Erneut wurde ein Reisekonzern Opfer eines umfangreichen Hackerangriffs. Der britischen Billigfluggesellschaft Easyjet wurden nach Unternehmensangaben insgesamt 9 Mio. Kundendaten gestohlen. Neben E-Mail-Adressen und Buchungsdaten wurden dabei im geringen Umfang auch Kreditkartendaten abgegriffen. Easyjet will in den nächsten Tagen alle betroffenen Fluggäste informieren.
Hacker-Angriff auf Easyjet: 9 Millionen Kundendaten betroffen |
Die britische Billigfluggesellschaft musste am Dienstag, 19. Mai 2020 über einen Sicherheitsvorfall in den eigenen IT-Systemen informieren. Hacker hatten sich auf einem sehr komplexen Weg Zugang zu E-Mail-Adressen und Buchungsdaten verschafft. Nach einer ersten Untersuchung, zu der auch führende forensische Experten beauftragt wurden, steht fest, dass über 9 Millionen Kundendaten von diesem Hackerangriff betroffen sind. Nur in einem kleinen Maß seien auch Kreditkartendaten gestohlen worden. Easyjet beziffert den Kreis der Betroffenen auf 2.208 Kunden.
Easyjet gibt an, dass nach Bekanntwerden der Sicherheitslücke direkt gehandelt wurde. Es wurden umfangreiche Ermittlungen eingeleitet und der nicht autorisierte Zugriff wurde gesperrt. Außerdem wurde die zuständige britische Behörde über den Vorfall in Kenntnis gesetzt. Alle betroffenen Kunden erhalten bis spätestens 26. Mai 2020 weitere Informationen zum Vorfall. Wer keine Email erhält, sei laut Easyjet nicht betroffen.
Johan Lundgren, Chief Executive Officer von easyJet, erklärt: „Wir nehmen die Cybersicherheit unserer Systeme sehr ernst und verfügen über solide Sicherheitsmaßnahmen zum Schutz der persönlichen Daten unserer Kunden. Dies ist jedoch eine sich entwickelnde Bedrohung, da Cyber-Angreifer immer ausgefeilter werden.“ Bei allen Kunden, deren Daten geklaut wurden, entschuldigt er sich.
Hacker-Angriff auf Easyjet: 9 Millionen Kundendaten betroffen | Easyjet nicht das erste Opfer
Hacker scheinen es in den letzten Jahren immer häufiger auf Unternehmen der Reiseindustrie abzusehen. Bereits im Jahr 2018 wurde British Airways Opfer einer umfangreichen Hackerattacke. Damals wurden die Daten von rund 380.000 Kunden gestohlen. Informationen wie Kundendaten, Adressen und sensible Kreditkartendaten gerieten dabei in die falschen Hände.
Noch fataler traf es viele Kunden der Marriott-Gruppe. Ebenfalls in 2018 erbeuteten Hacker über 383 Millonen Gasteinträge. Darunter auch mehrere Millionen Passnummern. Zugriff erlangten Hacker durch eine Sicherheitslücke der damaligen Tochtermarke Starwood.
Hacker-Angriff auf Easyjet: 9 Millionen Kundendaten betroffen | Frankfurtflyer Kommentar
Vielreisende machen häufig Witze über die IT der Buchungssysteme vieler Fluggesellschaften und Hotelketten. Irgendwo wird mal eine stornierte Hotelbuchung wieder reaktiviert (Marriott) oder der Hotelstatus einfach ohne Erfüllung der Qualifikationskriterien verlängert (IHG). Ein Highlight auch Lufthansas Vielfliegerprogramm, bei dem eine fünfstellige PIN als Authentifizierung ausreicht. Was manchmal wirklich witzig wirkt, als hätte es der Praktikant gemacht, wurde abermals zum bitteren Ernst: Email-Adressen von 9 Mio. Kunden wurden bei Easyjet geleakt. Die bringen auf dem Schwarzmarkt sicher einen guten Preis und zukünftig noch etwas mehr Spam in unsere Postfächer.
Aber zum Glück sind es diesmal primär Email-Adressen und Buchungsdaten. Auch eine manipulierte Buchung lässt sich schlimmstenfalls zurück setzen. Schlimmer wäre der Verlust von Kreditkarten- oder Passdaten gewesen.
Quelle: Easyjet
Solche Angriffe bestärken immer meine Zweifel in OpenSource-Software, jedenfalls dort, wo sie irgendwie mit Anmeldedaten verbunden ist.
Wieso?
Das Sicherheitsargument *pro* OpenSource in solchen Umgebungen lautet immer, dass jeder den Quelltext einsehen kann, um Sicherheitslücken zu finden. Das stimmt natürlich. Die Frage wäre, wer macht das, mit welcher Motivation und welchem Ziel? Selbst bei gegebener Motivation ist das ein Stochern im Heuhaufen, weil man ja gar nicht so ganz genau weiß, wonach man suchen soll.
