News Hackerangriff: Mindfactory informiert über möglichen Datendiebstahl

[Zhenwu]

• Amazon installierte ein kompromittiertes OpenSource-Software-Paket, das Zugangsdaten abgriff.

👍
Da hab’ ich wohl zu schnell/schlecht recherchiert.

 

[Ignoramus]

Na dann bin ich doch mal gespannt wann und wo meine Mindfactory EMail in den nächsten Wochen und Monaten auftauchen wird

 

[6x86]

Mich hat es auch erwischt, nach NBB (Gastbestellung, Paypal). Bei Mindfactory habe, ganz vergessen, mach der Heise ein Konto erstellt (GPU) Bestellung - und gerade kam verspätet (?) auch hier die Mail. Anmerkung: Bei beiden Konto haben unterschiedliche Mail-Adressen und PWs hinterlegt.

Ist noch jemand in Kombi NBB + Mindfactory betroffen?

 

[erazzed]

Habe die Mail bekommen und bin dem Link zum Zurücksetzen des Passworts gefolgt.

Das Lustige an der Sache ist, dass die darauf folgende Mail mit dem temporären Passwort ein Zeichensatzproblem hat und Umlaute falsch angezeigt werden. Ratet mal was in meinem temporären Passwort enthalten ist...

Anmeldung damit funktioniert natürlich nicht und wenn ich den falschen Zeichensatz durch das vermeintlich korrekte Umlaut ersetze - klappt der Login auch nicht. Jetzt ist mein Konto temporär gesperrt. Dass man sich im Jahr 2026 noch immer mit Zeichensatz-/Unicode-Problemen konfrontiert sieht, macht mich ehrlich gesagt echt aggressiv.

 

[Whistl0r]

Sie ist ein Bürokratiemonster, wenn man tatsächlich Strafen einführen würde. Und ich verrate dir ein offenes Geheimnis: Wir haben schon 2 mal erlebt, dass Richter Daten öffentlich gemacht haben, obwohl es eine Datensperre gab, in 2 unterschiedlichen Fällen. Verklag jetzt mal den Richter... viel Spaß!

Ohne Details zu nennen ist diese Aussage weniger hilfreich. Für Leute die auf dem Gebiet nicht bewandert sind, klingt das jetzt beinahe nach einem Skandal. Wer aber eine juristische Vorbildung hat wird gleich wissen: Wo ist das Problem? Es ist völlig normal, dass es in einem Rechtssystem wie dem unseren verschiedene Ansprüche gibt. Und so kann es ein höheres Begehren geben, dass Daten durch Richter öffentlich werden (die meisten Urteile ergehen immerhin im Namen des Volkes was viele Leute vergessen).

Ja, es gibt Vorgaben, wie die Daten erhoben, gespeichert und verarbeitet werden müssen. Man muss die Systeme aktuell halten aber es wird nicht gefordert, dass man Fehler in Open-Source-/OTS-Software selbst korrigieren muss: Sprich, wenn es einen Fehler in PHP oder sonst wo gibt, muss das nur auf den aktuellen Stand gebracht werden. Wenn eine Firma nachweisen kann, dass sie das (zeitnah) gemacht hat, wird sie vermutlich auch nicht bestraft werden. Ansonsten müsste jemand klagen, Beweise sammeln und verurteilen... und das wäre für unsere überforderten Gerichte bestimmt erfreulich. Die einzigen die dann so oder so Geld verdienen sind Anwälte.

Ohne irgendwelche Details zu kennen, gebe ich dir hier und jetzt Brief und Siegel darauf, dass weder NBB noch Mindfactory über irgendein Zero-Day die Daten verloren haben. Wenn es da überhaupt zu einem Sicherheitsvorfall kam wo unbefugte Dritte in Systeme eingedrungen sind (nochmals: Siehe den DigiCert Bericht von dieser Woche -- da hat niemand irgendetwas gehackt, da wurde bei einer System-Migration ein neues System nicht korrekt abgesichert und jemand hat die herumliegende kundendaten.zip gefunden und einfach geladen -- vermutlich einfach nur ein dummer Fehler).

Die Vorstellung, dass da irgendwelche hochspezialisierten Hacker sitzen oder Leute die geheimsten LLMs für sich arbeiten lassen ist leider nur eine romantsiche Verklärung welche sich für Laien und Presse hervorragend verkauft. Die Realität ist (noch) eine ganz andere.

