[English]Dell hat wohl Kunden per E-Mail darüber informiert, dass es ein Datenleck gegeben hat (zwischen den Zeilen lese ich heraus, dass es einen Hack gegeben haben muss). Es wurde auf eine Datenbank zugegriffen, in der Kundendaten wie Name und Adresse, sowie die Hardware, die bei Dell bestellt wurde, gespeichert sind. Dell sieht den Vorfall zwar als "minder schwer", vor allem, da keine Finanzdaten entwendet wurden. Aber das Datenleck betrifft Millionen Dell-Kunden, die dort registriert waren. Ergänzung: Und die Daten wurden in einem Hackerforum gehandelt, wobei der Post dort wohl inzwischen gelöscht wurde.
Anzeige
Information aus der Leserschaft
Gleich mehrere Leser haben mich gerade per E-Mail informiert (danke dafür), dass sie von Dell per E-Mail über einen Datenschutzvorfall informiert wurden. Die Nachricht trägt den Titel "Wichtige Mitteilung von Dell" und stammt von communications[at]dell.com und wurde mit dem Zeitstempel Mai 9, 2024 8:24:30 PM verschickt. Die Mail, die mir vorliegt, beginnt mit einer voranstellten Phishing-Warnung, keine Links anzuklicken [die Links in nachfolgend abgebildete Mail verweisen aber alle auf Dell, sollten also sicher sein]:
[ACHTUNG] Diese Nachricht kommt von einer externen Organisation. Folgen Sie keinen Links und Anweisungen bei unbekannten Absendern.
Interessant ist, dass Dell dann betont "Dell Technologies nimmt den Datenschutz und die Vertraulichkeit Ihrer Daten sehr ernst." Wie schreibt jemand aus der Leserschaft: "Wir haben just gerade unten stehende Mail bekommen. Wenn die schon anfangen mit: Wir nehmen den Datenschutz und Ihre Daten ernst." Hier ein Auszug aus der Mail.
Mail von Dell zum Datenvorfall
Zum Sachverhalt gibt Dell an, dass man einen Vorfall im Zusammenhang mit einem Dell Portal untersucht. In diesem Portal war eine Datenbank mit beschränkten Arten von Kundendaten zu Einkäufen bei Dell enthalten, wie der Hersteller verniedlichend schreibt. Dell ist zwar der Ansicht, dass angesichts der Art der Daten kein erhebliches Risiko für die Betroffenen besteht. Aber ein Leser drückt es so aus:
da die Service-Tags mit betroffen sind, wird das sicher wieder ein Fest für Telefonbetrüger.
Es ist natürlich leichter sich als interner IT-Support auszugeben und die Leute zum Starten von Anwendungen zu bewegen, wenn der Rechner vor dem sie sitzen bekannt ist und auch noch mit dem Service-Tag ab Werk gelabelt ist: "Hey, hier ist der interne IT-Support. Sitzen sie vor Rechner mit dem Label X, korrekt? Muss unbedingt […] starten sie bitte X"
Die Argumentation ist nicht von der Hand zu weisen, wenn ich auch postuliere, dass die wenigsten Dell-Nutzer den Service-Tag kennen. Bisher gesteht Dell ein, dass die Untersuchungen zum jetzigen Zeitpunkt ergeben haben, dass auf beschränkte Arten von Kundendaten zugegriffen wurde, die aber folgendes umfassen:
Anzeige
- Name
- Physische Adresse
- Dell Hardware und Bestellinformationen, einschließlich Service-Tag, Artikelbeschreibung, Bestelldatum und zugehörige Gewährleistungsinformationen
Die betreffenden Daten umfassen keine Finanz- oder Zahlungsinformationen, keine E-Mail-Adresse, keine Telefonnummer oder hochsensible Kundendaten, schreibt Dell.
Nach der Feststellung des Vorfalls will Dell umgehend seine Verfahren zur Reaktion auf Incidents implementiert, mit der Ermittlung begonnen, Maßnahmen zur Eindämmung des Incidents ergriffen und die Strafverfolgungsbehörden darüber in Kenntnis gesetzt haben. Interessant finde ich, dass keine Erwähnung einer Meldung an die zuständigen Datenschutzaufsichtsbehörden erwähnt wird – für deutsche bzw. europäische Kunden ist dies aber relevant.
