News Hackerangriff: Mindfactory informiert über möglichen Datendiebstahl

ApuMazeraTu schrieb:
Also dafür, das man von den C.T. Kanälen auf YT immer wieder zu den aktuellsten Themen, auch Sicherheit usw. gebrieft und informiert wird, ist es doch etwas schwer zu verstehen oder schlecht zu vermitteln, das unter dem Verlagsdach Heise so auf den ersten Blick die Verantwortlichen zum Thema MF Shop nicht mit ihren IT Experten reden??? Oder ihre eigenen gepredigten Tipps selbst anwenden???

Genau das habe ich mir auch gedacht. Oder das Ganze passiert quasi jedem einzelnen Onlineshop, nur die meisten melden es nicht einmal den Behörden, bzw. sagen ihren Kunden Bescheid.
Ergänzung ()

Cleric schrieb:
Hat das eigentlich irgendwo, irgendwie irgendwann auch irgendwelche Konsequenzen?

Frag ich mich ebenfalls. Ich finde, das ganze sollte ab einem bestimmten Punkt auch mal kostspielige Folgen für Anbieter haben. Sonst wird IT Security niemals ernst genommen!
 
  • Gefällt mir
Reaktionen: Tanzmusikus
ToaStarr schrieb:
Bald kaufen wir alle wieder vor Ort im MediaMarkt... :-D
hin und wieder gibts auch dort brauchbare angebote und der vorteil von vor ort ist auch ich habs gleich...nix samstag fällt der rechner aus und ich bestell irgendwo was was dann montags bearbeitet wird und mittwoch dan bei mir ist...
grade für solche fälle schätze ich noch läden wo man hingehn kann und vor ort was mitnehmen kann...gabs früher an jeder ecke...aber heut bestellt man wegen 2€ billiger halt lieber online
 
  • Gefällt mir
Reaktionen: Alexander 65
GRB221009A schrieb:
Meine Daten dürften inzwischen sowas wie die Dorfmatratze für Cyberkriminelle sein.

😆 ich brech ab. Herzlichen Dank

@Topic

Komme mir langsam ver..rscht vor. Erst NBB und jetzt Mindfactory. Wobei ich mei MF schon seit Jahren nichts mehr bestellt habe. Also seit Insolvenz. Dennoch bekam ich heute ebenso die E-Mail.

In der heutigen Zeit frage ich mich allerdings, was können die noch dafür, wenn die KI schneller Lücken findet wie ein ITler die stopfen kann.

Was für Zeiten.

Nachtrag:

E-Mail bekommen. Aber kann mich nicht einloggen. Obwohl Date im Keepass. Seltsam.
Man achte auf den Kasten. Höhö!

1794008735240.png
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: BrollyLSSJ, Qyxes, Alexander 65 und 3 andere
"Interessant", wie ahnungslos hier herum spekuliert wird.

Haben die Nörgler schon mal "Zero Day" gehört?
Was soll MF bitte tun, wenn es keinen Patch für die Lücke gab? Wer sagt euch bitte, dass sie nicht alles getan haben, was möglich war?

Immerhin gab es hier eine E-Mail und der Vorfall wurde korrekt gehandhabt. Bei NBB habe ich keine E-Mail bekommen!

PS: Passwort gerade geändert.
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: silverscar, Xes, Alexander 65 und 3 andere
TeeKayEV schrieb:
Das sind Buchhaltungsunterlagen, für die es gesetzlich festgelegte Aufbewahrungsfristen gibt.
Sicher, aber es gibt keinen vernünftigen Grund solche sensiblen Dokumente nicht getrennt auf einem System ohne direkten online Zugang zu sichern. Zumal es sich dabei auch nicht um aktuelle Daten die ständig und sofort von außen zugänglich sein müssen.
Theoretisch kann man auch Kundendaten an sich auf einen Air Gap System täglich übertrage durch eine Schleuse.
Online beläme man dadurch bei dem Hack nur die neuen Daten vom jeweiligen Tag.
Das würde dann halt Bestellprozesse etwas umständlicher machen.🤔