Und das ist eben mein Punkt: Ich klage keinen an der wirklich nach Best Practice gehandelt hat. Das Dingen ist aber: Ich kenne niemanden der nach Best Practice gehandelt hat und gehackt wurde. Siehst du das Problem? Die Leute die sich an Best Practice halten, als dem Stand der Technik, sind nicht betroffen.

Diese Erkenntnis ist für den ein oder anderen Bitter. Aber die meisten Vorfälle dieser Art sind derzeit noch vermeidbar.

Nimm diese PHP2Shell Lücke. Was war das für eine Aufregung. Seit dem ist gar nichts passiert. Es hat knapp 10 Tage gebraucht, bis jemand unter Laborbedingungen dieses Crypto-Wallet sich geholt hat. Und seit dem? Versteht mich hier bitte nicht falsch: Die Lücke ist schlimm und muss gepatcht werden. Aber wer Angesichts solcher Meldungen irgendein Mitgefühl mit gehackten Unternehmen hat dem sei gesagt, dass das Mitgefühl an der Stelle falsch ist: Darüber ist am Ende gar nichts passiert.

Und wenn dann also jemand kundendaten.zip irgendwo öffentlich herumliegen lässt, dann ist das ein organisatorisches Versagen was man leicht hätte verhindern können: Alleine der Umstand, dass diese Datei unverschlüsselt erzeugt wurde, dass sie auf so einem System dann abgelegt wurde... da geht es doch schon los. Es ist das -- Achtung Buzzword -- Mindset der Leute wo es beginnt.

Jeder der heute mit Daten hantiert muss wissen ob diese sensibel sind oder nicht. Im Zweifel sind sie es. Dann dürfen diese Daten wenn sie irgendwo abgelegt werden nie unverschlüsselt abgelegt werden. Fertig aus. Aber um das gleich zu sagen: Wenn dann "Verschlüsselte-Kundendaten.zip" dennoch von Dritten kopiert wurde ändert dies nichts an den rechtlichen Folgen: Der akute Schaden ist aktuell noch nicht eingetreten. Aber das kann jederzeit passieren -- sobald eben jemand das Kennwort/Verschlüsselung geknackt hat. Ich will nicht wissen wie viele Firmen in dem Moment entscheiden, "Dann gehen wir noch nicht an die Öffentlichkeit, informieren die Behörden noch nicht... und sollten dann doch irgendwann einmal Daten auftauchen geben wir uns entweder überrascht oder geben ein kurzes Statement ab von wegen, "Ach... alter Kaffee!".

Die DSGVO ist in meinen Augen ein zahnloses Biest, es wird gerne verwendet um Arbeit zu verweigern. Schon mal so einen Wisch z. B. bei einem Arzt unterschrieben? Man bekommt dafür einen Vordruck, bei dem man der Datenerhebung zustimmt. Verlange mal einen Vordruck, der die Zustimmung wieder rückgängig macht: Viel Glück!

Ich würde dich aus meinem Laden rauswerfen. So einfach ist das. Jeder Unternehmer hat das freie Recht zu entscheiden mit wem er Geschäfte macht. Ich zeige dir meine Bedingungen. Du hast ein Problem damit. Willst deine Recht "wahrnehmen"... schön... aber darauf muss ich keine Lust haben

Das als Beispiel für zahnloses Biest zu wählen, ist in meinen Augen keine gute Wahl.

Hier sehe ich eher ein anderes Problem: Ich verstehe nicht wieso die DSGVO zugelassen hat, dass Anbieter Haftungen etc. an Dienstleister auslagern dürfen. Wenn ich mit Firma/Arzt/Restaurant was auch immer spreche, dann ist diese Stelle mein Ansprechpartner. Mir ist ganz egal mit wem die zusammenarbeiten. Dann sollen sie eben mit "Uns sind ihre Daten herzlich egal GmbH" zusammenarbeiten. In dem Moment wo Daten denen bzw. deren Dienstleistern Daten abhanden kommen, ist ganz alleine diese eine Stelle mein Ansprechpartner. Und auch dann interessiert es mich nicht wenn sie mir erzählen wollen, "Aber wir konnten ja nicht ahnen, dass 'Uns sind ihre Daten herzlich egal GmbH' ihre Daten wirklich egal waren.... mit denen arbeitet JEDER zusammen". Dabei sprechen sie aus ihrer Sicht natürlich ein Problem an. Und von jemandem, dessen originäres Geschäft etwas ganz anderes ist, zu erwarten, dass er das Geschäft seiner Dienstleister auch noch überblickt birgt auch Probleme (Stichwort "Lieferkettengesetz"), es kann aber nicht sein, dass die dann nur mit der Schulter zucken und auf den Dienstleister verweisen und das man ja explizit unterschrieben habe...
Das ist für mich das größte Versagen der DSGVO.

