Thought Leadership
Hacker behaupten, eine GameStop-Datenbank mit 54 Millionen Einträgen erbeutet zu haben. Stichproben enthalten sensible Kundendaten bis ins Jahr 2026.
Cyberkriminelle behaupten auf einem illegalen Marktplatz, im Besitz einer umfassenden Kundendatenbank des US-amerikanischen Videospielhändlers GameStop zu sein. Der Datensatz soll laut Angaben der mutmaßlichen Angreifer mehr als 54 Millionen Einträge umfassen. Das IT-Sicherheitsmedium Cybernews hat eine öffentlich bereitgestellte Stichprobe von 86 Datensätzen analysiert, um die Authentizität der Behauptungen zu überprüfen. Eine offizielle Bestätigung seitens GameStop liegt bislang nicht vor, das Unternehmen wurde für eine Stellungnahme kontaktiert.
Umfang und Zusammensetzung der geleakten Daten von GameStop
Die von Sicherheitsforschern untersuchten Beispieldaten enthalten detaillierte Informationen zu Kundenkonten. Zu den betroffenen Datenpunkten gehören Benutzer-IDs, vollständige Namen, Geburtsdaten, E-Mail-Adressen und Telefonnummern. Zudem umfassen die Einträge Wohnanschriften inklusive Postleitzahlen, den Kontostatus, das Erstellungsdatum des Kontos sowie das Datum des letzten Einkaufs.
Die Analysten stellten fest, dass die dokumentierten Transaktionen verschiedene Zeiträume abdecken, wobei einige der letzten Einkäufe aus dem Jahr 2026 stammen. Dies deutet darauf hin, dass zumindest ein Teil des Datensatzes aktuell ist und nicht ausschließlich aus historischen Datenleaks stammt. Eine abschließende Verifizierung des gesamten Umfangs ist ohne Zugriff auf die vollständige Datenbank jedoch nicht möglich. „Es sind 86 Beispiel-Datensätze verfügbar, daher ist es nicht möglich festzustellen, ob weitere Datensätze existieren“, so die Forscher.
Gefahren durch gezieltes Phishing und Social Engineering
Sollten die Daten echt sein, drohen den betroffenen Kunden gezielte Angriffe. Die Kombination aus persönlichen Identifikationsmerkmalen und der konkreten Kaufhistorie ist für Cyberkriminelle von hohem Wert.
„Die Hauptrisiken sind Social Engineering und das Profiling der betroffenen Personen. Angreifer könnten diese Informationen ausnutzen, um Opfer dazu zu verleiten, sensiblere Informationen preiszugeben, einschließlich Kontodaten oder Zahlungsdetails.“
Forscher von Cybernews
Durch das detaillierte Wissen über getätigte Käufe und Zeitpunkte können Angreifer gefälschte Support-Anrufe, Phishing-Mails oder manipulierte Lieferbenachrichtigungen im Namen von GameStop erstellen, die für Verbraucher schwer als Betrug zu erkennen sind. Die IT-Sicherheitsexperten betonen jedoch, dass Angebote auf Cybercrime-Marktplätzen nicht zwangsläufig bedeuten, dass ein aktueller Hack des Unternehmens vorliegt. Häufig übertreiben Akteure den tatsächlichen Umfang, recyceln alte Daten oder führen Informationen aus verschiedenen früheren Datenlecks zusammen, um den Verkaufswert ihrer illegalen Ware zu steigern.
(red)
