UK Wasserversorger: Opfer fühlen sich hilflos nach Datenleck
Pennine Water Services, einer der größten Wasserversorger Nordenglands, hat ein massives Datenleck bestätigt, von dem Millionen von Kunden betroffen sind. Zu den gestohlenen Daten gehören Bankverbindungen und sensible Kundenlisten.
Was ist passiert?
Pennine Water Services, das Versorgungsunternehmen, das einen Großteil Nordenglands mit Wasser beliefert, ist Cyberkriminellen zum Opfer gefallen. In einer kurzen Erklärung letzte Woche gab das Unternehmen bekannt, dass es einen unbefugten Zugriff auf Server mit Kundendaten festgestellt habe. Die Wahrheit ist jedoch weitaus ernster. Der Vorfall wurde nicht von den eigenen Sicherheitsteams entdeckt, sondern von einem unabhängigen Cybersicherheitsforscher, der eine Datenbank im Dark Web zum Verkauf fand. Ihre Daten wurden also nicht nur gestohlen, sondern auch zum Verkauf angeboten, bevor das Unternehmen überhaupt wusste, dass sie weg waren.
Was anfangs als geringfügiger Vorfall heruntergespielt wurde, entwickelte sich schnell zu einer ausgewachsenen Krise. Wir sprechen hier nicht nur von ein paar Namen und E-Mail-Adressen. Wir sprechen von einer Katastrophe, die die hochpersönlichen und finanziellen Informationen von Millionen von aktuellen und ehemaligen Kunden betrifft. Die öffentliche Bekanntmachung des Unternehmens erfolgte Wochen, nachdem die Daten tatsächlich gestohlen wurden. Diese Verzögerung bedeutete, dass die Kunden Betrugsversuchen völlig schutzlos ausgeliefert waren und ihr tägliches Leben weiterführten, ohne zu ahnen, dass ihre Bankkonten in Gefahr waren.
Welche Daten wurden entwendet?
Was genau wurde also gestohlen? Die Liste ist lang und macht einem übel. Die Cyberkriminellen haben einen digitalen Raubüberfall durchgeführt und fast nichts zurückgelassen.
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →- Persönliche Identifikatoren: Ihr vollständiger Name, Ihre Wohnadresse, Telefonnummern und E-Mail-Adressen. Allein diese Informationen sind eine Goldgrube für Phishing-Angriffe.
- Finanzdaten: Das ist der erschreckendste Teil. Auch Bankkontonummern und Bankleitzahlen, die von Kunden für Lastschriftzahlungen verwendet werden, gehörten zu den gestohlenen Daten. Das bedeutet, dass Kriminelle betrügerische Lastschriften einrichten können, um Geld direkt von Ihrem Bankkonto abzubuchen.
- Geburtsdaten: Ein Eckpfeiler des Identitätsdiebstahls. Mit Ihrem Namen, Ihrer Adresse und Ihrem Geburtsdatum können Kriminelle in Ihrem Namen Kreditkarten beantragen oder neue Konten eröffnen.
- Sensible Kundendatensätze: Vielleicht der unverzeihlichste Teil dieses Vorfalls. Pennine Water führte ein „Priority Services Register“ für Personen, die aus medizinischen Gründen eine ununterbrochene Wasserversorgung benötigen, wie z. B. Dialysepatienten, Familien mit Kleinkindern oder Personen mit schweren Krankheiten. Auch diese Liste wurde gestohlen. Kriminelle wissen nun, wer die schutzbedürftigsten Mitglieder der Gesellschaft sind. Stellen Sie sich nur vor, wie verheerend ein gezielter Telefonbetrug für diese Personen sein könnte.
Die Kombination dieser Daten ist ein perfekter Cocktail für Cyberkriminalität. Sie können nicht nur Ihr Bankkonto leeren, sondern auch eine synthetische Identität in Ihrem Namen erstellen. Dies ist nicht nur ein Datenleck; es ist ein direkter Angriff auf die Privatsphäre, die finanzielle Sicherheit und sogar die physische Sicherheit der Menschen.
Wie der Angriff geschah
Während die offiziellen Erklärungen von Pennine Water vage bleiben, haben Quellen in der Cybersicherheits-Community Hinweise darauf zusammengetragen, wie der Angriff wahrscheinlich abgelaufen ist. Es scheint, dass der Einbruch auf eine Schwachstelle in einer von der Firma genutzten Drittanbieter-Software zur Dateiübertragung zurückzuführen ist. Eine bisher unbekannte „Zero-Day“-Schwachstelle wurde in einer Plattform wie „DataMover Pro“ entdeckt, die große Unternehmen zur sicheren Übertragung riesiger Dateien verwenden.
Die Angreifer nutzten diese Schwachstelle aus, um in die Systeme von Pennine Water einzudringen. Diese Art von Angriff geht über einfache Fragen wie „Was war das Passwort?“ oder „Wer hat auf den Link geklickt?“ hinaus. Die Angreifer nutzten einen fundamentalen Fehler in der Software selbst, um Firewalls und andere Verteidigungsmechanismen lautlos zu umgehen. Man geht davon aus, dass sie, einmal eingedrungen, wochenlang unentdeckt Daten abzogen. Es ist, als ob ein Insider langsam Informationen durchsickern lässt, nur eben komplett digital. Die Tatsache, dass die Cybersicherheitsinfrastruktur des Unternehmens einen so ausgeklügelten Angriff nicht erkennen konnte, zeigt die Unzulänglichkeit seiner internen Kontrollen.
Wer ist betroffen?
