SourceNext gab am 15. Oktober bekannt, dass unbefugter Zugriff auf sein Mitgliederinformations-Managementsystem bis zu 22.519.960 Kundendatensätze offengelegt haben könnte. Die Zahl von 22 Millionen Datensätzen beim SourceNext-Datenleck macht dies zu einem der größten Unternehmenslecks, die Japan je gesehen hat, und jeder, der jemals ein Konto bei dem Unternehmen hatte, sollte dies ernst nehmen.
Die bisher verfügbaren Details sind begrenzt, daher beschränkt sich dieser Artikel auf das, was berichtet wurde, und konzentriert sich auf praktische Schritte, die Sie jetzt ergreifen können.
Was SourceNext offengelegt hat und wie groß das Leck ist
Dem Bericht zufolge erklärte das Unternehmen, dass unbefugter Zugriff auf sein Mitgliederinformations-Managementsystem bis zu 22.519.960 Kundendatensätze offengelegt haben könnte. Die Formulierung ist wichtig: Das Unternehmen sagte, dass Datensätze möglicherweise offengelegt wurden, und die Zahl ist eine Obergrenze und keine bestätigte Anzahl gestohlener Einträge.
Der Quellbericht gibt nicht an, welche Felder in den betroffenen Datensätzen enthalten waren, und wir werden nicht raten. Bis das Unternehmen eine Aufschlüsselung veröffentlicht, ist die sicherste Annahme, dass alle Informationen, die Sie bei der Erstellung oder Verwaltung eines Mitgliedskontos angegeben haben, betroffen sein könnten. Das bedeutet in der Regel Kontaktdaten und Kontoanmeldedaten, aber prüfen Sie die Mitteilung des Unternehmens für die bestätigte Liste.
Warum dieses Datenleck zu den größten Japans zählt
Dem Bericht zufolge ist der Vorfall das zweitgrößte Datenleck eines japanischen Unternehmens. Nur ein Leck von etwa 35,04 Millionen Datensätzen rangiert höher.
Die Größenordnung ist mehr als nur ein Ruhmesblatt in einem düsteren Ranking. Wenn eine Datenbank Dutzende Millionen Menschen umfasst, werden die offengelegten Datensätze zu nützlichem Rohmaterial für Kriminelle, die Massenkampagnen durchführen. Selbst eine geringe Erfolgsquote über Millionen von Kontakten kann viele Opfer hervorbringen. Deshalb folgen auf große Datenlecks tendenziell Wellen von Betrugsnachrichten und Anmeldeversuchen bei nicht zusammenhängenden Diensten.
Dies ist auch nicht der einzige jüngste japanische Unternehmensvorfall mit Auswirkungen auf Verbraucher. Im früheren Herbst störte ein Ransomware-Angriff auf Keio-Konzerngesellschaften Systeme und beeinträchtigte Kartenzahlungen in Einzelhandelsgeschäften. Die Ursachen unterscheiden sich, aber beide Fälle zeigen, wie ein einziges kompromittiertes System auf gewöhnliche Kunden durchschlagen kann.
Wie betroffene Kunden Folge-Phishing erkennen können
Die wahrscheinlichste Konsequenz eines solchen Datenlecks ist nicht dramatisches Hacken Ihrer Konten. Es ist eine Flut überzeugender Nachrichten. Kriminelle, die Kundendatensätze besitzen, können E-Mails oder SMS versenden, die scheinbar vom Unternehmen selbst stammen und auf Ihre Mitgliedschaft oder einen Kauf verweisen.
Achten Sie auf diese Anzeichen:
- Dringlichkeit. Nachrichten, die behaupten, Ihr Konto werde geschlossen oder Sie müssten innerhalb von Stunden handeln.
- Aufforderungen, sich über einen Link anzumelden. Seriöse Mitteilungen erfordern selten, dass Sie auf einen Link klicken, um Ihr Passwort oder Ihre Zahlungsdaten zu „verifizieren".
- Unerwartete Rückerstattungen oder Entschädigungsangebote. Datenschutzverletzungsmitteilungen sind eine beliebte Tarngeschichte für Betrüger.
- Leicht abweichende Absenderadressen oder Domains. Prüfen Sie die vollständige Adresse, nicht nur den Anzeigenamen.
Im Zweifelsfall verwenden Sie nicht den Link in der Nachricht. Öffnen Sie die Website des Unternehmens, indem Sie die Adresse selbst eingeben, oder verwenden Sie ein Lesezeichen, das Sie bereits hatten, und prüfen Sie dort auf Mitteilungen.
