T-Mobile Data Breach zwingt Kunden, ihre Passwörter zu ändern
Über das Wochenende hinweg erhielten T-Mobile-Kunden SMS-Nachrichten, die sie ziemlich beunruhigten. Der Telekommunikationsanbieter hatte einen Datenverstoß erlitten, der zu einem unbefugten Zugriff auf Kundeninformationen führte, hieß es in der Kurznachricht. Der Angriff war bereits gestoppt worden, und die Telekommunikation wies schnell darauf hin, dass die Hacker keine Sozialversicherungsnummern, Passwörter oder Finanzinformationen gestohlen hatten. Benutzer, die mehr erfahren wollten, wurden eingeladen, einem Link zu folgen. Einige von Ihnen haben vielleicht schon ein paar Probleme entdeckt.
Table of Contents
Eine phisch aussehende Warnung
Erstens hatte T-Mobile zu diesem Zeitpunkt noch keinen offiziellen Verstoß angekündigt, was einige Leute misstrauisch machte. Als sie soziale Netzwerke aufsuchten, um herauszufinden, was los ist, stellten sie fest, dass nicht jeder T-Mobile-Kunde dieselbe SMS erhalten hatte. Und sie entschieden sich, auf soziale Medien zurückzugreifen, da sie nicht aufgefordert wurden, sich telefonisch an einen T-Mobile-Supportmitarbeiter zu wenden, sondern die SMS-Nachricht den Benutzern aufforderte, einer verkürzten URL zu folgen, um weitere Einzelheiten zu erfahren.
Alles in allem hatten die SMS-Nutzer von T-Mobile einige Gemeinsamkeiten mit den Betrugsmeldungen, vor denen die Menschen seit Jahren gewarnt wurden. Es gab jedoch einen entscheidenden Unterschied - es war keine Betrugsnachricht.
T-Mobile hat tatsächlich einen Datenverstoß erlitten
Die Tweets und Posts erregten die Aufmerksamkeit von Alex Wagner von TmoNews.com, der einige Fragen stellte und erfuhr, dass die SMS kein Betrug war. T-Mobile hatte wirklich einen Datenverstoß erlitten.
Die verkürzte URL aus der SMS führt zu einer Seite , die einen kurzen Bericht darüber enthält, was passiert ist. Offenbar gelang es Hackern, nach einem Verstoß gegen die Telekommunikationssysteme auf die persönlichen Daten einiger Prepaid-Kunden von T-Mobile zuzugreifen. Die gestohlenen Informationen umfassen Namen, Rechnungsadressen, Telefonnummern, Kontonummern sowie andere Daten zu den Diensten, die die betroffenen Benutzer abonniert haben. Die Seite bestätigt erneut, dass die Sicherheitsleute von T-Mobile den Angriff gestoppt haben und dass nichts besonders Sensibles gefährdet wurde.
Den Benutzern wird mitgeteilt, dass sie in Betracht ziehen können, ihre PINs und Kennwörter für den Fall der Fälle zu ändern. Diesmal können sie sicher sein, dass sie alle erforderlichen Informationen erhalten, wenn sie eine der Kundensupportnummern von T-Mobile anrufen.
Alles in allem scheint dies nicht die schlimmste Verletzung der Welt zu sein. Trotzdem setzt es T-Mobile nicht optimal in Szene.
Der Umgang von T-Mobile mit dem Thema war kaum vorbildlich
Es dauerte nicht lange, bis die Benutzer verstanden, dass sie nicht von einem Phishing-Over-SMS-Angriff betroffen waren, und sie waren wahrscheinlich erleichtert, als sie herausfanden, dass die Hacker keine besonders sensiblen Informationen stehlen konnten. Diejenigen, die sich aktiv für Cybersicherheit interessiert haben, werden jedoch wahrscheinlich die Fehler sehen, die T-Mobile gemacht hat.
Wie bereits erwähnt, ist eine kurze und vage gefasste Textnachricht nicht gerade der beste Weg, um die Nachrichten zu verbreiten, und die darin enthaltene verkürzte URL ist eine geradezu schreckliche Idee. Zumindest sollte die SMS von einer öffentlichen Erklärung begleitet sein, die über die traditionellen Kanäle verbreitet wird.
In einer idealen Welt würde die öffentliche Erklärung viel mehr Informationen enthalten, als T-Mobile uns nach diesem Verstoß zur Verfügung gestellt hat. Beispielsweise geben weder die SMS-Benachrichtigung noch die verknüpfte Seite dem Benutzer eine Vorstellung davon, wie groß die Sicherheitsverletzung war. Selbst nachdem TmoNews.com gefragt hatte, wie viele Personen betroffen waren, war die Antwort nicht genau: "Ein sehr kleiner einstelliger Prozentsatz".
Die Tatsache, dass die Anzahl der Personen, deren personenbezogene Daten offengelegt wurden, nicht sehr hoch ist, sollte keine Entschuldigung für die mangelnde Transparenz bei der Meldung eines Vorfalls dieser Art sein. Hoffentlich werden sowohl T-Mobile als auch andere Dienstleister davon erfahren.
