BMW-Motorradsparte angeblich gehackt

Die Erpressergruppe Xpl0itrs listet BMW als Opfer und behauptet, rund 800 Dokumente zu Motorrädern und Vertragshändlern entwendet zu haben.

Zur Untermauerung ihrer Behauptungen veröffentlichte Xpl0itrs zwei unterschiedlich große Archive mit angeblichen BMW-Daten, ein größeres mit rund 280 Megabyte und etwa 636 PDF-Dokumenten sowie ein deutlich kleineres mit rund 10 Megabyte und lediglich vier Dokumenten. Unklar bleibt, ob es sich bei der kleineren Sammlung um einen bloßen Vorgeschmack handelt oder ob das größere Archiv bereits das vollständige, von den Angreifern erbeutete Material darstellt. Nach Analyse der Forscher von Cybernews betreffen die Dokumente in beiden Fällen überwiegend gebrauchte BMW-Motorräder, mit Angaben zu einzelnen Fahrzeugen, deren Preisen sowie zugehörigen Händlerinformationen. Enthalten sind zudem Kontaktdaten von BMW- und Händlermitarbeitenden, darunter Namen, E-Mail-Adressen sowie Telefonnummern der jeweiligen Autohäuser.

Teil der Behauptungen offenbar übertrieben

Die Angreifer behaupten zusätzlich, auch Konfigurations- und API-Daten, Informationen zu Tankstellen, Angaben zu Tochtergesellschaften sowie weitere sensible Datenpunkte erbeutet zu haben. In den tatsächlich veröffentlichten Datensätzen fanden sich nach Angaben der Cybernews-Forscher jedoch keine entsprechenden Belege, weshalb sie diesen Teil der Behauptungen als deutlich übertrieben einordnen. Zudem stießen die Forscher auf mehrere öffentlich frei zugängliche Dokumente, die mit den von Xpl0itrs veröffentlichten Dateien identisch erschienen, ein Hinweis darauf, dass zumindest ein Teil des veröffentlichten Materials offenbar nicht ausschließlich durch einen Einbruch in BMW-eigene Systeme erlangt wurde, sondern bereits zuvor anderweitig im Internet auffindbar war.

Gebündelte Daten erleichtern gezielten Betrug

Auch wenn einzelne Dokumente für sich genommen frei zugänglich sind, bewerten die Cybernews-Forscher die gebündelte Zusammenstellung als eigenständiges Risiko: Zusammengeführt zu einem einzigen Datensatz erleichtert die Sammlung Angreifern gezielte Recherchen zu einzelnen Beschäftigten erheblich, da Informationen zu mehreren Personen an einem Ort verfügbar sind, die andernfalls einzeln zusammengetragen werden müssten. Kriminelle könnten die Daten etwa nutzen, um unter dem Namen, dem Autohaus und den Kontaktdaten einer echten Person eine betrügerische Nachricht zu verfassen, die scheinbar aus dem internen Vertriebsnetz von BMW stammt. Cybernews hat BMW um eine Stellungnahme gebeten, eine Antwort lag zum Zeitpunkt der Veröffentlichung noch nicht vor.

(red)