Ein potentieller Angreifer weiß freilich ganz genau, was er will. Auch an Motivation mangelt es nicht und sei es einfach nur eigene Genugtuung.
Mit einer klaren Idee, kann man den offen einsehbaren Quellcode durchforsten, ob sich diese Idee irgendwie umsetzen lässt.
Ob das nun im vorliegenden Fall eine Rolle spielt sei dahingestellt. Das war mehr eine grundsätzliche Überlegung, nach vielen Jahren im Berufsleben und dort speziell Joomla und noch spezieller seinen plugins freilich nicht aus dem Vakuum gegriffen. Das größte Loch war übrigens einmal ein Editor-plugin, dass durch das praktisch weltweit Joomla-Seiten geschrottet wurden. Irgendwann um 2008.
Moin Rainer,
die Frage ob Open Source sicherer oder weniger sicher ist, als kostenpflichtige, closed-software lässt sich meiner Meinung nach nicht einfach so beurteilen. Ich selbst arbeite täglich mit Open Source Software und auch wenn es hier und da sicherlich Haken gibt, kann Open Source grundsätzlich eine solide Entscheidung sein und der Anwender trägt meiner Meinung nach einen großen Teil dazu bei. Als Anwender kann ich z.B. ein unregelmäßig gewartetes Open Source Produkt nutzen und nie aktualisieren, oder ich suche mir eins, dass eine große Community hat und regelmäßig verbessert wird, um es dann auch regelmäßig zu aktualisieren.
> Die Frage wäre, wer macht das, mit welcher Motivation und welchem Ziel?
Sicherheitslücken habe ich noch keine gefunden, aber wenn ein Kollege oder ich bspw. einen Bug während des Entwicklungsalltags finden, beheben wir den entweder selber und Stellen die Lösung dem Entwickler-Team oder dem Entwickler zur Verfügung, oder erstellen einen Bug-Eintrag in einem entsprechenden Bug-Tracker. Bei closed-software wäre das nicht so einfach, wenn überhaupt möglich. Würden wir Sicherheitslücken bei von uns genutzten Open Source Produkten finden, würden wir die natürlich nicht öffentlich zur Schau stellen, sondern über entsprechende Wege kommunizieren. (Bei TYPO3 z.B.: https://typo3.org/community/teams/security).
Gruß
Alex
OpenSource ist generell vom Konzept her deutlich besser als ClosedSource, deine Kritik ist in der Hinsicht unberechtigt. Security by Obscurity hat noch nie wirklich funktioniert.
Aber natuerlich gilt auch folgendes:
1.) Gute Programmierer sind besser als schlechte Programmierer.
2.) ClosedSource kann man zur Zeit besser monetarisieren, also ist es besser zum Geld verdienen.
3.) Gute Programmierer wollen Geld verdienen, werden also hauptberuflich eher ClosedSource programmieren.
4.) Daher muesste man generell umdenken, und die ordentliche Monetarisierung von OpenSource-Projekten moeglich machen. Z.B. indem zukuenftig alles an staatlich gekaufter Software generell OpenSource sein muesste. Wird nur dank der Lobbyisten von Microsoft, Alphabet, SAP und Co nicht passieren, denen wuerden Milliarden-Gewinne entgehen.
Und Joomla ist einfach mit der Zeit genauso wie WordPress verschlimmbessert worden.
Bei EasyJet wird vermutlich keine OpenSource-Software verantwortlich sein, das hoert sich eher danach an, dass irgendwer vergessen hat die Kundendatenbank (vermutlich ElasticSearch oder Konsorten) per Password zu sichern oder nur vom internen Netz erreichbar zu machen.
Oder aber ein Insider hat aktiv die Daten herausgeleitet, dies ist z.B. in den USA einer Hotel-Kette passiert.
Meine Pass-und Kredikarten-Daten sind unvermeidbar bis Expiry bei LH & LX hinterlegt. Dies nicht freiwillig,sondern wegen Flügen nach Amerika und Überfliegen div. Länder in Richtung Asien/Fernost. Bis heute ist glücklicherweise noch nichts Bösartiges damit geschehen — aber was nicht ist, kann ja noch werden.
Wir neigen schnell dazu uns zu brüskieren, wenn die Datenschutzgrundverordnung ( DS GVO ) zu gewissen Dingen verpflichtet. Ich war selber als externer Datenschutzbeuaftragter unterwegs, und erstaunt wie gutgläubig manche ihre IT Sicherheit betrachteten und wie leicht es war in Ihre Systeme einzudrängen. Ich habe aber auch das schlimme Gegenteil erlebt, dass trotz höchsten Sicherheitsstandart professionelle Hacker es geschafft haben ein Programm zu entwickeln gegen das 2018 kein kraut gewachsen war und Sie das Unternehmen komplett lahm gelegt haben. Das konnte man mit dem von Fort Knox vergleichen. Mit der Digitalisierung sind unsere Daten nicht sicherer geworden. Dafür werden wir immer gläserner.