Meine letzte große Hardwarebestellung Anfang des Jahres war bei Alternate. Mindfactory war kurzfristig auch in der Auswahl.
Ausschlaggebend war lediglich die Hardwareauswahl und die Preise.
Jedoch wollte ich auf keinen Fall einen Shop nehmen der nicht eh schon meine Daten hat (oder hatte).
Ich fände es sicherheitstechnisch gut wenn sämtliche Shops ihre Kundendatenbanken bereinigen würden.
Einfach alle per E-Mail automatisch anschreiben wenn eine Löschaktion bevorsteht und wer noch aktiv ist kann sich ja melden bitte nicht gelöscht zu werden.
Es kostet ja eh nur paar Minuten sich neu anzumelden im worst Case.
Und man kann ja die "Historie" wie bereits angemerkt auch offline archivieren und lediglich durch einen anonymen Kundencode der dem Kunden vorliegen sollte nur bei Bedarf im getrennten system heraussucht.zugänglich machen.
 
Das ist aber nicht schön zu lesen. Ihr schreibt ja, die Kundendaten wurden gelöscht. Ich selber habe zuletzt im Juni 2023 dort etwas bestellt. Wo ich heute noch nicht mal an die Bestellunterlagen kommen könnte, wenn ich wollte. https://www.mindfactory.de/account_rma.php habe ich versucht, den RMA-Assistenten zu testen, Login-Fehler. Ich hatte immer mehrere Accounts bei Mindfactory. Mit keinem dieser Accounts war ein Login mehr möglich. Vorsorglich wurden die Kundenpasswörter ja auch zurückgesetzt. Bin ich wohl auf der sicheren Seite.
Jan schrieb:
Nach Notebooksbilliger informiert zur Stunde Mindfactory Kunden über einen Hackerangriff auf die eigenen Systeme. Der zur heise group gehörende Online-Händler könne nicht ausschließen, dass auch personenbezogene Daten entwendet wurden. Vorsorglich wurden Kundenpasswörter zurückgesetzt.

Zur News: Hackerangriff: Mindfactory informiert über möglichen Datendiebstahl
 
TeeKayEV schrieb:
Wenn jemand mit nem LKW ins Juwelierfenster fährt, dann sagst der Juwelier dem Lokaljournalisten, dass er geeignete Maßnahmen traf, um seinen Laden abzusichern. Zhenwu kommt dann ins Internet und behauptet, dass der Laden ja weder Fenster noch Türen gehabt haben könne, sonst hätte man ja nicht gesagt, dass man nach dem Einbruch geeignete Maßnahmen getroffen hätte.
Guter Vergleich!
Wildeste Spekulationen, ohne irgendeinen Einblick zu haben, sind auch "fahrlässig".
 
samuelclemens schrieb:
Sicher, aber es gibt keinen vernünftigen Grund solche sensiblen Dokumente nicht getrennt auf einem System ohne direkten online Zugang zu sichern.
Und wer behauptet, dass Buchhaltungsunterlagen aus der Zeit vor der Insolvenz im Internet abrufbar sind?

samuelclemens schrieb:
Zumal es sich dabei auch nicht um aktuelle Daten die ständig und sofort von außen zugänglich sein müssen.
Theoretisch kann man auch Kundendaten an sich auf einen Air Gap System täglich übertrage durch eine Schleuse.
Theoretisch kann man auch ne Preisliste ausdrucken und per Post schicken und die Post-Adresse in den (früher auch von Heise verlegten) Gelben Seiten publizieren.

Laut eMail gehören zu den betroffenen Daten "Adressdaten, E-Mail-Adresse und Telefonnummer sowie verschlüsselt gespeicherte Passwörter" - das ist die komplette Liste aus der Infomail. Wenn du diese Daten air gaped speichern möchtest, dann hat der Onlineshop keine Kundenkonten und Kunden müssten bei jeder Bestellung alle Daten erneut eingeben. Gastbestellungen ohne Kundenkonto bietet Mindfactory bereits an.
 
Mich würde interessieren, ob hier nur eine bestimmte Anzahl der Kunden betroffen sind bzw. wie groß dieser Kundenkreis ist.

Ich habe keine Mail bekommen und konnte mich mit meinem alten PW problemlos einloggen, geändert habe ich es trotzdem.

