Meiner Meinung nach ist das nur rausreden, dass Canny schuld ist. Warum hatte 21 Bitcoin Canny überhaupt den API-Token gegeben, mit dem die an die ganzen Daten kommen konnten? Finde diese scheinheiligen Erklärungen einfach nur noch frech. Einfach eine billige Ausrede, dass die selbst nichts dafür können.
Zum aktuellen Zeitpunkt klingt es für mich auch etwas merkwürdig warum darüber einfach „alles“ angerufen werden konnte.
Aber vielleicht kommen hierzu noch mehr Infos.
1 „Gefällt mir“
Beim aktuellen Sicherheitsvorfall wird vor allem davor gewarnt, dass sich Betrüger gegenüber Kunden als 21bitcoin ausgeben könnten. Aber wie sieht es umgekehrt aus?
Mit Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Kontostatus und dem Thema einer echten Supportanfrage könnte sich ein Angreifer auch gegenüber dem Support glaubwürdig als Kunde ausgeben – etwa mit der Behauptung, keinen Zugriff mehr auf App oder 2FA zu haben.
Der angekündigte E-Mail-Sicherheitscode hilft dabei nicht, denn er bestätigt nur dem Kunden, dass eine Nachricht von 21bitcoin stammt.
Mich würde deshalb interessieren: Wie schützt 21bitcoin seinen eigenen Support vor solchen Täuschungsversuchen? Und wie wird jemand sicher überprüft, der angeblich keinen Zugang mehr zur App hat?
Außerdem ist der angekündigte Sicherheitscode zumindest bei mir noch gar nicht in der App vorhanden.
4 „Gefällt mir“
Offene Fragen
Die Liste der potenziell betroffenen Daten wurde bereits genannt… entscheidend finde ich, warum eine Integration für ein Feedback-Board überhaupt auf ein derart umfangreiches Kundenprofil im Intercom-Supportsystem zugreifen konnte!?
Wir wissen nicht, ob alle diese Daten dauerhaft bei Canny gespeichert wurden. Offensichtlich verfügte der Canny-Zugangsschlüssel aber über die Berechtigung, sie aus Intercom abzurufen. Genau darin liegt das Problem: Das Prinzip der minimal notwendigen Berechtigungen scheint nicht umgesetzt worden zu sein!
Auch die Aussage, die „eigenen Systeme“ von 21bitcoin seien nicht betroffen gewesen, greift zu kurz. Die Supportdaten wurden über eine von 21bitcoin eingerichtete und autorisierte Drittanbieterintegration kompromittiert. Dafür trägt 21bitcoin selbst die Verantwortung!
Das Risiko besteht außerdem nicht nur darin, dass sich Betrüger gegenüber Kunden als 21bitcoin-Support ausgeben. Mit den offengelegten Informationen könnte umgekehrt jemand versuchen, sich gegenüber dem Support als Kunde auszugeben – beispielsweise bei einer Kontowiederherstellung, einem 2FA-Reset oder einer Änderung der Kontaktdaten!
Für mich bleiben daher fünf zentrale Fragen offen:
- Welche Daten wurden bei jedem einzelnen Betroffenen tatsächlich abgerufen?
- Warum waren diese Informationen im Supportsystem hinterlegt und für die Canny-Integration erreichbar?
- Welche Daten benötigte Canny regulär, welche Berechtigungen besaß die Integration tatsächlich und wurden Daten dauerhaft bei Canny gespeichert?
- Wie verhindert der Support künftig, dass sich Angreifer mithilfe der offengelegten Informationen erfolgreich als Kunden ausgeben??
- Wann ist der angekündigte E-Mail-Sicherheitscode tatsächlich verfügbar, und wird er ausnahmslos in allen E-Mails von 21bitcoin verwendet?
Gerade der letzte Punkt ist aktuell unbefriedigend: In meiner App ist die von 21bitcoin genannte Funktion „Profil – Sicherheit – E-Mail-Sicherheit“ weiterhin nicht vorhanden. Eine Schutzmaßnahme anzukündigen, die betroffenen Kunden noch gar nicht zur Verfügung steht, hilft in der akuten Situation wenig.
