Hacker bietet 10 Millionen Datensätze des Dienstleisters Solutions30 zum Verkauf an
Ein Hacker mit dem Namen Syrv4x verkauft eine 34 GB große Datenbank, die laut Angebot von Solutions30 stammt, einem in Frankreich gegründeten Unternehmen, dessen Techniker in ganz Europa im Auftrag von Telekom-, Energie- und IT-Firmen Geräte in Wohnungen und Büros installieren und reparieren. Das Angebot nennt 10.376.950 Datensätze, darunter fast 4 Millionen verschiedene Namen, 6,8 Millionen eindeutige Telefonnummern und 981.883 eindeutige E-Mail-Adressen, dazu Kundenadressen und die Einsatzorte der Techniker. Solutions30 hat weder ein Datenleck bestätigt noch sich dazu geäußert.
Was die Stichprobe zeigt
Die französische Seite Cyberattaque.org erhielt eine Stichprobe mit 1.500 Zeilen und erklärt, die Daten entsprächen Kunden- und Kontaktdatensätzen, wie sie bei der Arbeit von Solutions30 anfallen. Von diesen 1.500 Datensätzen enthielten 1.309 eine Postanschrift, 840 eine Telefonnummer, 468 eine Mobilnummer und 277 eine E-Mail-Adresse. Die Struktur umfasst außerdem Felder für Beruf, geschäftliche Kontaktdaten, Handelsregisternummern und interne Referenzen, die jeden Datensatz einem Partner oder einer Auftragsart zuordnen. Freitextfelder für Kommentare waren bei 544 Datensätzen ausgefüllt.
In der Stichprobe fand die Seite keine Passwörter, Bankkartennummern oder IBANs. Einige ältere Profile enthalten jedoch ADSL- oder VoIP-Zugangskennungen, den Internettarif und den früheren Anbieter. Wo ein Vertragsdatum eingetragen war, lag es zwischen 2008 und 2014. Das legt nahe, dass zumindest ein Teil der Datei auf PC30 zurückgeht, den Namen, unter dem das Unternehmen Modems und Router für französische Internetanbieter installierte.
Die Gesamtzahlen stammen vom Verkäufer und ließen sich nicht anhand der vollständigen 34 GB überprüfen. Sie bedeuten auch nicht, dass 10 Millionen verschiedene Menschen betroffen sind: Eine Person kann in mehreren Datensätzen auftauchen oder mit mehreren Einsätzen verknüpft sein.
Große Konzerne in der Datei
Solutions30 arbeitet für Unternehmen, die Installation und Wartung auslagern, daher reichen die Daten weit über die eigenen Kunden hinaus. In der Stichprobe stieß Cyberattaque.org auf Verweise auf BNP Paribas, Carrefour, Thales, Fnac, Renault, Allianz, Dassault und die Banque de France. In 221 Datensätzen tauchte BNP Paribas zusammen mit Angaben zur internen Struktur auf, bis hinunter zu Abteilung und Filiale. Das heißt nicht, dass diese Unternehmen gehackt wurden: Sie erscheinen, weil Solutions30 Aufträge für sie ausgeführt oder Kontakte für sie bearbeitet hat. Die Liste des Verkäufers nennt mehr als 160 Verträge, Kunden oder Auftragsarten in den Bereichen Bankwesen, Einzelhandel, Telekommunikation, Energie und IT.
Solutions30 gibt an, mehr als 16.000 Techniker zu beschäftigen, in Europa über 80.000 Einsätze pro Tag auszuführen und seit der Gründung im Jahr 2003 mehr als 65 Millionen Einsätze absolviert zu haben. Wie Syrv4x an die Daten gelangt ist, ist unbekannt: Denkbar sind ein aktueller Einbruch, ein alter Server, eine Geschäftsanwendung oder ein anderswo gefundenes Backup. Derselbe Verkäufer hatte Ende September fast 16.000 Datensätze zu SFR-Anschlussterminen veröffentlicht.
Das Risiko: der falsche Techniker
Datenlecks bei Dienstleistern sind für Kunden schwer vorhersehbar. In dieser Woche bestätigte Australiens größte Krebsversorgungsgruppe ein Datenleck bei einem ihrer Zulieferer. Hier liegt die Hauptgefahr nicht im direkten Zugriff auf Bankkonten, sondern im Kontext, den die Datei einem Betrüger liefert. Wer Ihren Namen, Ihre Adresse, Ihre Telefonnummer und den Anbieter kennt, der einen Techniker geschickt hat, kann sich als dieser Techniker ausgeben, anrufen oder an der Tür klingeln, wegen Ihres Routers, Glasfaseranschlusses, Zählers oder Kartenterminals, und dabei überzeugend wirken. Firmenmitarbeiter, die mit Funktion und Abteilung aufgeführt sind, sind zudem leichte Ziele für maßgeschneidertes Phishing.
- Ruft jemand an oder steht vor der Tür wegen einer Reparatur, die Sie nicht beauftragt haben, prüfen Sie das, indem Sie Ihren Anbieter unter der Nummer aus Ihrem Vertrag oder von dessen Website anrufen.
- Geben Sie einem „Techniker“ keine Passwörter, Einmalcodes oder Bankdaten und installieren Sie auf dessen Wunsch keine Fernzugriffs-Apps.
- Rechnen Sie mit SMS und E-Mails, die einen tatsächlichen früheren Besuch erwähnen. Ein echtes Detail macht die Nachricht nicht echt.
