Ashley Madison Data Breach Extortion Scam zielt auf Hunderte von Opfern ab

Unterschiedliche Datenschutzverletzungen haben unterschiedliche Folgen. Wenn beispielsweise ein Internet-Diskussionsforum gehackt wird, ist der Schaden normalerweise auf Benutzernamen, E-Mail-Adressen und in einigen Fällen auf Kennwörter beschränkt. Wenn eine E-Commerce-Website oder ein Zahlungsdienstleister kompromittiert wird, können die Dinge etwas hässlicher werden, da sie Zahlungsinformationen speichern. Wie nicht wenige bezeugen können, kann ein erfolgreicher Angriff auf Websites wie Ashley Madison sogar noch schädlicher sein.

Ashley Madison ist ein Online-Dating-Dienst für Leute, die eine Affäre haben wollen, und wie Sie wahrscheinlich wissen, wurde sie 2015 gehackt. Nahezu 10 GB sensibler Daten gingen verloren, und die Auswirkungen auf die Benutzer von Ashley Madison waren tiefgreifend. Reputationen und Familien wurden ernsthaft in Gefahr gebracht, und für einige führte die Möglichkeit öffentlicher Beschämung und Verlegenheit zum Selbstmord.

Viele kamen jedoch unversehrt heraus und machten mit ihrem Leben weiter. Sie hatten wahrscheinlich gehofft, dass das Ganze nun hinter ihnen liegt, aber kürzlich fanden sie eine Reihe von Spam-Nachrichten in ihren Posteingängen, was bewies, dass dies nicht der Fall ist.

Fünf Jahre später versuchen Cyberkriminelle immer noch, aus dem Ashley Madison-Hack Kapital zu schlagen

In der vergangenen Woche berichteten Forscher von Vade Secure über eine neue Spam-Kampagne, die sich gegen Opfer der Ashley Madison-Datenschutzverletzung richtete. Es ist weit von der üblichen Angelegenheit entfernt. Im Gegensatz zu herkömmlichen Sprüh- und Gebetskampagnen, die Tausende oder sogar Millionen von Menschen treffen, ist der Angriff dieses Mal auf jedes einzelne Ziel zugeschnitten und kann äußerst zerstörerisch sein.

Die Spammer setzen den Ashley Madison-Benutzernamen des Opfers in den Betreff der E-Mail, um ihre Aufmerksamkeit zu erregen. Der Nachrichtentext beginnt mit demselben Benutzernamen und den Worten "Ich weiß alles über Sie." Weiter unten versuchen Spammer zu beweisen, dass diese Aussage wahr ist.

Sie fügen von Ashley Madison gestohlene Details hinzu, darunter die Telefonnummer des Opfers, das angegebene Geburtsdatum, die physische Adresse, das Erstellungsdatum des Kontos und die IP, von der aus das Konto erstellt wurde.

Als Ashley Madison gehackt wurde, enthielten die durchgesickerten Daten unter anderem Transaktionsdaten und Bankkontonummern. Außerdem enthielten die E-Mails Informationen zu Online-Einkäufen, die das Opfer wahrscheinlich lieber für sich behalten möchte. Es ist jedoch schwierig zu sagen, ob diese bestimmte Information von Ashley Madison stammt. Nach allem, was wir wissen, könnte es tatsächlich nicht einmal real sein. Vade hat einen Screenshot gepostet, in dem die Spammer zeigen, dass sie Details zu einer Online-Bestellung für "Male Assistance-Produkte" von Ende 2018 haben - mehr als drei Jahre nach der Verletzung von Ashley Madison. Der Rest der Informationen in der E-Mail ist jedoch anscheinend völlig legitim, und Sie werden wahrscheinlich nicht überrascht sein, wenn Sie feststellen, dass die Hacker damit drohen, sie den Freunden und der Familie des Opfers zu zeigen.

Einige Kryptomünzen können dies natürlich verhindern. Um sicherzustellen, dass die Nachricht an modernen Spam-Filtern vorbei gelangt, haben die Betrüger entschieden, keine Zahlungsanforderungen in den E-Mail-Text aufzunehmen. Stattdessen hängen sie eine kennwortgeschützte PDF-Datei an, die alle Anweisungen enthält, einschließlich eines QR-Codes für zusätzlichen Komfort. Dies ist eine neuartige Technik. Die Forscher stellten jedoch fest, dass es effektiv ist, was bedeutet, dass wir es wahrscheinlich auch in Zukunft sehen werden.

Ein Sextortion-Betrug mit einem Dreh

Die aktuelle Kampagne erinnert an eine bestimmte Art von Sextortion-Betrug, der im Sommer 2018 bei Cyberkriminellen äußerst populär wurde. Damals versuchten die Spammer, die Opfer zu erpressen, indem sie ihnen drohten, peinliches Material zu verbreiten, das angeblich durch das Opfer aufgenommen worden war gehackte Webkamera. Auf diese Behauptungen würden jedoch nur wenige Menschen hereinfallen, weshalb die Spammer in den E-Mails auch eines der Passwörter des Benutzers verwendeten. Sie erhielten die Passwörter von Online-Datenbanken, die während nicht zusammenhängender Datenverletzungen durchgesickert waren, und zum größten Teil waren die Anmeldeinformationen alt und nicht mehr gültig. Trotzdem glaubten die Betrüger, sie würden die Opfer zu der Annahme verleiten, dass ihre Laptops wirklich gehackt worden seien, und so mit der Zahlung fortfahren.

Grundsätzlich ist das Prinzip hier dasselbe. Die Hacker behaupten, dass sie im Begriff sind, schädliche Informationen über ihre Opfer preiszugeben, und nur ein Lösegeld kann dies verhindern. Der Unterschied ist jedoch, dass die Videos von den alten Sextort-Betrügereien nicht echt sind, wohingegen die durchgesickerten Ashley Madison-Details es sind.