Wenn man sicherstellt, dass die Haftung bei demjenigen liegt, der Dinge anbietet, dann regelt sich vieles von ganz alleine. Sicherlich wird das Angebot dann auch ein anderes sein. Aber man kann halt auch nicht immer alles haben.

 

[Hack3p3t3r]

Ich hatte letztes Jahr Anfang Dezember meine Grafikkarte gekauft und habe keine Infomail darüber erhalten.

Kaum macht man hier von sich aufmerksam, flattert die E-Mail ein. 🤔

 

[Darklordx]

Nach NBB habe ich auch von Mindfactory eine Mail bekommen... Es🤮 mich an...

 

[6x86]

@Darklordx dito

 

[TausendWatt]

Dann erzähl doch mal, wieso Amazon davon bisher befreit ist?

Als wenn es die großen noch nie getroffen hat! Sony, Amazon Binance, überall gab es schon vorfälle

Oder andere große Händler, die weit mehr abwickeln und mehr Kunden haben als Mindfactory?

Notebooksbilliger, MediaMarkt.

Ich wette, 99,9 % daheim haben keine IT‑Abteilung oder einen externen Dienstleister.

Aber das Maul aufreißen als wüsste man was

Auch hier: Wunderbar Äpfel mit Bieren verglichen

What?

 

[Sebbi]

Manch ein Forist scheint vor Überheblichkeit nur so zu trotzen.
Gerade hier im Forum hätte ich mehr Verständnis und Hintergrundwissen erwartet.

Wenn ein Unternehmen es noch nicht mal hinbekommt, ein ortentliches Warenhaltungssystem für den Shop zu haben kannst du dir SICHER sein, die IT Abteilung bei denen quasi nicht existrent ist und vieles vernachlässigt wird.
Denn bei MF passiert es oft, das Ware als LAGERND mit mehr als 5 Stück gekennzeichnet wird, man bestellt und 1 - 2 Tage später erhält man sowas:

Leider müssen wir Ihnen mitteilen, dass der Artikel **** inzwischen nicht mehr von uns geführt wird bzw. von uns nicht mehr zu beschaffen ist und wir Ihre Bestellung daher nicht ausführen können.

btw in meinen Fall wurde **** wurde aber dann 2 Wochen später zu einen höheren Preis unter anderer Artikelnummer wieder angeboten .... das war 2023 und noch immer werden ähnlich lautenden Bewertungen abgegeben.

 

[Whistl0r]

Als wenn es die großen noch nie getroffen hat! Sony, Amazon Binance, überall gab es schon vorfälle

Wobei es sich schon lohnt im Detail hinzuschauen: So würde ich rein für die Statistik schon unterscheiden ob einer der großen direkt dafür verantwortlich war oder im Zusammenhang mit Partnern. Im Ergebnis entschuldigt das gar nichts aber oftmals ist es leider so, dass für irgendeine Marketing-Aktion mit irgendwem kleines zusammengearbeitet wird, der für diese Tätigkeit eben Daten braucht und es dabei dann zu Leaks kommt, weil der kleine es eben nicht ordentlich macht.

Den aktuellen Binance-Fall würde ich ganz klar separieren: Was da im September passiert ist, würde ich in der Tat zu einem gewissen Grad entschuldigen (siehe https://www.binance.com/en/blog/community/3229153443759566763). Aber von solchen orchestrierten Vorfällen sprechen wir bei MF und Co. gar nicht.

 

[Darklordx]

Und jetzt kommt eine Mail von Microsoft, dass mein Account mit einer Emailadresse, die ich gar nicht für den Account verwende, kompromittiert wurde...