Was das für Sie bedeutet
Wenn Sie jemals ein SourceNext-Konto hatten, gehen Sie davon aus, dass Ihre Informationen im betroffenen Datensatz enthalten sein könnten, bis das Unternehmen etwas anderes sagt. Ihre realistischen Risiken sind gezieltes Phishing und die Wiederverwendung von Anmeldedaten. Wiederverwendung von Anmeldedaten bedeutet, dass ein Angreifer dieselbe E-Mail- und Passwortkombination bei anderen Diensten ausprobiert, etwa bei E-Mail-, Shopping- oder Bankkonten. Wenn Sie ein Passwort an mehreren Stellen verwendet haben, kann ein Leck bei einem Unternehmen Türen anderswo öffnen.
Wenn Sie SourceNext nie genutzt haben, betrifft Sie dieser spezifische Vorfall nicht direkt, aber die folgenden Gewohnheiten sind unabhängig davon empfehlenswert.
Schritte zur Begrenzung Ihrer Exposition nach einem Datenleck
- Ändern Sie jetzt wiederverwendete Passwörter. Beginnen Sie mit dem SourceNext-Passwort und dann mit jedem anderen Konto, bei dem Sie dasselbe verwendet haben. Priorisieren Sie E-Mail, da damit alles andere zurückgesetzt werden kann.
- Verwenden Sie einzigartige Passwörter. Ein Passwortmanager macht dies handhabbar, indem er für jede Website ein anderes Passwort generiert und speichert.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort gestohlen wird, macht ein zweiter Faktor die Nutzung deutlich schwieriger. Authenticator-Apps oder Hardware-Schlüssel sind in der Regel stärker als SMS-Codes.
- Richten Sie eine Leck-Überwachung ein. Viele Browser, Passwortmanager und kostenlose Dienste können Sie benachrichtigen, wenn Ihre E-Mail-Adresse in einem bekannten Leck auftaucht.
- Überprüfen Sie die Kontoaktivität. Prüfen Sie aktuelle Anmeldungen und gesendete Nachrichten auf alles, was Sie nicht erkennen.
- Seien Sie vorsichtig bei unaufgeforderten Kontaktaufnahmen. Behandeln Sie jede Nachricht, die Ihre SourceNext-Mitgliedschaft erwähnt, als verdächtig, bis sie über offizielle Kanäle verifiziert wurde.
Das Fazit
Die Offenlegung von 22 Millionen Datensätzen beim SourceNext-Datenleck ist eine Erinnerung daran, dass Sie nicht kontrollieren können, wie gut ein Unternehmen Ihre Daten schützt, aber Sie können kontrollieren, wie viel Schaden ein Leck anrichten kann. Wenn Sie möglicherweise SourceNext-Kunde sind, ändern Sie heute alle wiederverwendeten Passwörter, aktivieren Sie die Zwei-Faktor-Authentifizierung und richten Sie eine Leck-Überwachung ein. Mehr darüber, wie ein Unternehmensvorfall alltägliche Verbraucher erreichen kann, finden Sie in unserer Berichterstattung über den Keio-Ransomware-Angriff, und achten Sie auf Updates von SourceNext, während das Unternehmen bestätigt, was offengelegt wurde.
, zeigt, wie eine Datenpanne bei einem einzigen Administrator weit mehr Menschen erreichen kann als die Organisationen, die die Informationen ursprünglich erhoben haben. Leser können auch sehen, wie eine [DentaQuest-Benachrichtigungskampagne 15 Millionen Patienten erreichte](/en/dentaquest-breach-notices-reach-15-million-patients) in den Benachrichtigungen, die folgten.
## Ihre Rechte zur Datenaufbewahrung nach PIPEDA
Kanadas bundesweites Datenschutzgesetz für den Privatsektor, der Personal Information Protection and Electronic Documents Act (PIPEDA), ist der Rahmen, an den sich viele Kanadier wenden, wenn sie wissen wollen, welche Informationen eine Organisation über sie speichert. Die Zusammenfassung des CBC-Artikels sagt nicht, welche Gesetze auf den Crime-Stoppers-Fall anwendbar sind, daher ist dieser Abschnitt eine allgemeine Orientierung und keine rechtliche Bewertung dieses Vorfalls.
Allgemein gesprochen baut PIPEDA auf Grundsätzen wie der Begrenzung der Erhebung, der Begrenzung der Aufbewahrung und dem Schutz personenbezogener Informationen auf. Einzelpersonen können in der Regel eine Organisation fragen, welche personenbezogenen Informationen sie über sie speichert, und Bedenken beim Datenschutzbeauftragten der Organisation äußern. Ist die Antwort unbefriedigend, kann eine Beschwerde beim Office of the Privacy Commissioner of Canada eingereicht werden.
