235 Millionen Konten von Instagram-, TikTok- und YouTube-Nutzern wurden entlarvt

Am 1. August Comparitech Sicherheits Forscher fanden eine Datenbank , die Tonnen von Daten statt und war von überall in der Welt ohne jede Form der Authentifizierung zugänglich. Unter der Leitung von Bob Diachenko analysierte das Team den Inhalt des Servers und stellte fest, dass er etwas mehr als 238 Millionen Datensätze enthielt. Davon gehörten 192 Millionen Instagram-Nutzern, etwa 42 Millionen wurden von der beliebten Video-Sharing-Plattform TikTok übernommen, und knapp 4 Millionen enthielten Informationen zu YouTube-Konten.

Die Aufzeichnungen waren in den Informationen, die sie enthüllten, nicht einheitlich. Nur etwa ein Fünftel von ihnen enthielt beispielsweise entweder eine Telefonnummer oder eine E-Mail-Adresse. Es wurden keine Passwörter offengelegt, obwohl noch viele andere Informationen zur Verfügung standen. Es enthielt Profilnamen, echte Namen, Profilfotos, Alter, Geschlecht der Benutzer sowie eine Vielzahl von Statistiken über ihr Engagement für soziale Medien und andere Personen. Nachdem Diachenko erfahren hatte, welche Art von Daten offengelegt wurden, bestand seine nächste Aufgabe darin, herauszufinden, wie sie in die undichten Datenbanken gelangten.

Instagram, TikTok und YouTube wurden nicht gehackt

Social-Media-Nutzer unter Ihnen werden erleichtert sein zu erfahren, dass das Leck nicht das Ergebnis koordinierter Cyberangriffe gegen Instagram, TikTok und YouTube war. Tatsächlich wurden die durchgesickerten Daten nicht im vollen Sinne des Wortes gestohlen. Es wurde von den Kontoinhabern selbst öffentlich zugänglich gemacht und durch ein automatisiertes Skript abgekratzt und organisiert.

Anfangs war sich Diachenko ziemlich sicher, dass die Datenbanken Deep Social gehörten, einem inzwischen aufgelösten Analyseunternehmen, das früher im Bereich Influencer Marketing tätig war. Vor ein paar Jahren prahlte Deep Social mit einem großen Kundenstamm und der Zusammenarbeit mit großen Unternehmen. Im Sommer 2018 teilte Facebook Deep Social jedoch mit, dass die API der sozialen Medien aufgrund eines Verstoßes gegen die Nutzungsbedingungen nicht mehr verwendet werden dürfe. Kurz darauf faltete sich das Analyseunternehmen zusammen.

Trotzdem gelang es Diachenko, eine Person zu kontaktieren, die mit Deep Social zu tun hatte, und das Leck aufzudecken. Ihm wurde mitgeteilt, dass seine E-Mail unter dem Namen Social Data an eine andere Influencer-Marketing-Firma weitergeleitet worden war. Social Data hat den Server nur wenige Stunden nach seiner Entdeckung heruntergefahren, und ein Sprecher hat sich mit Comparitech in Verbindung gesetzt, um sich für das Leck zu entschuldigen und darauf hinzuweisen, dass Social Data nichts mit Deep Social gemeinsam hat. Das Vorhandensein von "deepsocial" in den Namen der Datenbanken von Social Data und die Ähnlichkeiten zwischen den About Us-Seiten auf den Websites der beiden Unternehmen blieben ungeklärt.

Warum war das Leck schlecht?

Sie könnten denken, dass das Leck nicht so schlimm ist. Wie der Sprecher von Social Data nur allzu gern betonte, sind die in der Datenbank gesammelten Informationen auf den Profilseiten der 238 Millionen betroffenen Konten zu sehen. Es ist öffentlich zugänglich, und zumindest theoretisch wissen die Eigentümer das sehr gut. Alles, was Social Data getan hat, ist, es zu kratzen und in einer gut organisierten Datenbank zu sammeln. Das ist wohlgemerkt so ziemlich das Gleiche, was Deep Social getan hat, bis Facebook ihm einen Schlag auf das Handgelenk gab.

Das Scraping öffentlich zugänglicher Daten verstößt gegen die Nutzungsbedingungen der meisten sozialen Netzwerke, und dafür gibt es einen sehr guten Grund. Unternehmen wie Social Data und Deep Social sammeln all diese Informationen und profitieren später davon, indem sie sie an Kunden verkaufen, die gezielte Werbekampagnen organisieren. Es ist bereits fraglich, ob dieses ganze Geschäft im Einklang mit Gesetzen und Vorschriften wie der DSGVO der EU steht, und es gibt auch andere Probleme.

Cyberkriminelle, die gezielte Phishing-Kampagnen gegen Social-Media-Nutzer starten möchten, können enorm von einer gut organisierten Datenbank profitieren, die mit den Daten der Nutzer ausgestattet ist. Daten-Scraping ist der Prozess, der diese riesigen Datensätze erstellt. Deshalb tolerieren Social-Media-Giganten wie Facebook dies nicht. Was noch schlimmer ist, wie Social Data gezeigt hat, sind diese Datenbanken manchmal nicht sicher gespeichert, und dies erleichtert das Leben der Gauner erheblich.

Leider ist dieser Vorfall ein sehr gutes Beispiel dafür, wie wenig Kontrolle Benutzer darüber haben, was mit ihren Daten geschieht, sobald sie sich in ihrem Social-Media-Profil befinden. Aus diesem Grund sollten Sie wahrscheinlich vorsichtiger mit den persönlichen Daten umgehen, die Sie auf diesen Plattformen teilen. Wenn Sie Instagram, TikTok oder YouTube verwenden, sollten Sie auch berücksichtigen, dass noch nicht klar ist, ob jemand auf die durchgesickerten Daten zugegriffen hat, bevor diese entfernt wurden. Möglicherweise möchten Sie nach verdächtigen E-Mails oder Nachrichten Ausschau halten.