Dabei bekomme ich diese Mails sonst immer von der deutschen Konto-Verwaltung... Es gibt auch keine Anmeldeversucher außer von mir mit der originären Email vom Account...

 

[lynxx]

Das ist spannend. Ich war vor der Insolvenz dort regelmäßiger Kunde. Als heise den Laden übernommen hat, war mein Kundenkonte samt History weg. Ich musste mich neu anmelden. Hatte extra nachgefragt ob ich alte Kundennummer usw. wiederbekommen könnte... war nicht möglich. Angeblich alles gelöscht.

... aber die können doch nicht einfach alle alten Konten löschen .. Ich hab z.B 2x 16 TB Festplatten im Februar 2022 gekauft, die haben 5 Jahre Garantie die über den Händler abgewickelt wird, läuft also noch bis Februar 2027 ..
Und das Problem haben sicher noch viel mehr Kunden.

 

[6x86]

@Darklordx Also hat jemand versucht dein E-Mail-Konto, was du bei MF hinterlegt hast, zu übernehmen 🤔?

 

[TeeKayEV]

... aber die können doch nicht einfach alle alten Konten löschen .. Ich hab z.B 2x 16 TB Festplatten im Februar 2022 gekauft, die haben 5 Jahre Garantie die über den Händler abgewickelt wird, läuft also noch bis Februar 2027 ..
Und das Problem haben sicher noch viel mehr Kunden.

Insolvenz ist eben Insolvenz. Das Unternehmen, bei dem du kauftest, wurde abgewickelt und existiert nicht mehr. Heise hat lediglich einzelne Vermögenswerte gekauft - die Kundendatenbank gehörte nicht dazu. Sei froh, dass aus der Bude überhaupt irgendetwas gekauft und nicht einfach alles abgewickelt wurde. Dass Heise dir weiter Service anbietet, ist reine Kulanz und völlig unabhängig davon, ob dein Kundenkonto gelöscht wurde. Weise den Kauf eben durch die Rechnung nach.

 

[Darklordx]

@6x86

Nein, weil das wäre ja meine "echte" Emailadresse... Nur mit der Schreibweise, mit der angeblich "mein" Microsoft-Konto bestünde, habe ich überhaupt keinen Microsoft Account! Niemals gehabt. Es gibt zwar eine Account-Wiederherstellungs-Email, aber die schreibt sich anders...

Ich habe soeben mal probiert, ob es diesen Account denn gibt. Gibt es... Ich habe den wohl vor langer, langer Zeit mal eingerichtet, aber schon lange nicht mehr benutzt... WTF?

Wow. Da hat sich jemand succesful eingeloggt... Jetzt hat dieser Account erstmal ein anderes Passwort. Seit dem 5.11. hat man sich daran versucht.

An meinem richtigen Account gibt es keine verdächtigen Anmeldeversuche...

Edit: Lösche den alten Account... Und Tschüß! 😝

 

[St3ppenWoLF]

Wurden auch deren Kühlregale auf +50°C eingestellt? *SCNR

 

[6x86]

@Darklordx das hört sich nicht gut an. Seitdem ich, wie viele anderen (war vor einigen Wochen in den Medien), Opfer von Novasparkling geworden bin - habe ich schon jetzt Bauchschmerzen bezgl. NBB und MF. Ich gebe meine Daten sparsam bis gar nicht preis. Aber seit dem Vorfall weiß ich leider, was Kriminelle mit vsl. abgefischten Datensätze betreiben können (u.a. Scheinverträge unterschieben)... schon lang sind die Zeiten unvorstellbar, dass man in den 80er und 90er mit Namen und i.d.R. Adresse öffentlich im Telefonbuch stand. Das wäre heute ja unvorstellbar und ein gefundendes Fressen für Kriminelle....

 

[teufelernie]

Man darf davon ausgehen, dass es PHP2shell gewesen ist...

Nö.
Gibt doch mittlerweile alle Tage nach irgend so ein Zeug.

Direkt danach kam Brotli2Shell.
Oder mein Favorit, einfach weil so genial doof: https://sshhole.com

 

[Zhenwu]

What?

So schwer war’s nun nicht. Aber für dich noch einmal genauer erklärt. 💪
Der Vergleich hinkt, und zwar gewaltig.
Du kannst doch nicht allen Ernstes einen Privaten Anwender mit einem Multimillionenunternehmen vergleichen.