News Hackerangriff: Mindfactory informiert über möglichen Datendiebstahl

[tomsen78]

Wollt Euch nur mitteilen, ich habe auch eine Email bekommen und soeben mein PW geändert.

 

[Tuetensuppe]

@xexex ich hab mich immer gefragt warum die Mindfactory Webseite so aussieht als hätte sie jemand 2005 zu Haue im IT-Keller gebastelt.

MF beutet gerne Schüler aus, vor Inkrafttreten des Mindestlohns auch Studenten, auch deshalb die stets niedrigen Preise. Viel Kompetenz steckte bei denen nie dahinter.

 

[Zhenwu]

dann hat der Onlineshop keine Kundenkonten und Kunden müssten bei jeder Bestellung alle Daten erneut eingeben. Gastbestellungen ohne Kundenkonto bietet Mindfactory bereits an.

Das geht aber nur nach dem Log-in. Ohne Log-in werden da keine Kundendaten automatisch ausgefüllt, selbst wenn du Kunde bist.

Na ja ohne Handy bringen den Dieben die Passwörter nichts. Grenzt den Schaden zumindest etwas ein. Deswegen ist das bei Paypal z.B. forciert (obwohl ich es nicht will, würde das wenn überhaupt bei Steam wollen - wo es auch geht)

Meine persönlichen Daten können aber trotzdem irgendwo landen, wo ich es nicht möchte. 2FA sichert ja nur den Log-in auf das Portal.

 

[Hack3p3t3r]

Ich hatte letztes Jahr Anfang Dezember meine Grafikkarte gekauft und habe keine Infomail darüber erhalten.
Dachte erst ich hätte sie als "Gast" bestellt, aber leider habe ich auch noch die Willkommensmail mit dem Link zum Kundenkonto im Postfach gefunden.

 

[Tinpoint]

Mindfactory, Schon wieder. gähn

https://extreme.pcgameshardware.de/threads/mindfactory-verlust-von-kundendaten.139700/

Haben die wirklich selbstständig bekanntgegeben oder wieder auf Druck der Kunden wie vor Dekade.
Gut das ich da nicht mehr bestelle.

 

[svr2009]

Also mein originales Konto ist schon Jahre alt.
Habe bzgl. des Heise Wechsels dann im März 2026 auf das neue Konto gewechselt. Habe aber bis heute nichts bestellt.
Habe jedoch keine Infomail zu dem ganzen Schmu hier bekommen.

Zum Glück habe ich eine Alias Mail für das Konto benutzt

 

[Oli_P]

Was macht man eigentlich, wenn demnächst auch noch Passwort-Manager gehackt werden? Wieder auf lokales Keepass umsteigen?

Wenn man von vornerein auf Online-Passwort-Manager verzichtet und stattdessen Offline-Passwort-Manager verwendet (wie KeePass), dann hat man wenigstens nicht solche Sorgen.

 

[Krazee]

Wenn du es mit deinem Business nicht schaffst diese Risiken im Griff zu halten ist es Zeit, dass dich der Markt verdrängt. Das klingt erst einmal schlimm und ist für direkt Betroffene bitter, aber so funktioniert Marktwirtschaft.

Tja, die Ziele werden sich ausgesucht, da sie recht fett sind. kA, wie viel mit Kundendaten gemacht wird. Am Ende füttert da einer in Osteuropa seine lokale KI mit.

Und da liegt eben auch die Krux. Als Sysadmin bist du eben auch auf viele andere in der Kette angewiesen, dass Updates rechtzeitig kommen. Dem kannste jetzt Fahrlässigkeit und sonst was vorwerfen und dann?

Vieles ist in dem Bereich reaktiv und wird erst gepatcht, falls es zu Vorfällen kam. Gut, mittlerweile ändert sich das ja glücklicherweise und mit KI werden viele Lücken erspäht und auch geschlossen.

Nur geht das Wettrüsten ständig weiter.

Aber ja: Es gibt Manager-Haftung. Die gilt auch für Leute im ÖD. D.h. man kann nur hoffen, dass die Leute welchen den Berlin-Hack zu verantworten haben, sofern ihnen Fehlverhalten nachgewiesen werden kann, in persönliche Haftung genommen werden.

Was wir bei solchen Vorfällen in Behörden sehen, zeigt eher ein systemisches Problem. Und klar, da muss angesetzt werden.

Doch die Frage ist eben wie. Und mit euren Strafen als Anreiz bin ich eben nicht einverstanden. Strafen kannst bei Fahrlässligkeit machen und ob die hier vorliegt, weiß eben auch keiner.

Solche Mittel kannst einsetzen, wenn sie sich als adäquat herausstellen.

Der Poster, auf den ich antwortete, wollte generell gern einfach mal erhöhte Strafen einführen, bis dann der Laden in die Insolvenz geht. Strafen als Anreiz: super tolle Denkweise.

Genau diese Denkweise ist das Problem und sorgt dafür, dass sich nichts ändert

Ach hör mir auf mit Denkweisen. Ihr versetzt euch nicht mal in irgendwen anderen hinein.

