Capgemini wurden 780.000 Bewerberdaten gestohlen
Laut Berichten soll es sich um ein 30 GByte großes Backup einer SQL-Datenbank handeln, das eigentlich einem Personaldienstleister gehört.
Capgemini sollen mehrere Gigabyte an persönlichen Daten von Jobbewerbern abhanden gekommen sein. Die Daten gehören allerdings nicht Capgemini selbst, sondern dem Personalvermittler Michael Page, einem Kunden des Unternehmens. Laut Sicherheitsforscher Troy Hunt, dem ein Teil der Daten vorliegen soll, sind darin mehr als 780.000 unterschiedliche E-Mail-Adressen sowie zahlreiche weitere persönliche Daten über die Bewerber enthalten.
Die durchgesickerte MySQL-Datenbank ist mehr als 30 GByte groß. Darin sollen neben den E-Mail-Adressen und Namen von Bewerbern auch Telefonnummern, Anschriften, Anschreiben und vollständige Lebensläufe gespeichert worden sein.
Michael Page hat sich inzwischen per E-Mail bei seinen Kunden entschuldigt. Darin spricht der Personalvermittler von einem nicht autorisierten Zugriff Dritter auf seine Systeme. Man arbeite mit Capgemini zusammen, um das Problem zu lösen. Unklar ist, ob die Daten tatsächlich von kriminellen, externen Hackern oder von einem Insider gestohlen wurden.
Der Analyse von Hunt zufolge gibt es Ähnlichkeiten zu einem weiteren Datenverlust. Im vergangenen Monat machte der Forscher auf eine durchgesickerte 174 GByte große MySQL-Datenbank des Australischen Roten Kreuzes aufmerksam. Dabei soll es sich um ein Backup handeln. Die Datenbank mit 647 Tabellen soll 1,3 Millionen Zeilen an Daten enthalten.
Beiden Vorfällen gemeinsam ist nicht nur die verwendete SQL-Datenbank. In beiden Fällen gab es offenbar auch eine serverseitige Schwachstelle, eine öffentlich zugängliche Website und aktivierte Verzeichnislisten.
EU-Datenschutzgrundverordnung (DSGVO)
Im Mai 2018 endet die Übergangsfrist für die neue EU-Datenschutzverordnung. Welche Neuerungen sie bringt, was passiert, wenn sich Firmen nicht daran halten und wie sich Unternehmen vorbereiten können, erfahren Sie im Special auf silicon.de.
Den Hinweis auf die Michael-Page-Daten habe er zudem von derselben Person erhalten, die ihn auch auf den Leak des Roten Kreuzes aufmerksam gemacht habe, so Hunt. Die Quelle habe ihm auch einen Auszug der Michael-Page-Daten als Beweis zugeschickt.
“Es war eine 362 MByte große komprimierte Datei, die zu 4,55 GByte entpackt wurde”, schreibt Hunt. “Ein ähnliches Kompressionsverhältnis vorausgesetzt sollten die Dateien in der Verzeichnisliste mehr als 30 GByte Rohdaten enthalten, was für öffentlich durchgesickerte Daten sehr viel ist.”
[mit Material von Stefan Beiersmann, ZDNet.de]
