Dieses Begleitthema zu https://www.blocktrainer.de/blog/nutzerdaten-betroffen-sicherheitsvorfall-bei-21bitcoin wurde automatisch erstellt. Antworten auf dieses Thema werden unter dem Beitrag auf der Webseite eingeblendet.
Dieses Begleitthema zu https://www.blocktrainer.de/blog/nutzerdaten-betroffen-sicherheitsvorfall-bei-21bitcoin wurde automatisch erstellt. Antworten auf dieses Thema werden unter dem Beitrag auf der Webseite eingeblendet.
Und wie sieht das mit der „Vollen Verantwortung“ nun aus? Außer einem sorry konnte ich nichts erkennen? Wie wird den geschädigten geholfen?
4 „Gefällt mir“
Wenn Sicherheit (wird eigentlich immer in solchen Fällen genannt) und Qualität (wird auch meistens genannt) höchste Priorität hätten, würde man den Kundensupport nicht durch externe Dienstleister erledigen lassen. So einfach ist das.
3 „Gefällt mir“
Offene Fragen
Die Liste der potenziell betroffenen Daten wurde bereits genannt… entscheidend finde ich, warum eine Integration für ein Feedback-Board überhaupt auf ein derart umfangreiches Kundenprofil im Intercom-Supportsystem zugreifen konnte!?
Wir wissen nicht, ob alle diese Daten dauerhaft bei Canny gespeichert wurden. Offensichtlich verfügte der Canny-Zugangsschlüssel aber über die Berechtigung, sie aus Intercom abzurufen. Genau darin liegt das Problem: Das Prinzip der minimal notwendigen Berechtigungen scheint nicht umgesetzt worden zu sein!
Auch die Aussage, die „eigenen Systeme“ von 21bitcoin seien nicht betroffen gewesen, greift zu kurz. Die Supportdaten wurden über eine von 21bitcoin eingerichtete und autorisierte Drittanbieterintegration kompromittiert. Dafür trägt 21bitcoin selbst die Verantwortung!
Das Risiko besteht außerdem nicht nur darin, dass sich Betrüger gegenüber Kunden als 21bitcoin-Support ausgeben. Mit den offengelegten Informationen könnte umgekehrt jemand versuchen, sich gegenüber dem Support als Kunde auszugeben – beispielsweise bei einer Kontowiederherstellung, einem 2FA-Reset oder einer Änderung der Kontaktdaten!
Für mich bleiben daher fünf zentrale Fragen offen:
- Welche Daten wurden bei jedem einzelnen Betroffenen tatsächlich abgerufen?
- Warum waren diese Informationen im Supportsystem hinterlegt und für die Canny-Integration erreichbar?
- Welche Daten benötigte Canny regulär, welche Berechtigungen besaß die Integration tatsächlich und wurden Daten dauerhaft bei Canny gespeichert?
- Wie verhindert der Support künftig, dass sich Angreifer mithilfe der offengelegten Informationen erfolgreich als Kunden ausgeben??
- Wann ist der angekündigte E-Mail-Sicherheitscode tatsächlich verfügbar, und wird er ausnahmslos in allen E-Mails von 21bitcoin verwendet?
Gerade der letzte Punkt ist aktuell unbefriedigend: In meiner App ist die von 21bitcoin genannte Funktion „Profil – Sicherheit – E-Mail-Sicherheit“ weiterhin nicht vorhanden. Eine Schutzmaßnahme anzukündigen, die betroffenen Kunden noch gar nicht zur Verfügung steht, hilft in der akuten Situation wenig.
1 „Gefällt mir“
Wahrscheinlich macht es Sinn, in Sicherheitsvorfall 21bitcoin - #66 von Arlington alles an einer Stelle zu sammeln, um Dopplungen zu vermeiden.
2 „Gefällt mir“
Ja, habe den anderen Thread erst im Nachhinein gesehen. Sorry.
1 „Gefällt mir“