Mailfire-Datenleck legt Daten von Erwachsenenseiten offen

[English]Es gibt mal wieder ein Datenleck zu vermelden, welches für die Betroffenen aber vermutlich glimpflich ausgehen dürfte – denn Sicherheitsforscher sind auf das Datenleck gestoßen. Die auf Zypern agierende Marketing-Firma Mailfire legte Daten von über 70 eCommerce- und Erwachsenenseiten offen.

Sicherheitsforscher von vpnmentor haben mich auf den von ihnen entdeckten Fall aufmerksam gemacht. Es betrifft Mailfire, eine Email Marketing Plattform und -Firma, die von verschiedenen Kunden genutzt wird. Durch das Datenleck wurden Kundendaten der betreffenden Seiten offen gelegt. Der Anbieter hat einen größeren Kundenkreis (siehe folgender Screenshot).

Screenshot Mailfire homepage – Sep 3, 2020

Laut Catalin Cimpanu, einem Cybersicherheitsexperten, dem der vpnmentor-Bericht vorab zur Verfügung gestellt wurde, waren unter den betroffenen Dating-Sites Kismia, JollyRomance, Asia Charm und viele andere.

Das Mailfire-Datenleck

Auf einem ungesicherten ElasticSearch-Server lagen Protokolle über Benachrichtigungen, die von den Eigentümern von Websites über die benutzer Software von Mailfire an ihre Benutzer gesendet wurden. Die Benachrichtigungen dienten in erster Linie dazu, die Benutzer der Dating-Webseiten über neue potenziellen Übereinstimmungen zu informieren. Das Datenleck umfasste zu Beginn der Untersuchung bereits 882,1 GB (ca. 320 Millionen Datensätze) an Daten der letzten vier Tage, darunter persönliche Benutzerdaten, wie vollständige Namen, Alter, Geburtsdatum, Geschlecht, E-Mail-Adressen und viele andere, sowie private Nachrichten. Dazu gehörten:

• Vollständige Namen
• Alter und Geburtsdatum
• Geschlecht
• E-Mail-Adressen
• Standorte der Absender
• IP-Adressen
• Von Benutzern hochgeladene Profilbilder
• Profil-Bio-Beschreibungen

Zusätzlich zu diesen persönlichen Daten enthielt das Datenleck auch Nachrichten, die zwischen Benutzern auf betroffenen Dating-Websites ausgetauscht wurden. Während der Untersuchung stellten die vpnmentor-Sicherheitsforscher heraus, dass einige dieser Dating-Websites für Erwachsene offenbar Betrug waren. Es sollten wohl potentielle Interessenten mit Fake-Profilen geködert werden. Hier der zeitliche Ablauf:

• Datenleck entdeckt: 31. August 2020
• Anbieter kontaktiert: 3. September 2020
• Antwort von Mailfire erhalten: 3. September 2020
• Server gesichert: 3. September 2020
• Kundenunternehmen informiert: 4. September 2020

Fallen solche persönlichen Daten in falsche Hände, öffnet dies potentiell Tür und Tor für Phisher und Betrüger. Der Fall dürfte DSGVO-relevant sein, da Mailfire in Zypern sitzt und weltweit aktiv ist. Weitere Details lassen sich im vpnmentor-Bericht nachlesen.