14 Millionen Verizon-Kundendaten über die Amazon-Cloud verloren

Über einen Drittanbieter wurden Daten von mindestens 14 Millionen Verizon-Kunden verloren. Allerdings nicht im Rahmen einer Hackerattacke. Die Informationen waren über eine nicht gesicherte Datenbank auf der Amazon-Cloud zugänglich. Die Daten wurden von dem israelischen Dienstleister Nice Systems auf Amazon S3 gespeichert. Die Adresse war leicht zu erraten und somit leicht zugänglich.

Das in Ra’anana nördlich von Tel Aviv ansässige Nice Systems bietet Enterprise-Software für die Bereiche Kundenbindung sowie Finanzverbrechen und Compliance an. Anwender verwenden die Lösung, um beispielsweise Betrug oder Geldwäsche aufzudecken. Mit mehr als 25.000 Kunden, vor allem im Finanzsektor, setzte das Unternehmen im vergangenen Jahr rund eine Milliarde Dollar um.

Datenschützer wittern außerdem Verbindungen zwischen Nice Systems und verschiedenen Geheimdiensten. Auch scheint das Unternehmen kaum kontrollieren zu können, von wem die Informationen genutzt werden. In einer Pflichtmeldung an die US-Börsenaufsicht heißt es, Nice Systems könne nicht kontrollieren, wofür seine Kunden seine Software nutzten. “Unsere Produkte können von unseren Kunden auch absichtlich missbraucht werden”, heißt es zudem in der Bilanz von Nice Systems.

Die ungesicherten Daten wurden bereits Ende Juni von Chris Vickery, Direktor für Cyber Risk Research bei UpGuard, entdeckt. Betroffen sind offenbar Nutzer, die in den vergangenen sechs Monaten mit dem Kundensupport von Verizon in Kontakt waren. Er informierte Verizon kurz darauf über seine Entdeckung. Laut seinen Angaben soll es jedoch mehr als eine Woche gedauert haben, bis die Daten gesichert wurden.

Die Kundendaten befanden sich in Log-Dateien, die der Kundensupport von Verizon bei jedem Anruf generiert. Verizon lässt die Daten von Nice Systems analysieren, um Kontoinhaber zu überprüfen und den Kundenservice zu verbessern.

Jeder Datensatz enthält neben dem Namen des Kunden und Details wie Anschrift und E-Mail-Adresse auch dessen Mobilfunknummer und die Konto-PIN. Nach Aussage eines Verizon-Mitarbeiters kann jeder, der diese PIN kennt, uneingeschränkt auf ein Kundenkonto zugreifen. Laut Sicherheitsexperten können die Daten für Identitätsdiebstahl und Einbrüche in E-Mail- oder Social-Media-Konten benutzt werden, selbst wenn diese per Zwei-Faktor-Authentifizierung geschützt sind. Cyberkriminelle, die das Mobilfunkkonto kontrollieren, können sich beispielsweise neue SIM-Karten für die Mobilfunknummern ihrer Opfer zuschicken lassen und anschließend deren Kommunikation inklusive SMS-Nachrichten abfangen.

Verizon selbst bezeichnete die Zusammenarbeit mit Nice Systems als ein “fortlaufendes Projekt” zur Verbesserung des Kundenservice. Man habe eine Untersuchung eingeleitet, um herauszufinden, wie die Daten auf den ungesicherten Amazon-S3-Server gelangten. Es gebe aber bisher keine Hinweise darauf, dass die Daten kompromittiert wurden. Nice Systems betonte indes, dass keine Daten anderer Kunden betroffen seien und kein System geknackt worden sei.

Vickery erklärte jedoch, er habe auf dem fraglichen Server auch Spuren von Daten des französischen Mobilfunkanbieters Orange gefunden. Ein Nice-Sprecher erklärte dazu lediglich, dass die Daten zu einem “Demo-System” gehörten.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.