Es wäre wünschenswert, wenn diese Information seitens MF nachgereicht würde…
 
TeeKayEV schrieb:
dann hat der Onlineshop keine Kundenkonten und Kunden müssten bei jeder Bestellung alle Daten erneut eingeben. Gastbestellungen ohne Kundenkonto bietet Mindfactory bereits an.
Genauso hab ich es bei Alternate auch gemacht.
Braucht es halt alle Schaltjahre 5 Minuten länger zum bestellen.😱
Ich schau das ich bei so wenig Shops wie möglich meine Personendaten dauerhaft hinterlege.
Was nicht heißt das ich es grundsätzlich nicht mache. Muss sich das Risiko halt lohnen.
Für einmalige 5€ Preisersparniss mach ich das aber bestimmt nicht.
 
RAMSoße schrieb:
Komme mir langsam ver..rscht vor. Erst NBB und jetzt Mindfactory. Wobei ich mei MF schon seit Jahren nichts mehr bestellt habe. Also seit Insolvenz. Dennoch bekam ich heute ebenso die E-Mail.
Das ist spannend. Ich war vor der Insolvenz dort regelmäßiger Kunde. Als heise den Laden übernommen hat, war mein Kundenkonte samt History weg. Ich musste mich neu anmelden. Hatte extra nachgefragt ob ich alte Kundennummer usw. wiederbekommen könnte... war nicht möglich. Angeblich alles gelöscht.

Hardware-Fan schrieb:
"Interessant", wie vollkommen ahnungslos hier herum spekuliert wird.

Haben die Nörgler schon mal "Zero Day" gehört? Könnt Ihr mit dem Begriff etwas anfangen?
Wer sagt euch bitte, dass MF nicht alles getan hat, was man tun kann?

Immerhin gab es hier eine E-Mail und der Vorfall wurde korrekt gehandhabt. Bei NBB gab es keine E-Mail.
Wer spekuliert hier? :)

Evtl. waren deine Kundendaten bei NBB nicht betroffen (wie meine angeblich auch nicht) weswegen wir nicht angeschrieben wurden? Das Gesetz sagt ja explizit, dass die Betroffenen nach Möglichkeit identifiziert und nur diese gezielt zu informieren sind.

Zero Day ist schön in den Nachrichten. In der Praxis völlig uninteressant. Die meisten Hacks erfolgen noch immer auf ganz stupide Art und Weise. Und oftmals ist gar kein Hack notwendig. Siehe den DigiCert Vorfall worüber die diese Woche informiert haben: Da wurde auf ein neues System migriert und dabei leider Daten auf einem ungeschützten System zwischengespeichert die dann von Dritten abgegriffen wurden.

Ich bin ja prinzipiell bei dir und man soll nicht immer vom Schlechten ausgehen. Aber ganz ehrlich: Wohin führt dies? Offenbar nicht zu Änderungen die so etwas verhindern. Im Gegenteil. Es beginnt "normal" zu werden. Die Leute regen sich nicht mehr auf. Es hat alles keine Folgen. Dabei ist das nicht normal. Und solange mir da niemand ein Post Mortem vorlegt was zeigt, dass da wirklich jemand über eine bislang unbekannte Lücke reingekommen ist wo auch eine Infrastruktur nach anerkannten Best Practices nicht geholfen hat, habe ich kein Verständnis mehr.
Ergänzung ()

samuelclemens schrieb:
Genauso hab ich es bei Alternate auch gemacht.
Braucht es halt alle Schaltjahre 5 Minuten länger zum bestellen.😱
Ich schau das ich bei so wenig Shops wie möglich meine Personendaten dauerhaft hinterlege.
Was nicht heißt das ich es grundsätzlich nicht mache. Muss sich das Risiko halt lohnen.
Für einmalige 5€ Preisersparniss mach ich das aber bestimmt nicht.
Achte einmal bei den Rechnungen in Zukunft auf die Kundennummer die dir zugewiesen wurde. Wenn du bei der zweiten Bestellung plötzlich die gleiche Kundennummer bekommen hast, dann weißt du, dass sie deine Daten doch gespeichert haben du einzig und alleine nur kein Kundenkonto hast. Natürlich kannst du jetzt hoffen, dass deine Daten dann in einer anderen Tabelle stehen und ein Angreifer hoffentlich nur die Daten mit Kundenkonto kopieren kann. In der Praxis ist das aber oftmals die gleiche Datenbank und bietet dir damit keinen Schutz.
 