Die Betroffenen sind nicht nur Datenpunkte in einer Tabelle. Es sind gewöhnliche Menschen, die ihre Rechnungen pünktlich bezahlen und auf die öffentliche Infrastruktur vertrauen. David, ein pensionierter Lehrer aus Leeds, sagte: „Ich fühle mich verraten. Ich bezahle dieses Unternehmen seit Jahren. Ich habe ihnen meine Bankdaten anvertraut. Jetzt kann ich nachts nicht schlafen, aus Angst, dass mein Konto jeden Moment geleert werden könnte.“ Es gibt Millionen wie ihn.
Die Situation ist für diejenigen im „Priority Services Register“ noch schlimmer. Maria, eine junge Mutter aus Manchester, die wegen der gesundheitlichen Probleme ihres kleinen Kindes auf der Liste steht, äußerte ihre Wut: „Wenn mich jemand anrufen und sagen würde: ‚Wir sind von Pennine Water, wir bieten Ihnen einen Rabatt auf Ihre Rechnung wegen des Zustands Ihres Kindes, bestätigen Sie nur diese Daten‘, könnte ich ihm in einem Moment der Panik glauben. Das Unternehmen hat ihnen die Informationen gegeben, um uns in unserem verletzlichsten Moment auszunutzen.“ Dies ist eine Situation, die dazu geführt hat, dass sich Menschen in ihren eigenen vier Wänden, dem Ort, an dem sie sich am sichersten fühlen sollten, „verletzt“ fühlen.
Was Sie tun können
Was sollten Sie also tun, wenn Ihre Daten gestohlen wurden? Vergessen Sie den klassischen Ratschlag, „Ihr Passwort zu ändern“; er ist in diesem Fall weitgehend nutzlos. Hier sind die Schritte, die Sie tatsächlich unternehmen sollten:
- Kontaktieren Sie sofort Ihre Bank: Dies ist der erste und wichtigste Schritt. Rufen Sie die Betrugsabteilung Ihrer Bank an und schildern Sie die Situation klar: „Ich bin vom Datenleck bei Pennine Water betroffen, und meine Bankdaten wurden kompromittiert.“ Bitten Sie darum, Ihr Konto unter besondere Beobachtung zu stellen. Weisen Sie sie an, besonders wachsam auf neue oder verdächtige Lastschriften zu achten.
- Überwachen Sie Ihre Kreditauskünfte: Melden Sie sich bei einer Kreditauskunftei wie der SCHUFA, Experian oder Equifax an. Überprüfen Sie Ihre Berichte regelmäßig auf unbekannte Kreditkarten, Telefonverträge oder Kredite, die in Ihrem Namen eröffnet wurden. Erwägen Sie, einen Betrugswarnhinweis in Ihrer Akte zu platzieren. Dies zwingt Kreditgeber, zusätzliche Schritte zur Überprüfung Ihrer Identität zu unternehmen, wenn jemand versucht, in Ihrem Namen einen Kredit zu beantragen.
- Seien Sie bei jeder Nachricht und jedem Anruf skeptisch: In den kommenden Monaten wird es eine Welle von Phishing-E-Mails und Anrufen geben, die vorgeben, von Pennine Water, Ihrer Bank, dem Finanzamt oder sogar der Polizei zu stammen. Denken Sie daran, keine legitime Organisation wird Sie jemals anrufen und nach Ihrem Passwort, Ihrer PIN oder Ihrer vollständigen Kontonummer fragen. Seien Sie misstrauisch bei jeder Nachricht, die Sie auffordert, auf einen Link zu klicken oder eine Datei herunterzuladen. Im Zweifelsfall legen Sie auf und rufen Sie die Organisation unter einer offiziellen, selbst gefundenen Nummer zurück.
- Überprüfen Sie Ihre Lastschriften: Melden Sie sich bei Ihrem Online-Banking an und überprüfen Sie sorgfältig Ihre Liste der Lastschriften und Daueraufträge. Wenn Sie einen Zahlungsauftrag an ein Unternehmen sehen, das Sie nicht kennen oder nicht autorisiert haben, kontaktieren Sie sofort Ihre Bank, um ihn zu stornieren und den Betrug zu melden.
Was das Unternehmen sagt
Pennine Water Services gab eine vorhersehbare, standardmäßige Unternehmenserklärung ab. Der CEO des Unternehmens, James Holloway, sagte: „Wir nehmen die Sicherheit der Daten unserer Kunden außerordentlich ernst. Wir bedauern diesen Vorfall zutiefst und entschuldigen uns bei allen Betroffenen. Wir führen eine Untersuchung durch und arbeiten eng mit dem National Cyber Security Centre (NCSC) und dem Information Commissioner's Office (ICO) zusammen.“ Das Unternehmen fügte hinzu, dass es allen betroffenen Kunden ein 12-monatiges Abonnement für einen Kreditüberwachungsdienst kostenlos anbieten werde.
Diese Worte können den Zorn der Opfer jedoch kaum besänftigen. Ein kostenloser Kreditüberwachungsdienst bringt kein gestohlenes Geld zurück und stellt kein Gefühl der Sicherheit wieder her. Es ist, als würde man anbieten, ein neues Schloss einzubauen, nachdem die Einbrecher bereits weg sind. Das Unternehmen sieht sich nun einer potenziell massiven Geldstrafe von der britischen Datenschutzbehörde ICO gegenüber, die bis zu 4 % seines weltweiten Umsatzes betragen kann, sowie Sammelklagen von seinen Kunden. Aber keine Strafe wird jemals das Vertrauen und den Seelenfrieden wiederherstellen, den Millionen von Menschen verloren haben.