Mit deinem Argument müsste die Polizei auch bei Verstößen im Straßenverkehr ein Auge zudrücken

Ich meine, klar: Autovergleiche und Computerbase gehen Hand in Hand. Doch lassen wir den Straßenverkehr mal Straßenverkehr sein. Da gehören diese Strohmänner hin.

Die gilt auch für Leute im ÖD. D.h. man kann nur hoffen, dass die Leute welchen den Berlin-Hack zu verantworten haben, sofern ihnen Fehlverhalten nachgewiesen werden kann, in persönliche Haftung genommen werden.

Tjo und bei jedem Hack werden erst einmal Dritte angeheuert. Ich stelle mir mal vor, dass es nur einen geringen Prozentsatz der Behörden betrifft und trotzdem wird das schön teuer. Wenn der Prüfungsbeamte dann vor der Tür steht, ist auch erstmal kein normales Arbeiten mehr. Dann geht deren Effektivität - falls sie da solche Ermessungsquotienten überhaupt nutzen - noch weiter runter.

Aber da sie Prüfungsbeamte schon haben, könnten sie ja neue, staatliche IT-Prüfungsbeamte in die Behörden schicken.

Mehr Beamte braucht das Land!

Naja, vielleicht könnten wir auch im Zuge der Entbürokratisierung ein paar Behörden abschaffen. Die könnten dann einfach nicht mehr gehackt werden. ^^

 

[DarkSoul]

Du musst dich schon entscheiden: Willst du die DSGVO? Dann muss sie auch komplett zur Anwendung kommt. Mit Strafen. Ohne wenn und aber. Ansonsten sollte man die DSGVO wieder abschaffen, denn dann wäre es nur ein weiteres Bürokratiemonster.

Sie ist ein Bürokratiemonster, wenn man tatsächlich Strafen einführen würde. Und ich verrate dir ein offenes Geheimnis: Wir haben schon 2 mal erlebt, dass Richter Daten öffentlich gemacht haben, obwohl es eine Datensperre gab, in 2 unterschiedlichen Fällen. Verklag jetzt mal den Richter... viel Spaß!

Ja, es gibt Vorgaben, wie die Daten erhoben, gespeichert und verarbeitet werden müssen. Man muss die Systeme aktuell halten aber es wird nicht gefordert, dass man Fehler in Open-Source-/OTS-Software selbst korrigieren muss: Sprich, wenn es einen Fehler in PHP oder sonst wo gibt, muss das nur auf den aktuellen Stand gebracht werden. Wenn eine Firma nachweisen kann, dass sie das (zeitnah) gemacht hat, wird sie vermutlich auch nicht bestraft werden. Ansonsten müsste jemand klagen, Beweise sammeln und verurteilen... und das wäre für unsere überforderten Gerichte bestimmt erfreulich. Die einzigen die dann so oder so Geld verdienen sind Anwälte.

Gemini sagt dazu übrigens:
"Die DSGVO verlangt hier keine Unfehlbarkeit, sondern Stand der Technik. Wenn ein Unternehmen nachweislich alles getan hat, um sich abzusichern (z. B. durch regelmäßige Updates und Audits), wird ein unvorhersehbarer Zero-Day-Angriff nicht automatisch als DSGVO-Verstoß gewertet."

Die DSGVO ist in meinen Augen ein zahnloses Biest, es wird gerne verwendet um Arbeit zu verweigern. Schon mal so einen Wisch z. B. bei einem Arzt unterschrieben? Man bekommt dafür einen Vordruck, bei dem man der Datenerhebung zustimmt. Verlange mal einen Vordruck, der die Zustimmung wieder rückgängig macht: Viel Glück!

 

[Cyrus10000]

Da kann ich ja endlich beruhigt allen Cookies zustimmen, da sowieso meine Daten auf irgendwelchen Seiten ständig gehackt und geklaut werden. Warum habe ich eigentlich noch Passwörter?

Witzig das der Heise Konzern mit Sicherheitsmassnahmen prahlt aber der Shop anscheinend nicht gut gesichert ist.

 

[Alexander 65]

Wir sind Anonymous. Wir sind viele. Wir vergeben nicht. Wir vergessen nicht. Erwartet uns!

Hoffentlich hilft uns Anonymous!

 

[TausendWatt]

Manch ein Forist scheint vor Überheblichkeit nur so zu trotzen.
Gerade hier im Forum hätte ich mehr Verständnis und Hintergrundwissen erwartet. Jeder der beruflich, also professionell damit was am Hut hat, kennt das Katz und Maus spiel.
Unternehmen mit einer gewissen Infrastruktur laufen den Sicherheitsmaßnahmen ständig hinterher, jeden Tag werden neue CVEs gemeldet, was in einem endlosen Patchmarathon ausartet. Bei der Vielzahl von Systemen, von Firewall, Backup, VMS, hypervisor, clients und und ist immer ein Loch offen. Dazu kommt das Layer 8 Problem, wenn User völlig unbedacht mit ihren Daten umgehen. Die Hacker schlafen auch nicht, die wissen meist was sie tun...

