Hacker behaupten, Tez Tour ausgelöscht zu haben: 395 Millionen Datensätze 'vernichtet', Pässe und Karten der Reisenden 'in unseren Händen'; der Veranstalter sagt, nur die Website sei ausgefallen
Am Abend des 15. September wurde die Startseite von teztour.by, der belarussischen Website des Reiseveranstalters Tez Tour, durch eine Mitteilung ersetzt, das Unternehmen habe "mit dem 15.09.2026 aufgehört zu existieren". Eine Gruppe, die sich DataSuckers nennt, behauptete, rund zwei Wochen im Netz des Veranstalters gewesen zu sein, 395,5 Millionen Datensätze kopiert und dann gelöscht, die Festplatten überschrieben und die Backups vernichtet zu haben, und teilte den Kunden mit, ihre Pässe, Bankkarten, Telefonnummern und Adressen seien "in unseren Händen". Tez Tour bestätigte Interfax noch in derselben Nacht einen Angriff, beschrieb aber ein weit kleineres Ereignis: Betroffen sei die Website, das ERP-System sei rechtzeitig isoliert worden, Hinweise auf ein Leck von Kunden- oder Partnerdaten gebe es nicht, bestehende Buchungen blieben gültig. Am Mittag Moskauer Zeit des 16. September waren tez-tour.com und teztour.by weiter nicht erreichbar.
Kurz gefasst
- Die Defacement-Seite listete 45,4 Millionen Buchungsdatensätze, 21,5 Millionen Reisebestellungen, 52,2 Millionen Hotelreservierungen und 252,3 Millionen Finanztransaktionen als vernichtet auf. Zusammen ergibt das rund 371 Millionen, nicht die behaupteten 395,5 Millionen, ein Widerspruch, den Habr bemerkte.
- DataSuckers erklärte Habr, der Einstieg sei ein Datei-Upload-Dienst gewesen, der eine Datei annahm, die der Webserver als PHP in einem Docker-Container ausführte; von dort seien das interne Netz, SVN-Repositories mit Datenbankpasswörtern und ein Tomcat Manager erreichbar gewesen. Nichts an dieser Kette hat jemand außerhalb der Gruppe geprüft.
- Tez Tours kaufmännischer Direktor Woskan Arsumanow sagt, der Vorfall habe nur die Website betroffen, Gegenmaßnahmen seien sofort ergriffen worden, eine Kompromittierung von Kundendaten sei nicht festgestellt. Die Dienste sollen nach Sicherheitsprüfungen schrittweise zurückkehren.
- Für Kunden führen beide Versionen zum selben Rat. Ein Reiseveranstalter hält Passkopien, Kartendaten und Reisedaten; ist davon etwas nach außen gelangt, wird es zuerst für Phishing im Namen des Veranstalters genutzt, wie nach dem Leck im lettischen Fahrzeugregister im August.
Was die Angreifer auf die Seite stellten
CityDog, ein Minsker Medium, sicherte die veränderte Seite, bevor sie offline ging. Unter der Ankündigung der angeblichen Schließung folgte eine Aufzählung des "unwiederbringlich Vernichteten", dann eine Botschaft an die Kunden: Ihre Passdaten, Kartendaten, Telefonnummern und Adressen lägen nun bei den Angreifern, und das Unternehmen habe keinen Zugriff mehr darauf, weil alles gelöscht sei. Eine zweite Botschaft an die Administratoren von Tez Tour verhöhnte deren Kompetenz, erklärte, jeder Server sei "vollständig übernommen", die Festplatten überschrieben, um eine Wiederherstellung auszuschließen, die Backups gelöscht, und sagte voraus, allein der Wiedereinstieg werde Tage dauern. Gegenüber Habr ergänzte die Gruppe technische Details: Der Zugang sei etwa zwei Wochen zuvor über den Datei-Upload-Dienst des Veranstalters gelungen, der eine Datei annahm, die der Webserver dann als PHP-Code ausführte; das ergab Befehlsausführung in einem Docker-Container; der Container war zwar isoliert, konnte aber das interne Firmennetz mit den Unternehmensdiensten sehen; dort fand die Gruppe Zugangsdaten für SVN-Quellcode-Repositories, in deren Konfigurationsdateien Datenbankpasswörter lagen, und über eine Tomcat-Manager-Konsole ließ sich Code auf Produktionssystemen ausführen. Außerdem hätten die Administratoren alte, verwundbare Software betrieben und Backups auf demselben Server wie die Website aufbewahrt. Die internationale Seite tez-tour.com lieferte am selben Abend einen 503-Fehler.
