. Aber um die Funktionsfähigkeit einer E-Mail-Adresse vollständig zu überprüfen, müssen Sie eine Nachricht an die Adresse senden und bestätigen, dass sie zugestellt wurde – im Wesentlichen Spamming von Personen. Das bedeutet, dass der Schutz von Internet Service Providern und Plattformen wie Gmail umgangen wird. Mainstream-E-Mail-Marketing-Unternehmen lagern diese Arbeit oft an die erwähnten Validierer aus, anstatt das Risiko einzugehen, dass ihre Infrastruktur von Spam-Filtern auf die schwarze Liste gesetzt wird oder ihre Online-Reputationswerte sinken.

Internes Citrix-Netzwerk gehackt

Citrix hat auf seinem Blog gerade einen Hack bekannt gegeben. Das Unternehmen wurde Am 6. März 2019 vom FBI kontaktiert. Das FBI teilte Citrix mit, dass es Grund zu der Annahme hatte, dass internationale Cyberkriminelle Zugang zum internen Citrix-Netzwerk haben.

Da Citrix Anbieter von Netzwerkausrüstungen und diverser Software ist, stellte sich natürlich sofort die Frage: Ist dort Firmware und Software modifiziert worden. So könnten Backdoors in Produkte implementiert werden, die dann den Zugriff auf andere Firmennetzwerke ermöglichen. Cisco schreibt dazu:

Während unsere Untersuchung nach dem, was wir bisher wissen, noch nicht abgeschlossen ist, scheint es, dass die Hacker möglicherweise auf Geschäftsdokumente zugegriffen und diese heruntergeladen haben. Die spezifischen Dokumente, auf die zugegriffen wurde, sind jedoch derzeit unbekannt. Zum jetzigen Zeitpunkt gibt es keine Hinweise darauf, dass die Sicherheit eines Citrix-Produkts oder -Dienstes beeinträchtigt wurde.

Also eine erste, vorsichtige Entwarnungen – aber unter dem Strich heißt es 'nix genaues weiß man nicht'. Ergänzung: The Register hat hier einen Artikel, in dem iranische Hacker beschuldigt werden. Und dieser Artikel von nbcnews.com berichtet, dass die iranischen Hacker wohl seit Jahren in das Cisco-Netzwerk eingedrungen waren.

Datenlecks in China

Auch in China werden immer wieder Datenlecks bekannt. Vor einigen Tagen wurde eine ungeschützte Datenbank von dem Sicherheitsforscher Victor Gevers, von der gemeinnützigen niederländischen GDI-Stiftung, entdeckt. Die Datenbank enthält rund 364 Millionen Online-Datensätze, wobei es sich um Informationen handelt, die mit Online-Konten verbunden sind (via Artikel). In diesem SPON-Artikel erfährt man, dass in der Datenbank auch  Informationen zu 1,8 Millionen Frauen entdeckt wurden, wobei vermerkt ist, ob diese Single und im gebährfähigen Alter ist.