Zwei separate Sicherheitsvorfälle, einer in Japan und einer in Taiwan, wurden diese Woche bestätigt. Das Datenleck bei Comic CMoa betrifft einen der größten E-Book-Shops Japans, wobei E-Mail-Adressen und Passwort-Hashes verloren gegangen sein sollen. Separat hat ACCESS bestätigt, dass 1.305 Kartenkonten von CROS gestohlen wurden. Die beiden Fälle hängen nicht zusammen, zeigen aber gemeinsam zwei häufige Arten der Exposition: Anmeldedaten und Zahlungskartendaten.

Die bisher verfügbaren Details sind begrenzt, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und erklärt, was das in der Praxis bedeutet.

Was beim Datenleck von Comic CMoa und bei ACCESS durchgesickert ist

Den Berichten zufolge betrifft das Datenleck bei Comic CMoa einen beliebten japanischen E-Book-Shop, und zu den verlorenen Daten gehören E-Mail-Adressen von Nutzern und Passwort-Hashes. Ein Passwort-Hash ist eine verschlüsselte Version eines Passworts, nicht das Passwort selbst. Unternehmen speichern Hashes, damit sie keine Klartext-Passwörter auf ihren Servern aufbewahren müssen.

Der zweite Vorfall ist davon unabhängig. ACCESS hat bestätigt, dass 1.305 Kartenkonten von CROS gestohlen wurden. Die Quelle beschreibt den Umfang mit 1.305 Kartenkonten und liefert in dem von uns geprüften Material keine weiteren Details. Wir werden nicht spekulieren, welche Felder entnommen wurden, wie die Angreifer hineingelangt sind oder wer hinter einem der beiden Vorfälle steckt.

Es lohnt sich zu betonen, dass es sich um zwei verschiedene Unternehmen, zwei verschiedene Systeme und zwei verschiedene Arten von Daten handelt. Leser sollten nicht annehmen, dass ein Vorfall mit dem anderen zusammenhängt.

Warum gehashte Passwörter Nutzer trotzdem gefährden

Zu hören, dass nur Hashes entwendet wurden, kann beruhigend klingen, sollte aber niemanden entspannen lassen. Hashes sind eine Schutzschicht, keine Garantie. Wie sicher ein gehashtes Passwort ist, hängt davon ab, wie stark das ursprüngliche Passwort war und wie der Dienst es gehasht hat.

Wenn ein Angreifer eine Reihe von Hashes erbeutet, kann er versuchen, rückwärts zu arbeiten, indem er gängige Passwörter errät, jede Vermutung hasht und die Ergebnisse vergleicht. Kurze, vorhersehbare oder häufig verwendete Passwörter fallen in der Regel zuerst. Starke, einzigartige Passphrasen sind viel schwerer wiederherzustellen.

Auch die E-Mail-Adressen sind von Bedeutung. Selbst ohne jedes Passwort kann eine Liste von E-Mail-Adressen, die an einen bestimmten Dienst gebunden sind, für gezieltes Phishing genutzt werden, etwa für gefälschte Nachrichten, die vorgeben, vom E-Book-Shop zu stammen, und Sie auffordern, sich erneut anzumelden.

Die größte praktische Gefahr ist die Passwort-Wiederverwendung. Wenn Sie Ihr Comic-CMoa-Passwort auf einer anderen Website verwendet haben, könnte jeder, der diesen Hash knackt, dieselbe Kombination aus E-Mail und Passwort anderswo ausprobieren. Dies wird als Credential Stuffing bezeichnet und funktioniert nur, wenn Menschen Passwörter wiederverwenden.

Was der CROS-Kartendiebstahl für betroffene Kunden bedeutet

Kartendaten sind ein anderes Problem. Bei 1.305 gemeldeten gestohlenen Kartenkonten von CROS ist die Hauptsorge betroffener Kunden unbefugte Belastungen und Betrugsversuche. Kartenausgeber haben in der Regel Verfahren zum Ersetzen kompromittierter Karten und zum Anfechten betrügerischer Transaktionen, können aber nur handeln, wenn Sie ein Problem bemerken oder darüber informiert werden.