Die Frage der Aufbewahrung ist hier zentral. CBCs Feststellung, dass Jahrzehnte sensibler Aufzeichnungen unsachgemäß aufbewahrt wurden, ist genau die Art von Problem, die Aufbewahrungsgrenzen adressieren sollen: Daten, die keinem Zweck mehr dienen, sind eine Haftung, die auf eine Datenpanne wartet.
## So begrenzen Sie, was Sie mit Drittanbieter-Diensten teilen
Sie können die Datenbank eines Dienstleisters nicht prüfen, aber Sie können kontrollieren, was hineingelangt. Diese Gewohnheiten verringern Ihre Exposition:
- **Teilen Sie nur, was nötig ist.** Wenn Sie einen Hinweis einreichen, bleiben Sie bei den Fakten des Ereignisses. Lassen Sie Ihren eigenen Namen, Ihren Arbeitsplatz, Ihre Beziehung zu den beteiligten Personen oder Details, die nur Sie kennen würden, weg.
- **Vermeiden Sie identifizierende Nebendetails.** Schreibstil, Zeitpunkt und Einzelheiten darüber, wie Sie etwas erfahren haben, können auf Sie zurückweisen, auch ohne einen Namen.
- **Verwenden Sie ein Gerät und ein Netzwerk, mit denen Sie sich wohlfühlen.** Ein VPN kann Ihre IP-Adresse vor einer Website verbergen, tut aber nichts gegen das, was Sie in ein Formular eingeben, daher ist es kein Ersatz für sorgfältige Formulierungen.
- **Fragen Sie, wer den Dienst betreibt.** Viele öffentlich zugängliche Programme stützen sich auf externe Plattformen. Ihre Datenschutzrichtlinie sollte angeben, wer Ihre Informationen verarbeitet und für wie lange.
- **Gehen Sie davon aus, dass gespeicherte Daten leaken können.** Behandeln Sie jedes Formular, das Sie ausfüllen, als etwas, das eines Tages öffentlich werden könnte.
## Was das für Sie bedeutet
Wenn Sie jemals einen Hinweis bei einem Crime-Stoppers-Programm eingereicht haben, sind die CBC-Ergebnisse ein Grund, zu überprüfen, was Sie angegeben haben, kein Grund zur Panik. Ob ein bestimmter Hinweis auf eine Person zurückverfolgt werden kann, hängt von seinem Inhalt ab, und die Untersuchung ist noch im Gange. Wenn Sie besorgt sind, erwägen Sie, das betreffende Programm oder das Office of the Privacy Commissioner of Canada zu kontaktieren, um zu fragen, welche Informationen gespeichert werden und wie sie geschützt werden.
Allgemeiner zeigt diese Geschichte, dass Anonymität eine Eigenschaft des gesamten Systems ist, nicht nur des Einreichungsformulars. Große Datenpannen führen oft auf einen Dienstleister zurück, wie bei Vorfällen wie der [ShinyHunters-Behauptung zu FBI-verbundenen Daten](/en/shinyhunters-claims-fbi-hack-denies-financial-motive) zu sehen ist, bei der mehrere Unternehmen im Zusammenhang mit dem angeblichen Diebstahl genannt wurden.
## Wichtigste Erkenntnisse
- CBC berichtet, dass mehr als 1,5 Millionen kanadische Crime-Stoppers-Hinweise geleakt wurden, und die Kingston Police sagen, ein Hacker habe bei einem Vorfall im Jahr 2025 100.000 Dokumente entwendet.
- CBCs Analyse deutet darauf hin, dass die Identitäten der Hinweisgeber nicht geschützt waren, personenbezogene Daten nicht redigiert wurden und Aufzeichnungen aus Jahrzehnten aufbewahrt wurden.
- Die Anonymität bei der Crime-Stoppers-Datenpanne hängt davon ab, wie Dienstleister Daten speichern und bereinigen, nicht nur davon, was ein Formular verspricht.
- Fragen Sie jede Organisation, mit der Sie zu tun haben, welche personenbezogenen Daten sie aufbewahrt, wer sie verarbeitet und für wie lange. Möglicherweise haben Sie nach PIPEDA Rechte auf diese Informationen.
- Lesen Sie weiter unsere Berichterstattung über Datenpannen mit Drittanbieter-Administratoren, einschließlich der oben verlinkten DentaQuest-Benachrichtigungsgeschichte, um zu sehen, wie sich diese Versäumnisse wiederholen.](/api/img?p=articles%2F8251%2Fimage-0.jpg&w=640)
