News Hackerangriff: Mindfactory informiert über möglichen Datendiebstahl

[Xhausted90]

Also sind nach 2011 meine Daten wahrscheinlich schon wieder bei Mindfactory geklaut worden. Da macht es dann wohl auch keinen großen Unterschied, dass die Daten auch bei Notebooksbilliger und ein paar anderen Shops abhanden gekommen sind.

Hat das eigentlich irgendwo, irgendwie irgendwann auch irgendwelche Konsequenzen? Oder müssen die sich nicht um Datensicherheit kümmern? Frag ich mal als Laie.

Ich frage mich dann immer warum Unternehmen für Security Geld ausgeben sollten, wenn es keine direkten Folgen hat. Ist ja nicht so, dass Leute aufhören bei Amazon zu bestellen, wenn morgen die Daten geleakt werden.

 

[Sinalco-ColaMix]

Woher willst du das denn wissen, das die Datenbank der Kunden nicht doch irgendwo im Netz hähng und mit dem Onlineshop verknüpft ist?

Ich glaube, das würde man schon bemerken, wenn es solche Vorgänge bei Joybuy oder AliExpress geben würde.

 

[TeeKayEV]

Aber mal ne richtige Schelle, so heftig, dass sich die anderen das dann 2 Mal überlegen, ob sie so fahrlässig mit Kundendaten umgehen

Und wie kommt ihr alle darauf, dass damit fahrlässig umgegangen wurde? Vom Ergebnis kann man nicht auf Fahrlässigkeit schließen.

 

[Pingui]

Nach aktuellem Kenntnisstand, wie es heißt. Ich hätte eigentlich gedacht sie können das direkt ausschließen, weil der Server nur Hash-Werte der Passwörter zum Abgleich gespeichert hat...

Ja, also ändern sollte man es eh.

Hoffe dass Alternate und andere schonmal die Verteidigung hochziehen

 

[Wolfgang.R-357:]

Würde mich nicht überraschen, wenn mal wieder KI dafür genutzt wurde.

Bald kaufen wir alle wieder vor Ort im MediaMarkt... :-D

Ich war neulich in einem deren Läden, also viel haben die nicht mehr bezüglich PC-Hardware.
Überwiegend bei Eingabegeräte sind sie noch recht gut aufgestellt, vielleicht noch mit Monitoren, aber sonst siehts schlecht bis nicht vorhanden aus, nur noch bisschen Netzteil und RAM.
Deren Fertig-PCs sind auch zum weglaufen, als ob die ein typischer Amazon Dritthändler aus Asien zusammengestellt hätte, einen habe ich sogar gesehen wo sie RAM aus Notebooks mit einem Adapter verbaut hatten.

 

[Zhenwu]

Und wie kommt ihr alle darauf, dass damit fahrlässig umgegangen wurde? Vom Ergebnis kann man nicht auf Fahrlässigkeit schließen.

Findest du, dass dieser Satz „Welche Maßnahmen haben wir ergriffen?Wir nehmen diesen Vorfall sehr ernst und haben umgehend geeignete Maßnahmen eingeleitet, um die Sicherheit unserer Systeme zu gewährleisten, mögliche Risiken einzudämmen und die Hintergründe des Angriffs aufzuklären.“ Vermittelt, dass sie vorher geeignete Maßnahmen hatten, damit das nicht passiert?

 

[Joker (AC)]

Ich will ja jetzt nix sagen, weil ich nicht so tief in der Materie drin stecke.
Aber ein wenn bei einem Schlüsseldienst die auch Sicherheitsschlösser verkaufen eingebrochen wird, bekomme ich bisschen Vertrauensprobleme.

Und so Leute wie Mindfactory sollten es doch besser wissen?
Trotzdem wird einem permanent suggeriert, der Privat Mensch seie das Risiko und die "Profis" verkacken es aber eigentlich andauernd. 🙄

 

[TeeKayEV]

Vermittelt, dass sie vorher geeignete Maßnahmen hatten, damit das nicht passiert?

Wenn jemand mit nem LKW ins Juwelierfenster fährt, dann sagst der Juwelier dem Lokaljournalisten, dass er geeignete Maßnahmen traf, um seinen Laden abzusichern. Zhenwu kommt dann ins Internet und behauptet, dass der Laden ja weder Fenster noch Türen gehabt haben könne, sonst hätte man ja nicht gesagt, dass man nach dem Einbruch geeignete Maßnahmen getroffen hätte.