2 „Gefällt mir“
@21bitcoin schiebt es gern auf den externen Dienstleister. Dabei hat @21bitcoin sich bewusst dafür entschieden, genau diesem Dienstleister einen Schnittstellen-Schlüssel mit Leserechten in die Hand zu drücken. Einmal Zugang auf Kundendaten gewährt, verliert man die Kontrolle über den Datenfluss. Wer kann uns versichern, dass der externe Dienstleister die Daten nicht intern speichert bzw. weitergibt? @21bitcoin könnt ihr das mit Sicherheit beantworten? Nein, könnt ihr nicht. Selbst wenn es nicht zum oben genannten Vorfall gekommen wäre, habt ihr sehr leichtsinnig mit Kundendaten agiert, denn ihr habt zu keinem Zeitpunkt die Kontrolle darüber, was der externe Dienstleister mit - aus eurem Kundencenter abgerufenen - Kundendaten anstellt.
Es gibt ja keine Konsequenz. Es ist wie in der Politik: Solange keiner für seine Fehler grade stehen muss, wird es weiter so laufen. Hauptsache Marketing-Sprüche raushauen und sich in Sicherheit wiegen.
Relai ist tatsächlich ein Nogo (ist @Blocktrainer da noch investiert?). Bitvavo wäre noch eine Option (vom Hörensagen, keine Erfahrung).
@21bitcoin bitte verharmlost die Situation nicht. Neben Phishing sehe ich folgende Angriffsszenarien:
- Der Login in die App erfolgt über die Mobilfunknummer, die der Angreifer jetzt besitzt. Nun fehlt ihm nur noch das Passwort, welches er Brute-forcen kann. Habe mir eure App gezogen und konnte Zugangsdaten dutzende Male eingeben ohne ausgesperrt zu werden. Und da ihr - selbst auf mehrfachen und dringenden Wunsch eurer Kunden - 2FA verspätet eingeführt habt, hat natürlich auch nicht jeder Kunde 2FA aktiviert. Hoffentlich habt ihr beim Login diverse Sicherheitsvorkehrungen getroffen, um Brute-Force-Anmeldungen zu unterbinden.
- Kundendaten, die bei euch gestohlen wurden, können mit anderen Datenbanken aus dem Darknet (stellt euch vor, der Berlin-Datenleak landet im Darknet) gesynct werden: Anhand von E-Mail-Adressen und Telefonnummern lassen sich Daten wie z.B. Wohnadresse ausfindig machen. Und das wäre fatal. In meinen Augen ein realistisches Szenario - wenn nicht heute dann morgen.
Merkt ihr auch? Ihr verlagert die Verantwortung auf eure Kunden. Kunden haben euch vertraut, euch dafür Geld gezahlt. Jetzt macht ihr es easy und gibt Kunden die Todos.
Wahrscheinlich wird jeder Anbieter davon betroffen sein. Nur eine Frage der Zeit.
Verzichtet auf Drittanbieter, die etwas mit Kundendaten zu tun haben. Wobei das fängt schon bei der Kundenverifizierung an. Wahrscheinlich ist es bei euch auch schon ein Drittanbieter?
In diesem Fall nicht, nein. 21Bitcoin hat dem externen Dienstleister bewusst den Zugang zu seiner Support-Datenbank gewährt. Das wollte die EU nicht ;)
Stimmt, bist allerdings in diesem Ökosystem auch für immer gefangen. Will nicht jeder.
Warum nur in der App? Warum nicht auch per E-Mail? Menschen, die eure App nicht (mehr) nutzen aus Gründen, würden von dem Vorfall nicht zeitnah erfahren. Und da riskiert ihr wieder, dass Nutzer unwissend ins Phishing rein laufen. Das sehe ich sehr kritisch.
Einem fremden System Zugriff auf Kundendaten zu geben ist … naja, nicht so gut. Schade nur, dass Kunden euren Leichtsinn ausbaden müssen.
Da gebe ich dir recht. Allerdings sind hier Kundendaten abgeflossen. Würde nur das Unternehmen alleine geschädigt werden, würden weniger Menschen aufschreien. Sobald man selbst als Privatperson (und seine Familie) betroffen ist, sieht die Lage ganz anders aus. Verständlicherweise.
