Bei einem Hacker-Angriff stahlen Cyber-Kriminelle neun Millionen Kundendaten der britischen Billigfluggesellschaft. Dass nach dem Grossunternehmen Equifax nun auch Easyjet gehackt wurde, wirft einige Fragen zu deren Sicherheitspolitik auf.
Easyjet gehackt: Schleppende Informationspolitik
Nach Angaben des Unternehmens gab es erste Hinweise auf eine Cyber-Attacke bereits im Januar. Trotzdem wartete Easyjet bis Ende Mai, um die Öffentlichkeit über die Panne zu informieren. Unklar ist, ob das Unternehmen das komplette Ausmass der Attacke überhaupt kennt. Bei den gestohlenen Daten soll es sich im E-Mail-Adressen und Flugdaten von neun Millionen Kunden handeln. Außerdem entwendeten die Kriminellen rund 2.200 Kreditkartendaten. Laut BBC waren unter den gestohlenen Daten auch Sicherheitsmerkmale wie die dreistellige CVV-Nummer auf der Rückseite der Kreditkarte. Das Ablaufdatum fiel den Dieben ebenfalls in die Hände.
Kundeninformation erst auf Anraten von Datenschützern
Nach Recherchen der BBC ereigneten sich die Diebstähle der Kreditkartendaten schon Anfang April. Dass Easyjet Ende Mai endlich die Kunden informierte, war offensichtlich nur dem Anraten der Datenschutzbehörde zu verdanken. Anschliessend wurde die Börse London Stock Exchange informiert. Easyjet teilte mit, dass sie unverzüglich Schritte unternahm, um auf den Hacker-Angriff zu reagieren.
Dazu engagierte es Forensiker und informierte zudem das nationale Zentrum für Cybersicherheit. Der Zugang der Hacker wurde gesperrt. Die späte Information begründete das Unternehmen damit, dass die Experten zunächst analysieren mussten, welcher Schaden entstand. Angeblich habe man erst nach fortschreitenden Untersuchungen das tatsächliche Ausmass des Schadens erkannt.
Easyjet gehackt: Vieles bleibt im Dunkeln
Experten können sich nicht erklären, warum die Hacker bei einem Zugriff auf neun Millionen Kundendaten “nur” 2.200 Kreditkartendaten abfischten. Da Easyjet von hochprofessionellen Angreifern berichtet, ist es überraschend, dass die Diebe nicht weit mehr Daten entwendeten. Vieles an dem Hacker-Angriff bleibt nebulös. So macht die Billigfluggesellschaft über Motiv und Art des Angriffes keinerlei Angaben. Angeblich zielte der Angriff auf das „geistige Eigentum“ des Unternehmens und nicht vordergründig auf Kundendaten.
Möglicherweise harte Sanktionen
Die Datenschutzbehörde ICO nahm in diesem Fall Ermittlungen auf. Die Datenschützer betonen, dass Kunden ein Recht darauf haben, dass Unternehmen mit ihren Daten verantwortungsbewusst und sicher umgehen. Sollte Easyjet diese Regeln verletzt haben, will ICO harte Massnahmen ergreifen. In einem Vergleichsfall der British Airways, bei dem im Jahr 2018 244.000 Kreditkartendaten gestohlen wurden, verhängte die Behörde ein Bussgeld in Höhe von 200 Millionen Euro.
Equifax muss bis zu 700 Millionen Dollar Schadensersatz zahlen
Das US-Scoring-Unternehmen Equifax kam ein ähnlicher Hacker-Angriff teuer zu stehen. Auf das Bussgeld einigte sich der Finanzdienstleister nach langen Verhandlungen mit der Handelsaufsicht FTC und Verbrauchern. Ein Grossteil der rund 700 Millionen soll dabei als direkte Entschädigung für betroffene Kunden gelten.
Nicht nur Easyjet gehackt: Cyber-Kriminelle entwenden 143 Millionen Datensätze
Bei Equifax machten die Datendiebe reichlich Beute. Der Finanzdienstleister betreibt ein sogenanntes “Scoring” von Verbrauchern. Bis zu 143 Millionen der auf diese Weise entstandenen Datensätze entwendeten die Kriminellen. In vielen Fällen handelte es sich ähnlich wie bei Easyjet um Sozialversicherungs- und Kreditkartennummern. Das Datenleck soll von Mitte Mai bis in den Juli 2017 bestanden haben. Nach Entdeckung der Attacke schlossen die Techniker die Sicherheitslücke sofort. Neben US-Kunden waren auch Menschen aus Kanada und Grossbritannien betroffen.
Spezialist im Kampf gegen Datendiebstahl wird selbst Opfer
Anleger reagierten damals überrascht – was kaum verwunderlich ist. Die Aktie von Equifax brach ein. Besonders die Tatsache, dass Equifax Produkte gegen ebenjenen Daten- und Identitätsdiebstahl vertrieb, sorgte für zunehmende Verunsicherung. Auf der anderen Seite war es allerdings nicht die erste Cyber-Attacke auf Equifax. Bereits 2013 war das Unternehmen Opfer eines Hacker-Angriffs. Damals entwendeten Kriminelle sowohl persönliche als auch die Finanzdaten einiger Prominenter, darunter die des damaligen Vizepräsidenten Joe Biden und der First Lady Michelle Obama.