 

[gottpersönlich]

2 mal wurden meine Daten aus nem Shop geklaut.
Beides mal war es Mindfactory...

 

[kachiri]

Ätzend, dass Datenschutz anscheinend absolut keine Relevanz hat. Konsequenzen gibt es ja auch keine...

Es gibt keine 100%ige Sicherheit. Und welche Konsequenzen? Wen willst du denn zur Rechenschaft ziehen? Du verklagst ja auch nicht den Hersteller, wenn dir eine Person das Smartphone an den Kopf schmeißt und dir eine Verletzung zufügt...

@Zhenwu Das eine schließt das andere nicht aus... Man hat ausreichend Maßnahmen ergriffen und nach einem Angriff muss man halt feststellen, dass diese Maßnahmen eben doch nicht ausreichend genug waren. So ist das halt. Man kann halt nicht alles auf dem Schirm haben.
"Fahrlässig" könnte es sein, wenn es wirklich die PHP-Lücke als Grund wäre. Weil ein solches Sicherheitsleck muss innerhalb von 1-2 Tagen mindestens "provisorisch" geflickt werden, so dass das Risiko minimiert wird und allerspätestens nach 1-2 Wochen endgültig gefixt sein.

 

[Hornblower]

Äh... MediaMarkt wurde von einem chinesischen Unternehmen übernommen. Meinst Du dort ist die Datensicherheit besser ?

Die werden jedenfalls nicht aus Nordkorea, Russland oder China gehackt ;-)

 

[Frader]

Ich bin ehrlich gesagt langsam echt angepisst. Es ist ja nicht das erste mal das es diesbezüglich Probleme gab.
Ich habe denen nun folgende Email geschrieben:



Sehr geehrte Damen und Herren,

ich habe Ihre Mitteilung über den Hackerangriff auf Ihre IT-Systeme erhalten. Da Sie mich ausdrücklich darüber informiert haben, dass möglicherweise meine personenbezogenen Daten betroffen sind, mache ich hiermit meine Rechte gemäß Art. 15 DSGVO geltend.

Ich fordere Sie auf, mir umfassend Auskunft über die Verarbeitung und eine mögliche Kompromittierung meiner personenbezogenen Daten zu erteilen.

Insbesondere bitte ich um Beantwortung folgender Fragen:

1. Umfang der betroffenen Daten

• Waren meine personenbezogenen Daten tatsächlich Bestandteil des Datenbestands, auf den die Angreifer Zugriff hatten?
• Welche konkreten personenbezogenen Daten meines Kundenkontos waren betroffen?
• Wurden meine Daten lediglich eingesehen oder nachweislich kopiert beziehungsweise exfiltriert?
• Sind meine gespeicherten Zugangsdaten beziehungsweise Passwort-Hashes betroffen?

2. Technische Sicherheitsmaßnahmen

• Welches Passwort-Hashing-Verfahren wurde zur Speicherung der Kundenpasswörter eingesetzt?
• Wurden individuelle Salt-Werte und weitere Schutzmaßnahmen gegen Offline-Angriffe verwendet?
• Welche technischen und organisatorischen Maßnahmen wurden zum Schutz der Kundendaten eingesetzt?
• Welche Maßnahmen wurden ergriffen, um einen weiteren unbefugten Zugriff zu verhindern?

3. Zeitpunkt und Aufklärung des Vorfalls

• In welchem Zeitraum bestand der unbefugte Zugriff?
• Wann wurde der Sicherheitsvorfall erstmals festgestellt?
• Wann wurde die zuständige Datenschutzaufsichtsbehörde informiert?
• Welche Erkenntnisse liegen Ihnen bislang über die Ursache und den Umfang des Angriffs vor?

4. Frühere Sicherheitsvorfälle

Da es bereits in der Vergangenheit öffentlich bekannt gewordene Verdachtsfälle eines unbefugten Zugriffs auf Kundendaten im Zusammenhang mit Mindfactory gab, interessiert mich insbesondere:

• Welche technischen und organisatorischen Sicherheitsmaßnahmen wurden aufgrund früherer Sicherheitsvorfälle angepasst oder verbessert?
• Wurde untersucht, ob die Ursache des aktuellen Vorfalls auf bereits früher bekannte oder unzureichend behobene Sicherheitsprobleme zurückzuführen ist?
• Wurden Erkenntnisse aus früheren Vorfällen bei der Gestaltung und regelmäßigen Überprüfung Ihrer aktuellen Sicherheitsmaßnahmen berücksichtigt?