Wenn ACCESS oder Ihr Kartenausgeber Sie zu diesem Vorfall kontaktiert, nehmen Sie den Hinweis ernst, überprüfen Sie ihn aber zuerst. Auf Datenlecks folgen häufig Betrugsnachrichten, die das betroffene Unternehmen nachahmen. Verwenden Sie Kontaktdaten, die auf Ihrer Karte aufgedruckt oder direkt von der offiziellen Website des Unternehmens stammen, nicht Links in einer unerwarteten E-Mail oder Textnachricht.

Kleine Testbelastungen sind ein häufiges Anzeichen für Kartenmissbrauch, daher verdient selbst eine geringfügige Transaktion, die Sie nicht erkennen, einen Anruf bei Ihrem Kartenausgeber.

Schritte zum Schutz Ihrer Konten nach einem Datenleck

Sie müssen nicht in Panik geraten, aber ein paar schnelle Maßnahmen bewirken viel:

  • Ändern Sie wiederverwendete Passwörter. Wenn Ihr Comic-CMoa-Passwort irgendwo anders verwendet wurde, ersetzen Sie es bei jedem anderen Konto. Machen Sie jedes einzelne einzigartig.
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Selbst wenn jemand Ihr Passwort hat, macht ein zweiter Faktor den Zugang viel schwieriger. App-basierte Codes oder Hardware-Schlüssel sind in der Regel stärker als SMS.
  • Verwenden Sie einen Passwort-Manager. Er kann lange, zufällige Passwörter generieren und sie für Sie merken, was die Versuchung zur Wiederverwendung beseitigt.
  • Überwachen Sie Ihre Kartenabrechnungen. Prüfen Sie Ihre Konten regelmäßig, richten Sie Transaktionsbenachrichtigungen ein, falls Ihre Bank sie anbietet, und melden Sie alles Unbekannte sofort.
  • Seien Sie wachsam gegenüber Folge-Nachrichten. Klicken Sie nicht auf Links in unerwarteten E-Mails zu einem der beiden Vorfälle.

Dieselben Gewohnheiten gelten nach jedem Datenleck, einschließlich Angriffen, bei denen Kriminelle darauf abzielen, ein Opfer direkt zu schädigen, wie im Fall eines Akira-Ransomware-Affiliates, dessen Angriff nach hinten losging. Angreifer machen Fehler, aber Sie sollten sich nicht darauf verlassen, dass dies Ihre Daten schützt.

Was das für Sie bedeutet

Wenn Sie ein Comic-CMoa-Konto haben, gehen Sie davon aus, dass Ihre E-Mail-Adresse in den Händen Dritter sein könnte und dass Ihr Passwort-Hash irgendwann geknackt werden könnte, insbesondere wenn das Passwort schwach war. Ändern Sie es, und ändern Sie es überall dort, wo Sie es verwendet haben. Wenn Sie mit CROS oder einem ACCESS-Kartenkonto verbunden sind, beobachten Sie Ihre Abrechnungen genau und bestätigen Sie jegliche Kommunikation über offizielle Kanäle.

Wenn Sie zu keiner der beiden Gruppen gehören, sind diese Vorfälle dennoch eine nützliche Erinnerung. Der größte Schaden durch Datenlecks entsteht später, wenn gestohlene Daten gegen Menschen wiederverwendet werden, die ihre Gewohnheiten nicht geändert haben.

Die wichtigsten Erkenntnisse

Das Datenleck bei Comic CMoa und der Kartendiebstahl bei ACCESS CROS sind separate Ereignisse, aber der Rat ist derselbe: handeln Sie früh. Ersetzen Sie wiederverwendete Passwörter durch einzigartige, aktivieren Sie 2FA, speichern Sie Anmeldedaten in einem Passwort-Manager und überprüfen Sie regelmäßig Ihre Kartenaktivitäten. Zehn Minuten Aufräumen jetzt sind weit einfacher, als sich später mit Kontoübernahmen oder betrügerischen Belastungen auseinandersetzen zu müssen.