Das auf die Überprüfung von Identitätsdokumenten spezialisierte Unternehmen IDScan bestätigte, dass Angreifer aus seinen Cloud-Systemen Daten gestohlen haben, darunter Führerscheine, vollständige Namen und Führerscheinnummern sowie Identifikationsnummern aus anderen staatlichen Dokumenten wie Pässen. Das Unternehmen erklärte, die Untersuchung dauere an; die tatsächliche Zahl der betroffenen Personen habe es bislang nicht genannt.
Diese Bestätigung erfolgte etwa eine Woche nach dem Auftauchen von Berichten über einen ein Jahr lang andauernden Angriff. IDScan hatte zunächst erklärt, einen Sicherheitsvorfall zu untersuchen, einen Angriff damals jedoch nicht bestätigt. In einer auf seiner Website veröffentlichten Mitteilung erklärte das Unternehmen, am 1. September Informationen über den behaupteten Angriff erhalten zu haben – an demselben Tag, an dem der auf Cybersicherheit spezialisierte Journalist Brian Krebs einen Bericht über den Vorfall veröffentlichte.
Was sagen die Berichte über den Umfang der Daten aus?
Dem Bericht von Krebs zufolge ermöglichte eine Website im Darknet die Suche nach Führerscheininformationen von mehr als 150 Millionen Menschen in den Vereinigten Staaten und Kanada, einschließlich des Zugriffs auf deren Fotos. Die Richtigkeit der Daten wurde durch die Prüfung eines Datensatzes verifiziert, der Krebs selbst betraf. Außerdem bestätigten eine öffentliche Person und ein Sicherheitsforscher, dass ihre Daten in der Datenbank enthalten waren. Den Angaben des Berichts zufolge enthielten die Daten Aufzeichnungen prominenter Personen, darunter des US-Verteidigungsministers Pete Hegseth.
Das bedeutet nicht, dass IDScan bestätigt hätte, dass alle mehr als 150 Millionen Datensätze Personen betreffen, deren Daten bei demselben Vorfall gestohlen wurden. Das Unternehmen erklärte lediglich, mehr als 150 Millionen Führerscheindatensätze zu speichern, und ließ die tatsächliche Zahl der Betroffenen offen. Außerdem erläuterte es nicht, ob die Angreifer auf sämtliche Daten oder nur auf einen Teil davon Zugriff erlangt hatten.
Warum ist diese Nachricht wichtig?
IDScan bietet seine Dienste Kunden aus verschiedenen Branchen an, darunter Unterhaltungsstätten und Cannabisgeschäfte, um die Identitätsdokumente ihrer Kunden zu überprüfen. Dadurch verdeutlicht der Vorfall die Risiken, die mit der Konzentration sensibler Identitätsdaten bei Anbietern von Verifizierungsdiensten verbunden sind, anstatt dass jede Organisation diese Daten getrennt aufbewahrt. Ein vollständiger Name, eine Führerscheinnummer und ein Foto des Dokuments können Angreifern einen wiederverwendbaren Datensatz für Versuche des Identitätsdiebstahls oder Betrugs liefern, auch wenn die Quelle nicht belegt, dass solche Daten auf diese Weise genutzt wurden.
IDScan informierte potenziell betroffene Personen durch eine Mitteilung auf seiner Website. Das Unternehmen erklärte, der vollständige Zugriff auf die Informationen habe eine Zahlung erfordert. Diese Formulierung könnte auf eine finanzielle Forderung der Angreifer hindeuten, doch das Unternehmen bestätigte weder das Vorliegen einer Lösegeldforderung noch berichtete es über einen direkten Kontakt mit ihnen. Auf Fragen von TechCrunch zu diesem Punkt antwortete es ebenfalls nicht.
Untersuchungen und offene Fragen
Das US-Verteidigungsministerium erklärte, es sei über den mutmaßlichen Angriff informiert gewesen, während ein Sprecher des Federal Bureau of Investigation FBI mitteilte, dass die Behörde den Vorfall untersuche. Grundlegende Fragen sind weiterhin unbeantwortet, darunter wie lange sich die Angreifer in den Systemen aufhielten, ob Bilder der Dokumente und die vollständigen Daten veröffentlicht oder verkauft wurden und welche Maßnahmen das Unternehmen ergreifen wird, um Betroffene zu benachrichtigen und seine Systeme zu schützen.
Redaktionelle Einordnung: Die Bedeutung des Vorfalls liegt im Umfang der Datenbank und in der Art der Informationen, nicht in einer endgültigen Opferzahl, die bislang noch nicht bestätigt wurde. Bis zum Abschluss der Untersuchung sollte die Zahl von 150 Millionen als Umfang der Datensätze betrachtet werden, die IDScan eigenen Angaben zufolge speichert, und nicht als bestätigte endgültige Zahl der betroffenen Personen.