Adobe: 7,5 Millionen Konten der Creative Cloud offen im Internet einsehbar
Eine offene Elasticsearch-Datenbank enthielt Millionen Kundendaten von Adobes Creative Cloud. Passwörter und Zahlungsdaten waren aber nicht darunter.
Adobe hat knapp 7,5 Millionen Kundenkonten seines Dienstes Creative Cloud für alle offen einsehbar online gestellt. Die Elasticsearch-Datenbank war ohne Authentifizierung oder eine andere Sicherheitsmaßnahme übers Internet erreichbar. Dadurch waren zahlreiche Kundendaten bloßgestellt – allerdings weder Passwörter noch Zahlungsinformationen wie Kreditkarten- oder Kontonummern.
Keine vertraulichen Daten, aber Angriffsfläche für Phishing
Der Security-Spezialist Bob Diachenko hatte gemeinsam mit Comparitech das Leck am 19. Oktober aufgedeckt und Adobe umgehend darüber informiert. Das Unternehmen reagierte sofort und sicherte den Datenbankzugriff noch am gleich Tag ab. In einem Blogbeitrag schreibt Comparitech, es sei unklar, wie lange die Daten zugänglich gewesen sind, aber Diachenko geht von etwa einer Woche aus. Auch sei unbekannt, ob zuvor jemand auf die Daten zugegriffen habe. Von dem Datenleck betroffen waren: E-Mail-Adresse, Datum der Kontoerstellung, genutzte Adobe-Produkte, Abostatus, ob das Konto einem Adobe-Mitarbeiter gehört, Member-ID, Land, letzter Login, Zahlungsstatus.
Somit sind zwar keine unmittelbar vertraulichen Daten betroffen, aber insbesondere in Kombination mit der E-Mail-Adresse lassen sich solche Informationen zu gezielten Phishing-Angriffen (auch als Spear Phishing bekannt) nutzen – da Creative-Cloud-Kunden nicht selten in einem Unternehmen tätig sein dürften, ist darüber auch dessen internes Netz potenziell bedroht. Kunden der Adobe Creative Cloud müssen nach diesem Datenleck nicht tätig werden, sollten aber bei Mails mit der Aufforderung, einen Link anzuklicken, äußerst misstrauisch sein.
Die persönlichen Daten von Prominenten und Politikern wurden im Netz verteilt. Wir geben fünf einfache Tipps, wie man sich gegen solche Angriffe schützen kann.
Adobe bestätigt Datenleck
In einer Mitteilung gegenüber Gizmodo bestätigte Adobe den Vorfall und sprach von einer "Prototyp-Umgebung", in der das Leck aufgetreten sei. Diese Umgebung sei nicht mit den "Adobe-Kernprodukten und -diensten verbunden" gewesen. Man wolle den eigenen Entwicklungsprozess überprüfen und einen ähnlichen Vorfall künftig verhindern. Letzteres ist eine löbliche Absicht, jedoch wirft ein so kapitaler Fehler wie eine offen konfigurierte Datenbank im Internet ein denkbar schlechtes Licht auf einen großen Technik-Konzern wie Adobe.
2013 war Adobe Opfer eines Hackerangriffs geworden, bei dem Kundendaten abgegriffen wurden. Auch Passwörter und Kreditkartennummern waren betroffen und das Unternehmen musste Kundenpasswörter zurücksetzen. (tiw)
