Erpresser drohen Online-Shops mit der Veröffentlichung von Kundendaten

Cyber-Kriminelle haben auf einer öffentlichen Website mehr als zwei Dutzend SQL-Datenbanken von Online-Shopping-Plattformen aus aller Welt angeboten.

Die unbekannten Hacker hatten sich Zugang zu unsicheren Servern verschiedener Online-Shops verschafft, die Daten kopiert und eine Lösegeldforderung hinterlassen:

„Wenn Sie verhindern möchten, dass Ihre Datenbank an die öffentlichkeit gelangt: Schicken Sie uns 0,06 Bitcoin (BTC) an unsere Bitcoin-Adresse xxxxxxxYHxxxxxxx und kontaktieren Sie uns per E-Mail mit Ihrer Server-UP [sic] oder Ihrem Domainnamen und einem Zahlungsbeleg. Wenn Sie daran zweifeln, dass wir tatsächlich Ihre Daten haben, kontaktieren Sie uns, und wir senden Ihnen Beweise. Wir haben Ihre Datenbank heruntergeladen und Sicherheitskopien auf unseren Servern erstellt. Sicherheitskopien, die wir derzeit haben: xxxx, klassische Modelle, xxxx, wenn wir Ihre Zahlung nicht innerhalb der nächsten 10 Tage erhalten, werden wir Ihre Datenbank veröffentlichen oder anderweitig nutzen.“

Nach Angaben von Bleeping Computer sind auf einigen Wallets der Erpresser bereits etwa 100 Zahlungen mit einer Gesamthöhe von 5,8 BTC (ca. 50.000 Euro) eingegangen.

Insgesamt werden 31 Datenbanken angeboten, wovon mehr als die Hälfte zu Online-Shops aus Deutschland gehören. Zahlreiche Shopping-Plattformen aus den USA, Brasilien, Italien, Spanien und Indien sind jedoch auch dabei.

Je nach Anbieter enthalten die Datenbanken verschiedene Arten von personenbezogenen Daten der Kunden, darunter: E-Mail-Adresse, Name, gehashte Passwörter, Geburtsdatum, Geschlecht und Postleitzahl.

An sich mögen die Datenbanken nicht sehr wertvoll sein, doch könnten sie für gezielte Phishing-Angriffe missbraucht oder im großen Stil weiterverkauft werden, was das Risiko für die betroffenen Einzelpersonen weiter erhöht.

Es bleibt zu hoffen, dass Online-Shop-Betreiber diesen Vorfall zum Anlass nehmen, Ihre IT-Sicherheit auf Vordermann zu bringen um Kundendaten zuverlässig zu schützen.

Denn Hacker sind naturgemäß nicht vertrauenswürdig: Selbst, wenn die Opfer das Lösegeld zahlen, kann nicht garantiert werden, dass die Angreifer nicht doch noch eine Kopie der Daten behalten um damit weiter Schindluder zu treiben.

rn