Und dabei schreibt ihr selbst: „Bei einigen Kunden konnte zudem der Guthabenbestand zu Zeitpunkt des Zugriffs ausgelesen werden.“
Also doch Guthabenbestand abgegriffen? Okey, nicht bei allen Kunden, aber dann dürft ihr nicht pauschalisieren, dass Bitcoin- und Euro-Guthaben nicht betroffen sind. Und würde es implizieren, dass „vollständig getrennte Infrastruktur“ ebenfalls kompromittiert wurde?
5 „Gefällt mir“
@Blocktrainer Wann gibts ein Video zum @21bitcoin Hack?
3 „Gefällt mir“
Wird eng, weil es wird schwer, das Thema positiv darzustellen
3 „Gefällt mir“
Das Video zum Pocket-Leak wurde auch zum Werbevideo.
@21bitcoin Und noch ein Sachverhalt: Beim Inspizieren eurer App ist mir aufgefallen, dass ihr bereits auf dem Login-Screen Daten an https://www.branch.io sendet. Wo kann der Kunde an der Stelle das Marketing-Tracking abbestellen? Und wo informiert ihr ihn darüber?
Denkt dran, ihr wollt Verantwortung übernehmen ;)
1 „Gefällt mir“
Das greift zu kurz. Ohne die Regulierungswut der EU hätte 21bitcoin deine Daten gar nicht bzw. nicht so umgänglich, da kein FullKYC notwendig wäre.
1 „Gefällt mir“
Doch, z.B. die Mobilfunknummer nutzt @21bitcoin für Login. Und das war schon beim App-Release also noch vor Mica und dem ganzen EU-Quatsch.
Betroffene Kunden sollten eine Beschwerde bei FMA einreichen: Beschwerden und Anfragen an die FMA - FMA Österreich
2 „Gefällt mir“
Hat sowas eigentlich auch Auswirkungen auf eine bestehende MICA Zertifizierung bzw. kann die ggf. wieder entzogen werden?
1 „Gefällt mir“
Nope. Das hat damit praktisch nichts zu tun.
Tja, unterschiedliche Vorstellung von Freiheit
@21bitcoin Wir sind gespannt auf Antworten auf unsere Fragen.
@daniel21bitcoin du kannst gerne jetzt deine Thread-Nachricht absenden, wir haben dich schreiben sehen ;)
Es ist unbestreitbar, dass solche Regulierungen zur Datensammlung nicht gut sind.
Dennoch ist es in diesem Fall die Verantwortung von 21bitcoin und von niemandem anderen. Hier kann man nichts abwälzen oder an anderen übertragen.
Für was genau nutzt ihr den Anbieter Canny eigentlich? Ihr schreibt keine Marketing Analysen und die bekommen keine Daten. Was machen die dann?
Für die Support Infrastruktur und (mutmaßlich) auch den KI gestützten Support.
Und canny nutzt wiederum „Intercom“, also die zentrale Anlaufstelle für Supportanfragen.
Also du stellst eine Support-Anfrage, die ploppt direkt bei Intercom auf sozusagen. In canny werden die dann ggfs. strukturiert, automatisiert beantwortet oder Vorschläge gemacht etc.
Dafür muss canny natürlich auf das Intercom-System zugreifen könben bzw. Abfragen stellen können. Wenn dort nun jemand einen Zugangsschlüssel entwendet und alles bei Intercom abfragen kann, dann können natürlich all diese sensiblen Daten entwendet werden, ohne das canny im Regelfall auf diese Daten unbedingt Zugriff hat.
Für den Endkunden ist das natürlich alles gehopst wie gesprungen. Die Daten sind weg.
Hi zusammen, Daniel von 21bitcoin hier,
ich habe eure Kommentare gelesen, auch die harten Beiträge. Für uns ist das eine extrem herausfordernde Situation und es ist bitter, dass der Vorfall bei einem Drittdienstleister passiert ist. An unserer Verantwortung ändert das nichts: Es sind eure Daten, ein Teil davon wurde offengelegt und das tut mir persönlich leid. Das geht an niemandem von uns spurlos vorbei.