  • Gefällt mir
Reaktionen: Zhenwu
Whistl0r schrieb:
Achte einmal bei den Rechnungen in Zukunft auf die Kundennummer die dir zugewiesen wurde. Wenn du bei der zweiten Bestellung plötzlich die gleiche Kundennummer bekommen hast, dann weißt du, dass sie deine Daten doch gespeichert haben du einzig und alleine nur kein Kundenkonto hast. Natürlich kannst du jetzt hoffen, dass deine Daten dann in einer anderen Tabelle stehen und ein Angreifer hoffentlich nur die Daten mit Kundenkonto kopieren kann. In der Praxis ist das aber oftmals die gleiche Datenbank und bietet dir damit keinen Schutz.
Das habe ich tatsächlich auch immer im Hinterkopf. Hab ich im vorletzten Post in Klammern auch angemerkt.
Kann man leider nie ganz ausschließen. Hab auch keine Rechnung mehr die soweit zurückliegt.
Deswegen waren auch nur zwei, drei Shops in der engeren Auswahl von dem ich ausging das die meine Daten bereits mindestens einmal in den Griffeln hatten.
Es ist immer eine abwägung. Lohnt sich das Risiko? Gibt es Alternativen?
 
Also dass man nicht ausschließen will, dass Passwörter im Klartext gespeichert sein könnten, ist für mich mit Abstand der größte Skandal. Wenn ich auf Arbeit (cybersec) irgendwo einen Passworthash rumliegen lassen würde, der nicht gesalted ist, würde ich abgemahnt werden. Aber KLARTEXT? Gehts noch?
 
  • Gefällt mir
Reaktionen: Frader
Zhenwu schrieb:
Was genau soll das helfen bzw. beim Datenklau verhindern?
Na ja ohne Handy bringen den Dieben die Passwörter nichts. Grenzt den Schaden zumindest etwas ein. Deswegen ist das bei Paypal z.B. forciert (obwohl ich es nicht will, würde das wenn überhaupt bei Steam wollen - wo es auch geht)
 
Zuletzt bearbeitet:
Pyrukar schrieb:
Pro verlorenem Datenpunkt (Klarname, Email, Passwort, Adresse, Bankverbindung, ...) gibt es beim ersten Verstoß einen Betrag x (sagen wir mal 10€) die als Schandensersatz gezahlt werden müssten. Beim zweiten Verstoß x² ( also 100€) und beim y-ten Verstoß x^y. Aka wer nicht dazulernt läuft selbst wenn er ein Weltkonzern ist, irgendwann in die Insolvenz.

Als einer der größten und bekanntesten Händler, sind sie eine fette Zielscheibe.

Bei der Sicherheit wirds sicherlich hust schnell auch unrentabel. Gerade, wenn sie auf Kante operieren. Wir hatten Corona, Verknappung und auch momentan geht der gesamte PC-Markt weiter ein.

Aber klar. Drohen wir mal mit finanziellen Strafen. Als wenn die nicht schon genug Probleme da haben.

Die waren ja auch erstes letztes Jahr "nur" insolvent.

Pyrukar schrieb:
Wie gesagt ich sage ja nicht dass grundsätzich jeder datendiebstahl mit Drakonischen Strafen einhergehen soll aber ganz offensichtlich muss man, vor allem bei Unternehmen die bereits einmal opfer eines Datendiebstahls geworden sind hinterfragen ob die nicht Systemische Schwachstellen haben die es Abzustellen gilt oder eben zu bestrafen, wenn sie es nicht ernst nehmen.

Ach, wenn dann brauchts dafür Gesetze. Und die müssen dann für alle gelten. Ist schon schlimm genug, wenn so ein Vorfall die Runde macht. Das allein ist schon geschäftsschädigend genug. Für Kleinere kann das auch mal eben der Tod der sein.

