Hacker durchbrechen Mixcloud und verkaufen Benutzerdaten online

Nachdem sie gegen einen Onlinedienst oder eine Website verstoßen haben, versuchen Hacker in der Regel, die von ihnen gestohlenen Daten zu monetarisieren, indem sie sie entweder im dunklen Internet oder in einem der vielen von Google indizierten und leicht zugänglichen Hacking-Foren verkaufen. Angesichts der Tatsache, wie wertvoll persönliche Informationen sein können, ist der Verkauf der Daten an andere Kriminelle oft keine große Herausforderung. Anscheinend sind die gestohlenen Datenbanken jedoch manchmal schwieriger zu verschieben. Ein Hacker mit dem Spitznamen A_W_S zum Beispiel hatte wahrscheinlich Schwierigkeiten, eine Datenbank zu verkaufen, die er/sie aus dem Mixcloud-Streaming-Dienst gestohlen hatte, weshalb er/sie sich entschied, das Wort durch Angeberei über den Angriff auf die Medien zu verbreiten.

Letzte Woche nahm A_W_S Kontakt mit Zack Whittaker von TechCrunch, Joseph Cox von Motherboard und Catalin Cimpanu von ZDNet auf und teilte ihnen mit, dass Mixcloud einen Datenverstoß erlitten habe. A_W_S sagte, dass es ihm/ihr im Alleingang gelungen sei, die Aufzeichnungen von satten 21 Millionen Abonnenten zu stehlen, und dass die Daten auf einem dunklen Web-Marktplatz zum Verkauf standen.

A_W_S ist für so etwas eigentlich nichts Neues. Laut dem Reporter von ZDNet arbeiteten sie mit einem anderen Cyberkriminellen, den Gnosticplayers, zusammen, dessen Liebe zur Medienaufmerksamkeit Anfang des Jahres nach einigen relativ bekannten Angriffen deutlich wurde. Aber wie verhält sich die Mixcloud-Verletzung zu den Aktivitäten der Gnosticplayer?

Nicht die schrecklichste Verletzung der Welt

Alle drei Nachrichtenagenturen erhielten Proben der Daten, um ihre Echtheit zu bestätigen. Die Reporter sahen in der Datenbank Benutzernamen, E-Mail- und IP-Adressen, Datumsangaben für Kontoregistrierungen und gesalzene Passwörter. Sie setzten sich mit einigen Betroffenen in Verbindung und versuchten, mit einigen E-Mails neue Mixcloud-Accounts zu registrieren. Sie bestätigten, dass die Informationen tatsächlich echt sind. Die Daten, an denen einige Registrierungen vorgenommen wurden, deuteten darauf hin, dass der Angriff erst vor Wochen abgewickelt wurde. Die Daten sind also echt und höchstwahrscheinlich gültig. Es ist also gut, dass es nicht viel davon gibt.

Nachdem Mixcloud von der Sicherheitsverletzung erfahren hatte, wies es darauf hin, dass keine Kreditkartendaten oder physischen Adressen gespeichert werden. Die meisten seiner Nutzer haben sich über ihre Facebook-Konten für den Dienst angemeldet, was die Menge an exponierten Daten in gewissem Maße einschränkt. Noch wichtiger ist, dass die gestohlenen Passwörter nach Angaben des Streaming-Dienstleisters gesalzen und sicher gehasht wurden, was die Nachrichtenagenturen bestätigen konnten. Mixcloud verwendete SHA-2 - einen Hashing-Algorithmus, der praktisch nicht rückgängig gemacht werden kann.

Infolgedessen bekommen die Gauner, die für die Datenbank bezahlen, nicht wirklich viel für ihr Geld, was wahrscheinlich der Grund ist, warum die Daten nicht so viel Aufmerksamkeit erregen. Als TechCrunch und Motherboard am 29. November über die Sicherheitsverletzung berichteten, verlangte A_W_S 0,5 Bitcoin oder 4.000 US-Dollar dafür, doch als der Bericht von ZDNet am 1. Dezember herauskam, war der Preis auf 0,27 Bitcoin oder etwa 2.000 US-Dollar gesunken.

Nicht die beste Antwort der Welt

Anscheinend wusste Mixcloud vor dem ersten Bericht in den Medien nichts über den Verstoß. Ungefähr 24 Stunden nach der Nachricht kam der Streaming-Dienstleister auf das, was Zack Whittaker ziemlich genau als "Unternehmensstatement auf dem Kessel" beschrieb. Neben der unvermeidlichen Aussage "Wir nehmen die Sicherheit sehr ernst" enthielt der Blogbeitrag Informationen zu den Passwortspeichermechanismen und zu der relativ begrenzten Menge an Daten, die enthüllt wurden. Es enthielt nicht die Anzahl der Personen, die von dem Verstoß betroffen waren, und es wurde nichts über die Vorkehrungen gesagt, die getroffen wurden, um sie in Zukunft besser zu schützen. Die Entscheidung, einen FAQ-Bereich mit nur zwei Fragen aufzunehmen, ist auch angesichts der Tatsache, dass angeblich mehr als 20 Millionen Datensätze gestohlen wurden, ziemlich seltsam.

Als Reporter nach weiteren Kommentaren fragten, schwiegen die Sprecher von Mixcloud. Dies ist ein weiterer Beweis dafür, dass der Streaming-Service-Provider etwas transparenter in seiner Offenlegung hätte sein können. Wir können nur hoffen, dass andere Anbieter, die Datenverletzungen erleiden, mit diesen ein bisschen besser umgehen können.