Am 8. Juli 2021 wurde die beliebte Merchandise-Shop-Plattform Spreadshop Opfer eines böswilligen Cyberangriffs. In einem auf ihrer Website veröffentlichten Update bestätigte die Plattform (powered by Spreadshirt), dass persönliche Benutzerdaten, einschließlich Bankkontodaten, kompromittiert wurden.

PrivacySharks wandte sich an Spreadshop, um weitere Details zu dem Angriff zu erhalten, und erhielt diese Erklärung des Presseteams zu den verletzten Daten und den betroffenen Personen:

„Betroffene Daten sind Adress- und Vertragsdaten von Kunden, Partnern, Mitarbeitern und externen Lieferanten. Betroffen sind auch die Zahlungsdaten einiger weniger Kunden, die per Banküberweisung Zahlungen an Spreadshirt, Spreadshop oder TeamShirts geleistet haben oder die eine Rückerstattung per Banküberweisung erhalten haben. Nach neuesten Erkenntnissen aus unseren Ermittlungen enthielten die gehackten Server keine Bankdaten anderer Kundengruppen.“

Das Obige ist eine schockierende Bestätigung dafür, wie groß dieser Verstoß ist. Spreadshirt arbeitet jetzt mit Drittanbietern zusammen, um die Online-Sicherheitsmaßnahmen des Unternehmens zu verbessern, und wir werden diese Geschichte weiterhin mit allen Entwicklungen aktualisieren, die sich ergeben.

Nachfolgend eine englische und dänische Version der E-Mail mit der Erklärung von Spreadshop, die an alle betroffenen Benutzer gesendet wurde.

Spreadshop warnte die Nutzer über seine Website am 8. Juli 2021, dass sie Opfer eines „organisierten Cyberangriffs, der mit erheblich bösartiger krimineller Absicht durchgeführt wurde“, geworden sei. Bisher sind die Täter des Angriffs unbekannt, aber sie waren eindeutig hochqualifiziert, da sie die strengen Sicherheitsmaßnahmen von Spreadshop umgehen konnten.

Obwohl das Unternehmen gespeicherte Daten auf seinem System schnell schützen konnte, wurden einige Informationen verletzt, was für Spreadshop-Benutzer, Kunden und Partner äußerst besorgniserregend ist. Diese Daten umfassen:

Adressdaten
Passwort-Hashes, die vor 2014 gespeichert wurden
Bankkonto Daten
PayPal-Adressen

Eine Nachricht, die wir von Spreadshop an dänische Benutzer gesendet haben, besagte, dass Hacker auf Server und die auf diesen Servern gespeicherten Daten zugegriffen hatten und dass diese möglicherweise veröffentlicht werden könnten. Dazu gehörten auch Daten von Spreadshop-Partnern. In derselben E-Mail an dänische Benutzer sagte Spreadshop: „Wir bedauern zutiefst, dass infolge dieses Cyberangriffs auf personenbezogene Daten zugegriffen wurde.“

Wir fragten das Spreadshirt-Presseteam, wie lange es dauerte, bis die Plattform den Verstoß bemerkte und erhielten die Nachricht: „Bitte haben Sie Verständnis, dass wir uns dazu derzeit nicht äußern können.“ Aufgrund der Art der Sicherheitsverletzung gehen wir davon aus, dass das Unternehmen aus zukünftigen Sicherheitsgründen nicht bereit ist, offenzulegen, wie lange es gedauert hat, auf den Angriff zu reagieren.

Wer war betroffen?
PrivacySharks bat das Presseteam von Spreadshirt um explizite Informationen darüber, wer von der Verletzung betroffen war. Uns wurde mitgeteilt, dass Daten von Kunden, Partnern, Mitarbeitern und externen Lieferanten an dem Angriff beteiligt waren.

Als wir nach einer ungefähren Zahl von Konten fragten, die an der Sicherheitsverletzung beteiligt waren, sagte uns Spreadshirt: „Dies wird noch im Detail untersucht.“ Da der Angriff jedoch nicht nur Kunden, sondern auch andere Dritte betrifft, ist es möglich, dass es eine lange Liste von Personen gibt, deren personenbezogene Daten verletzt wurden.

Da es sich bei den betroffenen Daten um Adressdaten, Passwort-Hashes, Bankkontodaten und PayPal-Adressen handelt, könnten die Daten vieler Benutzer gestohlen werden, was äußerst besorgniserregend ist. Der Diebstahl dieser äußerst sensiblen Daten kann zu Betrugsfällen oder Identitätsdiebstahl führen.

Darüber hinaus hat der Kontakt von uns, der die dänische E-Mail bezüglich des Verstoßes erhalten hat, kein Spreadshop-Konto. Dies unterstützt die Aussage von Spreadshop gegenüber PrivacySharks, die besagt, dass Verbraucher, die auf der Website eingekauft haben, von dem Angriff betroffen waren.

Die Reaktion von Spreadshop auf den Verstoß
In der kurz nach der Entdeckung der Sicherheitsverletzung veröffentlichten Erklärung von Spreadshop erklärte das Unternehmen: „Wir haben sofort alle notwendigen Schritte unternommen, um alle bei uns gespeicherten Daten zu schützen und arbeiten derzeit mit externen Cyber-Sicherheitsspezialisten zusammen, um den Vorfall systematisch zu rekonstruieren.“

Das Unternehmen stellt sicher, dass ein ähnliches Ereignis in Zukunft nicht stattfindet, indem es seine Sicherheit erhöht und mit den erforderlichen Behörden zusammenarbeitet, um seine Server zu schützen. Die Details der getroffenen Sicherheitsmaßnahmen sind uns jedoch nicht bekannt und wurden vom Presseteam mitgeteilt: „Aus Ermittlungsgründen können wir keine weiteren Details dazu geben, welche neuen Sicherheitsmaßnahmen ergriffen werden, um solche Angriffe in Zukunft zu verhindern.“

Was sollten Spreadshop-Kunden tun?
Wir haben Spreadshop gefragt, was die Leser von PrivacySharks tun sollen, wenn sie ein Konto haben, und ihnen wurde gesagt: „Wir empfehlen ihnen dringend, ihre Passwörter zu ändern.“

Wenn Sie ein Spreadshop-Konto haben, sollten Sie Ihr Passwort sofort in ein starkes Passwort mit mehr als 15 Zeichen ändern, das eine Kombination aus Symbolen, Buchstaben und Zahlen enthält.