Und an die schnippischen Kommentare: Ich befinde mich gerade im Urlaub und in einer persönlichen Ausnahmesituation, trotzdem arbeiten wir seit Tagen Tag und Nacht durch, um jeden Einzelnen, der Fragen zu seinem Account hat, persönlich abzuholen. Nicht, weil wir müssen, sondern weil es uns wichtig ist.
Zum zitierten LinkedIn-Post: Ich verstehe, warum das im Timing ironisch wirkt. Inhaltlich stehe ich aber zu jedem Punkt. Alle genannten Maßnahmen betreffen unsere internen Systeme und genau die waren und sind zu keinem Zeitpunkt kompromittiert. Wir haben unsere Infrastruktur nach bestem Wissen und Gewissen aufgebaut (eigenes Security-Team, CISO, regelmäßige externe Audits und Tests) und tun weiterhin alles, was uns möglich ist. Aber @dackelmann hat es treffend gesagt: 100% Sicherheit gibt es nicht, für niemanden. Ich bin überzeugt, dass wir ein grundsolides Fundament aufgebaut haben, umso bitterer ist es, dass der Vorfall bei einem Drittdienstleister passiert ist. Die Lektion für uns ist, denselben Maßstab noch härter an jeden Dienstleister anzulegen und unsere Security-Standards weiter zu erhöhen. Ein Zielkonflikt bleibt aber immer, den jedes Unternehmen abwägen muss: Die internen Systeme eines Dienstleisters lassen sich von außen nur begrenzt prüfen. Alles selbst zu bauen ist auch keine allgemeine Lösung, das verlagert die Risiken, wie die Vorfälle der letzten Monate zeigen, egal ob mit oder ohne Dienstleister.
Weil einige Punkte hier immer wieder kommen, möchte ich sie gesammelt beantworten:
„Warum hatte ein Feedback-Tool überhaupt Zugriff auf meine Daten?" Es wurden keine zusätzlichen Daten an Canny übermittelt oder dort für Marketing o. Ä. gespeichert. Canny war über eine Schnittstelle mit unserem Support-System verbunden. Angreifer haben bei Canny den Zugangsschlüssel dieser Schnittstelle erbeutet und damit einmalig Teile der in Intercom gespeicherten Daten ausgelesen. Solche Integrationen fragen ein festes Berechtigungspaket an, das man nur komplett annehmen oder ablehnen kann und genau daraus ziehen wir die Konsequenz: Die Canny-Anbindung ist dauerhaft entfernt und wir prüfen aktuell jede einzelne Schnittstelle.
„Ihr gebt Kundendaten bereitwillig weiter." Nein. Wir verkaufen keine Kundendaten und geben sie nicht an Dritte weiter. Tools binden wir zweckgebunden an und diesen Anspruch verschärfen wir jetzt nochmals: Daten bei sämtlichen Drittanbietern werden weiter auf das betriebsnotwendige Minimum reduziert, mit strengeren Anforderungen an jede externe Integration.
„Was heißt für euch Verantwortung konkret?" Nicht nur eine Entschuldigung. Konkret: Alle Betroffenen wurden direkt von uns informiert, die Verbindung wurde noch am selben Tag getrennt, die Anbindung dauerhaft entfernt und wir verschärfen Audits und Anforderungen an alle Dienstleister. Der persönliche Sicherheitscode für automatische E-Mails kommt wie angekündigt mit dem nächsten App-Update. Schon heute könnt ihr jede Support-Nachricht verifizieren, indem ihr prüft, ob sie im Support-Bereich der App abrufbar ist. Bei individuellen Anliegen zu eurem Konto meldet euch direkt bei unserem Support, wir kümmern uns um jeden Fall persönlich.
Danke an alle, die sachlich bleiben und der Ärger der anderen ist genauso verständlich. Alle Neuerungen posten wir hier öffentlich: Vorfall bei externen Dienstleister „Canny” | 21bitcoin Helpcenter
1 „Gefällt mir“