Einbruch bei Plex: Daten abgezogen, Passwortänderung nötig

Plex bietet neben einem Medien-Server auch Streaming-Dienste an. In die Nutzer-Datenbank von Plex konnten nun Angreifer einbrechen, schreibt der Anbieter betroffenen Nutzerinnen und Nutzern in einer E-Mail. Dabei hätten sie Zugriff auf die Zugangsdaten gehabt.

Zugriff auf Zugangsdaten

Konkret seien am Dienstag dieser Woche ungewöhnliche Aktivitäten an einer der Datenbanken aufgefallen. Die daraufhin gestartete Untersuchung förderte zutage, dass eine externe Partei Zugriff auf einen begrenzten Satz an Daten hatte. Dazu gehören E-Mail-Adresse, Nutzername und verschlüsseltes Passwort. Obwohl alle den Einbrechern zugängliche Zugangspasswörter nach den üblichen Best-Practice-Vorgaben gehasht und gesichert waren, habe das Sicherheitsteam entschieden, dass für alle Plex-Konten ein Passwort-Reset durchgeführt werden muss.

Plex weist in der Mail an die Nutzer darauf hin, dass Kreditkarteninformationen und Zahlungsdaten nicht auf deren Server gespeichert seien und bei dem Vorfall nicht verwundbar waren. Die nicht konkret genannte Angriffsmethode der Einbrecher, die sie für das Erlangen des Zugangs zum System verwendeten, hätten die Sicherheitsspezialisten bereits adressiert. Zudem fänden weitere Untersuchungen und zusätzliche Härtungen der Systeme statt, um deren Sicherheit künftig zu gewährleisten und derartige Überfälle zu verhindern.

Das Sicherheitsteam bittet alle Nutzer darum, das Passwort zum Plex-Konto umgehend zu ändern. Dabei gebe es auch eine Checkbox, um verbundene Geräte nach dem Passwortwechsel abzumelden. Das werfe alle bisher verbundenen Geräte raus – einschließlich der Plex-Media-Server im Besitz der Nutzer – und erfordere eine erneute Passworteingabe, sei aber zur Verbesserung der Sicherheit zu empfehlen.

Die Mail an betroffene Nutzer schließt damit, dass Plex niemals nach dem Passwort oder Kreditkartennummern per E-Mail fragen würde. Um das Konto noch besser abzusichern, empfiehlt der Anbieter zudem, die Zwei-Faktor-Authentifizierung zu aktivieren, sollte das noch nicht geschehen sein. Das hilft zwar nicht gegen den Einbruch und Datendiebstahl. Aber es erschwert den Angreifern, mit den erbeuteten Daten weiteren Schindluder zu treiben.

Plex-Nutzer sollten künftig mit Mails bezüglich Plex vorsichtig sein. Dadurch, dass die E-Mail-Adresse mit Informationen wie Nutzernamen und dem Dienst Plex verknüpfbar sind, könnten Cyberkriminelle echter wirkende Betrugs- oder Phishing-Mails erstellen.

• Plex Media Server: Download schnell und sicher von heise.de

Lesen Sie auch

Medienserver Plex bekommt Streaming-Dienst

(dmk)