Datenleck bei US Marketing-Firma legt 39 Millionen Benutzerdaten offen

[English]Sicherheitsforscher von CyberNews sind auf ein ungesichertes Amazon AWS S3-Bucket gestoßen. Über das Datenleck wurden die persönlichen Daten von 39 Millionen US-Bürgern offen gelegt.

Sicherheitsforscher CyberNews entdeckten eine ungesicherte Datenbank (Data-Bucket), die dem US Online-Marketingunternehmen View Media gehört. Der Amazon AWS S3 Bucket enthält fast 39 Millionen US-Benutzerdatensätze, einschließlich ihrer vollständigen Namen, E-Mail- und Straßenadressen, Telefonnummern und Postleitzahlen. View Media arbeitet mit Unternehmen wie der Times Media Group und Tribune Media zusammen.

Die Datenbank wurde auf einem öffentlich zugänglichen Amazon Web Services (AWS)-Server gefunden, so dass jeder auf die Daten zugreifen und sie herunterladen kann. Nach dem 350 Millionen E-Mail-Leck, über das CyberNews Anfang August berichtete, ist dies das zweite Mal in diesem Sommer, dass die Sicherheitsforscher auf einen ungesicherten Amazon Web Services S3 Bucket gestoßen sind, der so große Mengen an Benutzerdaten enthält.

Welche Daten fanden sich in der Datenbank?

Auf dieser Webseite legt CyberNews die Details offen. Der öffentlich zugängliche Amazon AWS S3-Bucket enthielt 5.302 Dateien, darunter:

• 700 in PDF-Dateien gespeicherte Arbeitsdokumente für gezielte E-Mail- und Direct-Mail-Werbekampagnen
• 59 CSV- und XLS-Dateien, die insgesamt 38.765.297 Datensätze von US-Bürgern enthielten, von denen 23.511.441 Datensätze einzigartig waren

Die Benutzerdatendateien wurden auf der Grundlage von Orten und Postleitzahlen erstellt, auf die die Kampagnen der Marketingfirma abzielten, und enthielten vollständige Namen, Adressen, Postleitzahlen, E-Mails und Telefonnummern von Personen mit Sitz in den USA.

Der S3-Bucket wurde auf einem Amazon AWS-Server von Amazon gehostet, der für einen unbekannten Zeitraum ungesichert für jeden per Internet abrufbar war. Es ist unklar, ob irgendwelche Hacker oder Cyber-Kriminellen Zugriff auf die gespeicherten Daten hatten. Solche ungesicherte Amazon-Buckets sind relativ leicht zu finden und ohne jede Art von Autorisierung zugänglich. Das bedeutet, dass jeder, der weiß, wo er suchen muss, die Dateien heruntergeladen haben könnte.

Die Folgen

Auch wenn die Dateien im ungesicherten Amazon S3-Bucket keine hochsensiblen persönlichen Daten wie Sozialversicherungs- oder Kreditkartennummern enthalten, können Cyberkriminelle die persönlichen Daten in der Datenbank für eine Vielzahl von böswilligen Zwecken verwenden:

• Betrüger können die Namen, E-Mail-Adressen und Telefonnummern der gefährdeten Personen für eine Vielzahl von betrügerischen Machenschaften verwenden.
• Einfache Kontaktdaten können für Spammer und Phisher ausreichen, um gezielte Angriffe gegen mehr als 38 Millionen exponierte Amerikaner aus verschiedenen Blickwinkeln zu starten, wie z.B. Robocalls, Textnachrichten, E-Mails und Social-Engineering-Kampagnen.
• Bestimmte Cyberkriminelle können die in diesem Bereich gefundenen Daten mit Daten anderer Datenlecks kombinieren, um Profile potenzieller Ziele für Identitätsdiebstahl zu erstellen.

Da die Sicherheitsforscher zunächst nicht in der Lage waren, den Besitzer des ungesicherten Amazon AWS S3-Buckets zu identifizieren, kontaktierten sie am 27. Juli 2020 Amazon. Die offene Datenbank auf dem Amazon AWS S3-Buckets wurde am 29. Juli 2020 gesichert, das Datenleck ist geschlossen.

Die Sicherheitsforscher wandten sich an einen der Kunden der Marketingfirma, der in einem dr Arbeitsdokumenten erwähnt wird. Dieser Kunde half dann den Sicherheitsforschern View Media am 21. August 2020 als Eigentümer der Datenbank zu identifizieren. Am 24. August setzten sich die Sicherheitsforscher mit View Media in Verbindung, um eine offizielle Stellungnahme zum Datenleck abzugeben. Sie erhielten jedoch keine Antwort von dem Unternehmen.