Ich Wette wenn wir bei euch daheim oder in euren Unternehmen pentests machen würden, finden wir Angriffsflächen...

 

[DX8]

@Zhenwu Völlig richtig. Wie ich schon sagte, lässt sich zumindest etwas begrenzen.

Ergänzung (Samstag um 11:26)

Hoffentlich hilft uns Anonymous!

Ich vermute stark führende Köpfe sind mittlerweile entweder im Knast, haben Familie oder zocken lieber Elden Ring.

 

[TeeKayEV]

Ich Wette wenn wir bei euch daheim oder in euren Unternehmen pentests machen würden, finden wir Angriffsflächen...

Das wird dann so ein Test, bei dem die Pentester am Ende mit allen Daten und den Autos der Firma vor dem Augen der Mitarbeiter:innen, mit denen man noch quatschte, wegfahren...

 

[Seinfeldfreak]

Heise halt. Die machen immer einen auf IT Experte, haben aber selbst die löchrigsten Systeme!

 

[TeeKayEV]

Aber sind die Buchhaltungsdaten überhaupt betroffen oder nur Online Kontodaten?

Es sind nach Mindfactories Info nur Online-Kontodaten betroffen. Der User, auf den ich antwortete, nutzte das Beispiel der ihm zugesandten Rechnungen jedoch als Beweis dafür, dass Mindfactory nach der Übernahme durch Heise entgegen der eigenen Aussage nicht die Kundendaten gelöscht hätte. Dabei verkennend, dass Abrechnungsdaten innerhalb der Aufbewahrungsfrist von solchen Löschungen IMMER ausgenommen sind, weil sie selbst auf expliziten DSGVO-Kundenwunsch hin nicht gelöscht werden dürfen.

 

[BrollyLSSJ]

well nur gut das MF meine Daten gewiped hatte Anfang letzten Jahres ohne vorher zu informieren ...
passt zu dem Verein da

War der Grund, warum ich kein neues Konto angelegt hatte. NBB bin ich auch zum Glück nicht betroffen gewesen oder die haben nicht allen eine Mail geschickt. Alternate habe ich noch. Ich bestelle aber selten was, so dass es vermutlich eh besser wäre als Gast zu bestellen, wo es geht.

Obwohl Date im Keepass. Seltsam.

Könnte sein, dass du auf "Passwort vergessen" klicken musst. Ich meine, das wurde hier in der News genannt.

 

[Grundkurs]

Es sind nach Mindfactories Info nur Online-Kontodaten betroffen. Der User, auf den ich antwortete, nutzte das Beispiel der ihm zugesandten Rechnungen jedoch als Beweis dafür, dass Mindfactory nach der Übernahme durch Heise entgegen der eigenen Aussage nicht die Kundendaten gelöscht hätte. Dabei verkennend, dass Abrechnungsdaten innerhalb der Aufbewahrungsfrist von solchen Löschungen IMMER ausgenommen sind, weil sie selbst auf expliziten DSGVO-Kundenwunsch hin nicht gelöscht werden dürfen.

Mindfactory hatte meines Wissens irgendwann vor ein paar Jahren alle Online Kundendaten ohne Zutun Dritter schonmal verloren:
https://www.reddit.com/r/PCBaumeister/comments/1jdyq5p/mindfactory_benötigt_nun_eine_neue_registrierung/
Wer seitdem dort nicht mehr eingekauft hat, dürfte von diesem echten Hack nun hoffentlich nicht betroffen sein.

Meine Zugangsdaten funktionierten damals jedenfalls plötzlich nicht mehr, ich hatte dann kein neues Konto mehr erstellt weil mich das so geärgert hatte.

 

[Zhenwu]

Manch ein Forist scheint vor Überheblichkeit nur so zu trotzen.

Dann erzähl doch mal, wieso Amazon davon bisher befreit ist?

Oder andere große Händler, die weit mehr abwickeln und mehr Kunden haben als Mindfactory?

Ich Wette wenn wir bei euch daheim oder in euren Unternehmen pentests machen würden, finden wir Angriffsflächen...

Ich wette, 99,9 % daheim haben keine IT‑Abteilung oder einen externen Dienstleister.

Auch hier: Wunderbar Äpfel mit Bieren verglichen

 

[TeeKayEV]

Dann erzähl doch mal, wieso Amazon davon bisher befreit ist?

• Amazon installierte ein kompromittiertes OpenSource-Software-Paket, das Zugangsdaten abgriff.
• Angreifer kamen über kompromittierte Fortinet-Firewalls ins interne Unternehmensnetz von Amazon.
• Amazon verliert Mitarbeiterdaten über externen Dienstleister.
• Amazon-Tochter verliert medizinische Kundendaten.
• Hunderte Gigabyte Daten aus Amazon Cloud entwendet.
• 2,8 Mio Amazon Kundendaten über externen Dienstleister gestohlen
• Amazon Tochter verliert Daten von 24 Mio Kunden

Willst du noch mehr, dann google doch einfach selbst. Es gab noch mehr Vorfälle bei Amazon.