Studie: Carhartt-Breach-Vorwürfe durch synthetische Daten aufgebläht

Eine Forderung über 3,3 Millionen Dollar und ein 50-GB-Leak

Die Carhartt-Datenpanne hat diesen Monat eine weitere Wendung genommen, nachdem Sicherheitsforscher feststellten, dass ein erheblicher Teil der geleakten Daten synthetisch und nicht echte Kundendaten waren. Die Erpressungsgruppe ShinyHunters behauptete, am 13. August 50 GB an Carhartt-Daten geleakt zu haben, nachdem eine Verhandlung nach einer anfänglichen Lösegeldforderung von 3,3 Millionen Dollar gescheitert war. Als Carhartt sich Berichten zufolge weigerte zu zahlen, veröffentlichte die Gruppe den Datensatz öffentlich und präsentierte ihn als Beweis für eine massive Kompromittierung.

Auf den ersten Blick schien der Leak enorm. Doch wie bei vielen erpressungsgetriebenen Breach-Behauptungen erzählten die rohe Dateigröße und die Anzahl der Datensätze nur einen Teil der Geschichte. Eine genauere technische Überprüfung ergab, dass die Daten erfundene oder duplizierte Einträge enthielten, was bedeutet, dass das tatsächliche Ausmaß der offengelegten persönlichen Daten erheblich kleiner war als von ShinyHunters angegeben.

Wie Analysten die aufgeblähten Zahlen aufdeckten

Dieses Muster ist nicht neu. Wie in unserem früheren Bericht über Carhartt-Breach-Behauptungen, die nach einer Überprüfung durch Troy Hunt halbiert wurden behandelt, ist die unabhängige Verifizierung oft der einzige Weg, um einen legitimen Datenverstoß von einer aufgeblähten Erpressungstaktik zu unterscheiden. Forscher, die die geleakten Dateien untersuchten, führten sie durch Deduplizierungs- und Validierungstools, die darauf ausgelegt sind, gefälschte oder automatisch generierte Datensätze zu kennzeichnen – etwa unsinnige E-Mail-Domains, wiederholte Adressmuster oder Einträge, die keinem echten Konto entsprechen.

Das Ergebnis war eine erhebliche Reduzierung der bestätigten Anzahl betroffener Personen, nachdem synthetische und doppelte Datensätze entfernt wurden. Das bedeutet nicht, dass keine echten Daten offengelegt wurden. Es bedeutet, dass die tatsächliche Zahl der betroffenen Kunden weit unter der Schlagzeilenzahl lag, die ShinyHunters nutzte, um Carhartt unter Druck zu setzen und Medienaufmerksamkeit zu erzeugen.

Diese Taktik dient Bedrohungsakteuren einem doppelten Zweck. Eine größere, alarmierendere Dateigröße lässt die Erpressungsdrohung glaubwürdiger und schädlicher erscheinen und erhöht den Druck auf das betroffene Unternehmen zu zahlen. Sie erzeugt auch übermäßige Presseberichterstattung, die Erpressungsgruppen oft als Druckmittel in zukünftigen Verhandlungen mit anderen Zielen nutzen. Das Aufblähen eines Leaks mit synthetischen Daten kostet den Angreifer wenig, kann aber die öffentliche Wahrnehmung der Schwere eines Vorfalls dramatisch verändern.

Warum dies für den Datenschutz wichtig ist – nicht nur für Schlagzeilen

Die Datenschutzimplikationen sind hier subtiler als bei einer typischen Breach-Geschichte. Wenn Breach-Behauptungen aufgebläht werden, passieren zwei Dinge gleichzeitig. Erstens können die Öffentlichkeit und sogar Sicherheitsexperten überschätzen, wie viele echte persönliche Daten im Umlauf sind, was zu unnötiger Panik oder fehlgeleiteten Reaktionsmaßnahmen führt. Zweitens – und noch wichtiger – können echte Opfer, also diejenigen, deren Daten tatsächlich enthalten und verifiziert wurden, im Lärm einer Geschichte untergehen, die von übertriebenen Zahlen dominiert wird.

Für ein Unternehmen wie Carhartt verdeutlicht der Vorfall auch das Reputationsrisiko, das mit jedem Erpressungsversuch einhergeht, unabhängig davon, wie viel der behaupteten Daten sich als authentisch herausstellt. Sobald eine Bedrohungsgruppe einen Datenverstoß und eine Lösegeldforderung ankündigt, verbreitet sich die Geschichte schnell, und die Korrektur danach erhält selten die gleiche Aufmerksamkeit wie die ursprüngliche Behauptung.

Was das für Sie bedeutet

Wenn Sie ein Carhartt-Kunde oder -Mitarbeiter sind und sich fragen, ob Ihre Informationen Teil dieses Datenverstoßes waren, ist der sicherste Ansatz, jede Offenlegung als möglich – nicht als bestätigt – zu behandeln, ohne die Worst-Case-Zahlen anzunehmen, die auf dem Höhepunkt des Erpressungsversuchs gemeldet wurden. Echte Datensätze waren Berichten zufolge zusammen mit erfundenen im Leak enthalten, daher ist die Verifizierung wichtiger als die Gesamtdateigröße oder Anzahl der Datensätze, die ShinyHunters publik gemacht hat.

Allgemeiner gesagt erinnert dieser Vorfall daran, dass Breach-Behauptungen von Erpressungsgruppen immer als unverifiziert behandelt werden sollten, bis unabhängige Analysten oder das betroffene Unternehmen Details bestätigen. Lösegeldforderungen und dramatische Leak-Ankündigungen sind teilweise eine Drucktaktik, und die damit verbundenen Zahlen sind nicht immer zuverlässig.

Umsetzbare Erkenntnisse

• Lassen Sie sich nicht allein von Schlagzeilen zu Breach-Zahlen in Panik versetzen; warten Sie auf verifizierte Analysen, bevor Sie annehmen, dass Ihre Daten offengelegt wurden.
• Wenn Sie ein Carhartt-Konto haben, erwägen Sie, Ihr Passwort zu ändern und die Zwei-Faktor-Authentifizierung zu aktivieren, wo verfügbar.
• Achten Sie auf Phishing-Versuche, die sich auf den Datenverstoß beziehen, da Angreifer oft öffentliche Breach-Nachrichten ausnutzen, um Opfer zur Preisgabe weiterer Informationen zu verleiten.
• Verwenden Sie einen Passwortmanager, um die Wiederverwendung von Anmeldeinformationen über Websites hinweg zu vermeiden und den Schaden zu begrenzen, falls ein einzelnes Konto kompromittiert wird.
• Bleiben Sie skeptisch gegenüber Behauptungen von Erpressungsgruppen, bis sie von unabhängigen Forschern bestätigt werden, da aufgeblähte Zahlen eine bekannte Verhandlungstaktik sind.