Unacademy erlitt einen schweren Datenverstoß: 22 Millionen Datensätze werden im Dark Web verkauft

Unacademy, eine von Facebook unterstützte, in Indien ansässige Online-Lernplattform, hat einen schwerwiegenden Datenverstoß erlitten, und aus diesem Grund verdienen einige Cyberkriminelle jetzt Geld. Wir wissen das, weil Forscher von Cyble, einem Cybersicherheitsunternehmen, kürzlich eine Anzeige auf einem unterirdischen Marktplatz bemerkt haben, in der eine Datenbank verkauft wird, die laut Beschreibung 20 Millionen Unacademy-Konten enthält. Um es ihrem AmIBreached.com- Dienst zur Überwachung von Sicherheitsverletzungen hinzuzufügen, haben die Experten von Cyble die Datenbank erworben und festgestellt, dass sie tatsächlich etwas weniger als 22 Millionen Datensätze enthält. Überraschender war jedoch der Preis - nur 2.000 US-Dollar.

Sicher gehashte Passwörter senken den Preis

Die breite Verfügbarkeit gestohlener Informationen bedeutet, dass solche Datenbanken normalerweise ziemlich billig sind. In diesem Fall erhalten Sie jedoch mit einem einzigen Dollar knapp 11.000 Konten, was einen erstaunlich niedrigen Preis darstellt. Dafür gibt es jedoch einen guten Grund.

Cyble teilte die Datenbank mit Reportern von Bleeping Computer, die bestätigten, dass die im Speicherauszug gespeicherten Passwörter mit SHA256 - einem starken Hashing-Algorithmus - gehasht wurden. Es wird sehr schwierig sein, die Hashes in Klartext-Passwörter umzuwandeln, und es wird wahrscheinlich einige Zeit dauern, bis die Gauner nur ungern investieren. Darüber hinaus erklärte Hemesh Singh, CTO der Unacademy, gegenüber Bleeping Computer, dass die Plattform über ein "OTP-basiertes Anmeldesystem" verfüge, das die betroffenen Benutzer weiter schützen soll.

Aus Vorsicht wird Unacademy-Benutzern weiterhin empfohlen, ihre Passwörter zu ändern. Man kann jedoch mit Recht sagen, dass die derzeit im dunklen Internet zum Verkauf stehende Datenbank keine unmittelbare Bedrohung für die Übernahme von Konten darstellt. Dies bedeutet jedoch nicht, dass der Verstoß unbedeutend ist.

Hacker können die Unacademy-Daten auf verschiedene Arten nutzen

Zusätzlich zu den SHA256-Hashes enthält jeder einzelne Datensatz den Vor- und Nachnamen, den Benutzernamen, die E-Mail-Adresse, das letzte Anmeldedatum und das Datum der Kontoerstellung des Benutzers. Mit anderen Worten, Hacker, die 2.000 US-Dollar übrig haben, können weiterhin auf viele nützliche Informationen zugreifen. Die exponierten Daten können die Grundlage für sorgfältig ausgearbeitete Spear-Phishing-Angriffe sein, die angesichts der Positionen, die einige der betroffenen Personen einnehmen, schwerwiegende Folgen haben können.

Laut Cyble hatten viele Benutzer, die von der Verletzung der Unacademy betroffen waren, ihre Unternehmens-E-Mails während der Registrierung verwendet. Einige von ihnen arbeiten für große Technologieunternehmen wie Facebook, Google, Infosys, Cognizant und Wipro. Wenn ihre Social-Engineering-Fähigkeiten gut genug sind, können die Hacker die Opfer möglicherweise dazu verleiten, Informationen auszutauschen, die die Möglichkeit bieten, das Netzwerk eines großen Unternehmens zu gefährden.

Offensichtlich ist dies zu diesem Zeitpunkt nur eine Hypothese, und insgesamt ist es schwierig abzuschätzen, wie groß die Auswirkungen des Verstoßes sein könnten, insbesondere angesichts der Unbekannten, die ihn umgeben.

Es gibt einige Fragezeichen im Zusammenhang mit der Verletzung der Unacademy

Laut Hemesh Singh betraf der Verstoß "rund 11 Millionen Lernende", aber wie bereits erwähnt, ist die Anzahl der Datensätze in der Datenbank fast doppelt so hoch. Leider beantwortete Singh die Folgefragen von Bleeping Computer zur Diskrepanz nicht. Er äußerte sich auch nicht zu den Behauptungen der Hacker.

Laut Singhs Aussage wurden während des Verstoßes nur "grundlegende Informationen" enthüllt, aber die mutmaßlichen Täter sagten Cyble, dass die 22 Millionen Benutzerdatensätze nur ein Teil der gestohlenen Daten sind. Sie sagen, dass sie mit der "gesamten Datenbank" der Unacademy davongekommen sind, obwohl es offensichtlich schwierig ist zu sagen, wie glaubwürdig ihre Behauptungen sind.

Die Unacademy hat eine Untersuchung eingeleitet, die diese Behauptungen hoffentlich bestätigen oder ablehnen wird, und wir hoffen, dass die Ergebnisse öffentlich bekannt gegeben werden. In der Zwischenzeit müssen sich Unacademy-Benutzer der mit dem Vorfall verbundenen Gefahren bewusst sein und entsprechend handeln.