Was machst bei irgendeiner Behörde? Sollen die auch zahlen?

Auf der anderen Seite würde der normale Heimanwender, der bei MF bestellt, gerne nicht mehr bezahlen, da Hardware generell schon überteuert ist.

Es ist ein Teufelskreis, das Klima ist ungünstig und solche Hacker-Aktionen tragen nur dazu bei.

Ideen, wie du sie hier vorgetragen hast, seh ich nur als Schnellschuß, wenig bis gar nicht durchdacht. Nicht persönlich nehmen...
 
Zuletzt bearbeitet:
tusen_takk schrieb:
Steht nach einem Login auch "Erik" bei euch im Footer?
Wenn ich dort ein Konto hätte, dann ja. :cool_alt:
 
  • Gefällt mir
Reaktionen: tusen_takk
"Passwörter im Klartext schließt Mindfactory „nach aktuellem Kenntnisstand“ aus.
Eigentlich sollten Passwörter nur als Hash-Wert auf Servern gespeichert werden."

Eigentlich! :D

Bei den Passwörtern die auch 2026 immer noch so verwendet werden und das auch gleich für jeden Account inklusive der eMail-Adresse, werden wohl einige Accounts mit Hilfe von Rainbow-Tables über den Jordan gehen! Und wer weiß was dann sonst noch so passiert.
 
Krazee schrieb:
Als einer der größten und bekanntesten Händler, sind sie eine fette Zielscheibe.

Bei der Sicherheit wirds sicherlich hust schnell auch unrentabel. Gerade, wenn sie auf Kante operieren. Wir hatten Corona, Verknappung und auch momentan geht der gesamte PC-Markt weiter ein.

Aber klar. Drohen wir mal mit finanziellen Strafen. Als wenn die nicht schon genug Probleme da haben.

Die waren ja auch erstes letztes Jahr "nur" insolvent.
Genau diese Denkweise ist das Problem und sorgt dafür, dass sich nichts ändert. Die DSGVO ist zum Schutz der Privatsrechte eingeführt worden. Wenn du es mit deinem Business nicht schaffst diese Risiken im Griff zu halten ist es Zeit, dass dich der Markt verdrängt. Das klingt erst einmal schlimm und ist für direkt Betroffene bitter, aber so funktioniert Marktwirtschaft.

Mit deinem Argument müsste die Polizei auch bei Verstößen im Straßenverkehr ein Auge zudrücken: Jeder Berufskraftfahrer, jeder der dienstlich unterwegs ist wird dir erzählen wie er unter Druck steht, wie schlecht es der Firma geht und blah blah.

Du musst dich schon entscheiden: Willst du die DSGVO? Dann muss sie auch komplett zur Anwendung kommt. Mit Strafen. Ohne wenn und aber. Ansonsten sollte man die DSGVO wieder abschaffen, denn dann wäre es nur ein weiteres Bürokratiemonster.

Krazee schrieb:
Was machst bei irgendeiner Behörde? Sollen die auch zahlen?
Da gesetzliche Strafzahlungen immer an den Staat gehen und nie an die Betroffenen (die müssen auf dem Zivilweg zusätzlich klagen), hat sich diese Frage erledigt. Aber ja: Es gibt Manager-Haftung. Die gilt auch für Leute im ÖD. D.h. man kann nur hoffen, dass die Leute welchen den Berlin-Hack zu verantworten haben, sofern ihnen Fehlverhalten nachgewiesen werden kann, in persönliche Haftung genommen werden.
 
  • Gefällt mir
Reaktionen: SweetOhm und Melvorx
Solch ein Drama ist leider nicht das Privileg irgendwelcher bestimmter Firmen, in diesem Falle Mindfactory.
Habe die Mail gestern auch bekommen, und folgerichtig das Passwort geändert.
Kaufe nach wie vor gerne bei denen und hatte nie Grund zu irgendwelcher Kritik.
Wer jetzt Angst bezüglich Datensicherheit bei Mindfactory hat, der kann ja gerne woanders kaufen, bis dann bei woanders was passiert...
 
  • Gefällt mir
Reaktionen: Schmarall
Zurück
Oben