5. Weitere Informationen und Risikobewertung

• Welche konkreten Risiken sehen Sie für mich als betroffene Person?
• Welche Maßnahmen empfehlen Sie zum Schutz vor einem möglichen Missbrauch meiner personenbezogenen Daten?
• Ist nach aktuellem Kenntnisstand mit einer weiteren Information der betroffenen Kunden zu rechnen, sobald die Untersuchungen abgeschlossen sind?

Ich bitte ausdrücklich um eine Unterscheidung zwischen nachgewiesenem Datenabfluss und lediglich nicht auszuschließendem Zugriff.

Dieses Schreiben ist als förmliches Auskunftsersuchen gemäß Art. 15 DSGVO zu behandeln.

Ich erwarte Ihre vollständige Antwort innerhalb der gesetzlichen Frist von einem Monat gemäß Art. 12 Abs. 3 DSGVO.

Sollte sich im Rahmen der Aufklärung herausstellen, dass durch eine Verletzung datenschutzrechtlicher Pflichten ein Schaden entstanden ist, behalte ich mir ausdrücklich vor, Schadensersatzansprüche gemäß Art. 82 DSGVO geltend zu machen.

Ich erwarte eine transparente und nachvollziehbare Beantwortung meiner Fragen.

Mit freundlichen Grüßen

...

 

[McMOK]

Gut zu wissen das ich nicht allein bin, nochmal werde ich da ganz sicher nichts mehr kaufen.

 

[kachiri]

Ich behalte mir ausdrücklich vor, bei Feststellung eines Datenschutzverstoßes und eines daraus entstandenen Schadens Ansprüche gemäß Art. 82 DSGVO geltend zu machen.

Den du dann auch erst einmal nachweisen musst. Aber klar. Man muss sein Ersuchen natürlich um eine "Drohung" anreichern. Nachdruck und so.

 

[JPsy]

Man kann nur schmunzeln bei den Vorstellungen und Erwartungen mancher hier. Das ist ein Onlineshop, und manche denken da müssen 10 toplevel IT Security Mitarbeiter sitzen, die nicht einmal Großkonzerne haben.
Gewöhnt auch daran, durch KI werden wir die nächsten Jahre überschwemmt von solchen Vorfällen.
Mich wundert eigentlich nur, dass es noch keinen BigBang gab - und nicht so etwas triviales wie Datendiebstahl.

 

[iWebi]

Ich habe denen nun folgende Email geschrieben:

Eher von einer KI kopiert ^^

 

[Frader]

@kachiri
Du hast recht.

Mir geht es im Grunde aber darum das die das Thema mit den Kundendaten endlich ernst nehmen.
Nach DSGVO müssen sie mir ja antworten.

@iWebizu
Zu irgendwas muss sie ja gut sein. 😂
Ich gehe aber auch davon aus das nun eine KI Antwort zurück kommen wird.

 

[DX8]

Aber spielt es eine Rolle, an wen das Exempel statuiert wird?

An sich nicht, aber bei MF sehe ich das Problem. Die waren lange Zeit hervorragend im Service und sind teilweise immer noch die günstigsten. Da würde ich mich eher bei Notebooks-billiger oder so was anschließen.

 

[Zhenwu]

Wenn jemand mit nem LKW ins Juwelierfenster fährt, dann sagst der Juwelier dem Lokaljournalisten, dass er geeignete Maßnahmen traf, um seinen Laden abzusichern. Zhenwu kommt dann ins Internet und behauptet, dass der Laden ja weder Fenster noch Türen gehabt haben könne, sonst hätte man ja nicht gesagt, dass man nach dem Einbruch geeignete Maßnahmen getroffen hätte.

Klar, mal eben Äpfel mit Birnen vergleichen.

Beim Juwelier sehe ich, was sicherheitstechnisch unternommen wird.
Panzerglas, Alarmanlage an allen Fenstern, direkte Verbindung zur Polizei.
Bei einem Onlinehändler muss ich auf sein Wort vertrauen.

Zudem geht es hier um Kundendaten. Wenn der LKW in den Juwelier fährt, will er ganz ganz sicher an die Kundendaten …

 

[be_myself]

Also ich habe schon sehr sehr lange ein Kundenkonto bei MF. Konnte mich vorhin ganz normal, mit meinem Passwort einloggen, eine E-Mail von MF habe ich bisher nicht bekommen. Habe vorsorglich mein Passwort dort geändert und eine neues vergeben. Mal sehen, ob und wann ich von denen ein Mail bekomme.