ING und weitere Unternehmen von CEVA-Logistics-Datenpanne betroffen

Die Bank ING meldete einen Datenabfluss beim Logistikdienstleiter CEVA Logistics, bei dem auch andere Unternehmen Datenabflüsse meldeten.

Nachdem zunächst der niederländische Onlinehändler Bol und das Kaufhaus De Bijenkorf einen möglichen Datenabfluss bei ihrem gemeinsamen Logistikpartner gemeldet hatten, weitet sich der Kreis der Betroffenen aus: Auch die Bank ING, die Brillenkette Ace & Tate sowie der Fußballverein Ajax haben inzwischen entsprechende Vorfälle bestätigt.

Gemeinsamer Nenner der Vorfälle ist nach übereinstimmenden Berichten der internationale Logistikdienstleister CEVA Logistics, der für alle betroffenen Unternehmen Lagerung und Zustellung von Bestellungen übernimmt und dafür Zugriff auf die dafür notwendigen Kundendaten hatte. CEVA selbst erklärte, einen Abfluss personenbezogener Daten nicht ausschließen zu können. Berichten zufolge waren mindestens acht europäische Lagerstandorte des Unternehmens von dem Vorfall betroffen. Nach Angaben von Ace & Tate verschaffte sich ein Unbefugter am 1. August Zugriff auf einen Teil der für Verpackung und Versand genutzten Systeme.

Bei ING betrifft der Vorfall ausschließlich Kunden, die über das Prämienpunkte-Programm der Bank physische Produkte bestellt hatten. Betroffen sein könnten Namen, Adressen, Telefonnummern, E-Mail-Adressen sowie Angaben zu bestellten Produkten. Die Bank betont ausdrücklich, dass weder eigene Systeme noch Bankkonten, Zahlungsdaten, Spareinlagen oder Anmeldedaten von dem Vorfall betroffen seien, und hat die niederländische Datenschutzbehörde entsprechend informiert. Bei Ace & Tate könnten Namen, Liefer- und Rechnungsadressen, E-Mail-Adressen, Telefonnummern, Versandmethoden sowie Sendungsverfolgungsdaten betroffen sein, Zahlungsdaten, Zugangsdaten sowie hinterlegte Brillenrezepte seien nach Unternehmensangaben nicht betroffen. Auch Ace & Tate sowie der Fußballverein Ajax haben die zuständigen Datenschutzbehörden informiert, in Ace & Tates Fall zusätzlich die britische Datenschutzbehörde ICO.

Sowohl ING als auch Ace & Tate raten betroffenen Kunden zu erhöhter Wachsamkeit gegenüber Phishing-Versuchen und Identitätsbetrug. ING empfiehlt konkret, niemals Passwörter weiterzugeben, nicht auf Links in unaufgefordert zugesandten Nachrichten zu klicken, Kontobewegungen regelmäßig zu überprüfen, sich im Zweifel ausschließlich über offizielle Kanäle an die Bank zu wenden und verdächtige Nachrichten den jeweiligen Unternehmen zu melden. Der Einkauf in den Filialen ist von dem Vorfall nicht betroffen, allerdings kann es bei der Bearbeitung von Bestellungen, Retouren und Rückerstattungen vorübergehend zu Verzögerungen kommen.

Inzwischen ist auch der deutsche Onlinehändler Zalando von demselben Vorfall bei CEVA betroffen. Das Unternehmen erklärte gegenüber it-daily.net:

„Datensicherheit hat für uns oberste Priorität. Unmittelbar nachdem wir von einem Vorfall bei CEVA Logistics Kenntnis erlangt hatten, hat unser Cybersicherheitsteam umgehend Maßnahmen ergriffen, indem es unsere Sicherheitsprotokolle umsetzte und eine gründliche Untersuchung einleitete.

Der Vorfall hat den Betrieb in zwei kleineren Zalando-Logistikzentren beeinträchtigt, die von diesem Logistikpartner betrieben werden – diese machen jedoch nur einen geringen Prozentsatz unseres gesamten Netzwerks aus. Um einen unterbrechungsfreien Service zu gewährleisten, verlagern wir die Logistikprozesse aktiv auf unsere anderen Standorte. Wir können bestätigen, dass die Daten der Zalando-Kund*innen von diesem Vorfall nicht betroffen sind.„

Zalando gegenüber it-daily.net

Auch andere Unternehmen betroffen

Nach Berichten des niederländischen Senders RTL Nieuws werden Daten von Bol- und Bijenkorf-Kunden bereits in einschlägigen Foren im Darknet zum Verkauf angeboten. Ein unter einem Pseudonym auftretender Akteur behauptete dabei, Datensätze zu mehr als 400.000 belgischen Bol-Kunden erbeutet zu haben, darunter Namen, Geburtsdaten, Telefonnummern, E-Mail- und Lieferadressen, Sendungsverfolgungsnummern sowie Bestellhistorien, nach bisherigen Erkenntnissen jedoch keine Passwörter oder vollständigen Zahlungsdaten. Bol erklärte dazu, die Behauptung ernst zu nehmen, bislang jedoch keine Hinweise auf einen tatsächlichen Angriff auf die eigenen Systeme gefunden zu haben, die regulär weiterliefen.

Angesichts der offenbar breit angelegten Attacke auf CEVA Logistics ist davon auszugehen, dass in den kommenden Tagen weitere betroffene Unternehmen bekannt werden.

(red)