Was das Unternehmen sagt und was keine Seite gezeigt hat
Die Erklärung von Tez Tour, die der kaufmännische Direktor Woskan Arsumanow am späten Abend des 15. September Interfax Tourism gab, bestreitet den Einbruch nicht. Sie besagt, dass das Unternehmen sofort nach Entdeckung unautorisierter Aktivität Schritte zur Eindämmung des Vorfalls und zum Schutz seiner Systeme ergriffen habe, dass bisher keine Kompromittierung von Kunden- oder Partnerdaten festgestellt worden sei, dass das ERP-System rechtzeitig isoliert worden und unbeschadet sei, dass alle laufenden Buchungen gültig blieben und die Verpflichtungen gegenüber Reisenden und Partnern wie gewohnt erfüllt würden, und dass Spezialisten die gesamte Infrastruktur prüften, bevor die Dienste schrittweise zurückkehren. Die Lücke zwischen den beiden Darstellungen ist die übliche nach einem Defacement. Die Angreifer haben eine Liste von Zahlen und eine Beschreibung ihres Weges hinein veröffentlicht, aber keine Datenprobe, keine Dateilisten, keine Screenshots von Datenbankinhalten; das Unternehmen hat ein Dementi jedes Lecks veröffentlicht, während seine öffentlichen Systeme noch ausgefallen sind und seine Untersuchung nach eigener Aussage die Ursache noch ermittelt. Eine Gruppe, die wirklich Produktionsfestplatten und Backups überschrieben hat, hätte keinen Grund, die Daten geheim zu halten, und ein Unternehmen, das wirklich seine Buchungsdatenbank verloren hat, könnte kaum behaupten, die Buchungen seien intakt. Keiner dieser Tests wurde bisher bestanden. Die Zahl der Datensätze selbst ist aufgebläht oder falsch gezählt: Die vier Kategorien auf der veränderten Seite ergeben rund 371 Millionen, und die 252 Millionen "Finanztransaktionen" umfassen jede je protokollierte Zahlungszeile, nicht 252 Millionen Kunden. Habr erinnert außerdem daran, dass im Juni ein anderer russischer Veranstalter, Fun&Sun, eine "technische Anomalie" erlitt, die zahlende Kunden über einen Monat ohne Tickets, Versicherung und Hotelgutscheine ließ.
Was Kunden in dieser Woche tun sollten
Behandeln Sie die Behauptung der Angreifer als möglich, bis das Unternehmen das Gegenteil zeigt, denn die Kosten eines Irrtums sind ungleich verteilt. Die Akte eines Reiseveranstalters über einen Kunden enthält typischerweise eine Passkopie, Geburtsdatum, Wohnadresse, Telefonnummer, manchmal einen Visumantrag, dazu die zur Zahlung genutzte Karte und die genauen Daten, an denen der Haushalt nicht zu Hause ist. Das Erste, was Kriminelle mit dieser Kombination tun, ist, dem Kunden im Namen des Veranstalters zu schreiben: Die Buchung müsse "erneut bestätigt" werden, ein Erstattungsformular für die gestörte Reise, ein Link zur "Wiederherstellung des Zugangs" zum Kundenkonto. Bestätigen oder tippen Sie nichts über einen Link aus einer Nachricht; rufen Sie die Agentur, über die Sie gebucht haben, unter der Nummer aus Ihrem Vertrag an und bitten Sie um schriftliche Bestätigung von Tickets, Hotelgutschein und Versicherung möglichst direkt von Airline, Hotel und Versicherer. Beobachten Sie Kartenabrechnungen auf kleine Testabbuchungen und erwägen Sie, eine auf der Website des Veranstalters genutzte Karte neu ausstellen zu lassen. Eine Passnummer lässt sich nicht auf Wunsch ändern, aber eine geleakte Nummer ist vor allem in Kombination mit anderen Daten ein Problem, seien Sie also misstrauisch bei jedem Anruf, der Ihre Reisedaten bereits kennt. Große Passdatensätze tauchen oft lange nach dem Leck wieder auf, wie in diesem Monat die 220 Millionen aus Vietnam geleakten Grenzdatensätze zeigten, und Russland führt nach einer Zählung bereits weltweit bei der Zahl geleakter Datenbanken.