Dell gibt an, ebenfalls ein externes kriminaltechnisches Unternehmen mit der Ermittlung dieses Vorfalls beauftragt zu haben. Man werde die Situation weiterhin beobachten, schreibt Dell. Ich meine dazu: "Schöne Scheiße, nun sind wieder eine Menge Kunden gelackmeiert, wenn auch angeblich keine E-Mail-Adressen erbeutet wurden.
Daten in einem Hackerforum
Ergänzung: Meine Lesart ist, dass Dell den Vorfall nicht selbst bemerkt hat, sondern von Dritten informiert wurde. Kollege Lawrence Abrams hat den Sachverhalt ebenfalls aufgegriffen und schreibt, dass 49 Millionen Nutzer betroffen seien.
Abrams weist in seinem Beitrag auf den Artikel Threat Actor Claims Sale of Dell Database Containing 49 Million Customer Records vom 29. April 2024 hin. Dort findet sich die Information, dass es Berichte über einen erheblichen Datenschutzvorfall bei Dell gebe und ein Bedrohungsakteur angeblich eine Datenbank mit 49 Millionen Kundendaten von Dell in einem entsprechenden Forum verkauft.
Dort heißt es noch, dass die angeblichen Daten Informationen über Systeme umfassen, die zwischen 2017 und 2024 bei Dell gekauft wurden. Es wurden Screenshots von Daten gepostet, die zeigen, dass die Datenbank eine umfassende Sammlung von Kundendaten enthält.
Laut Abrams seit der Eintrag im Untergrundforum inzwischen bereits wieder gelöscht worden. Könnte auf einen Verkauf der Daten hindeuten. Wenn der Vorfall stattfand, ist aber unklar.
Hier noch der Text der Mail:
Von: Communications@dell.com <Communications@dell.com>
Gesendet: Donnerstag, Mai 9, 2024 8:24:30 PM
An: ******
Betreff: Wichtige Mitteilung von Dell[ACHTUNG] Diese Nachricht kommt von einer externen Organisation. Folgen Sie keinen Links und Anweisungen bei unbekannten Absendern.
Wichtige Mitteilung zu Ihren Dell Daten
Guten Tag,
Dell Technologies nimmt den Datenschutz und die Vertraulichkeit Ihrer Daten sehr ernst. Wir untersuchen derzeit einen Vorfall im Zusammenhang mit einem Dell Portal, in dem eine Datenbank mit beschränkten Arten von Kundendaten zu Einkäufen bei Dell enthalten ist. Wir sind der Ansicht, dass angesichts der Art der Daten kein erhebliches Risiko für unsere KundInnen besteht.
Auf welche Daten wurde zugegriffen?
Zum jetzigen Zeitpunkt haben unsere Untersuchungen ergeben, dass auf beschränkte Arten von Kundendaten zugegriffen wurde, einschließlich:
- Name
- Physische Adresse
- Dell Hardware und Bestellinformationen, einschließlich Service-Tag, Artikelbeschreibung, Bestelldatum und zugehörige Gewährleistungsinformationen
Die betreffenden Daten umfassen keine Finanz- oder Zahlungsinformationen, keine E-Mail-Adresse, keine Telefonnummer oder hochsensible Kundendaten.
Was unternimmt Dell?
Nach der Feststellung des Vorfalls haben wir umgehend unsere Verfahren zur Reaktion auf Incidents implementiert, mit der Ermittlung begonnen, Maßnahmen zur Eindämmung des Incidents ergriffen und die Strafverfolgungsbehörden darüber in Kenntnis gesetzt. Wir haben ebenfalls ein externes kriminaltechnisches Unternehmen mit der Ermittlung dieses Vorfalls beauftragt. Wir werden die Situation weiterhin beobachten.
Was kann ich tun?
Unseren Ermittlungen zufolge wurde bei diesem Incident auf Ihre Daten zugegriffen. Wir sind jedoch der Ansicht, dass kein erhebliches Risiko besteht, da nur beschränkte Daten betroffen sind. Beachten Sie jedoch stets diese Tipps, um Telefonbetrug beim technischen Support zu vermeiden. Wenn Sie verdächtige Aktivitäten im Zusammenhang mit Ihren Dell Konten oder Einkäufen bemerken, melden Sie Ihre Bedenken umgehend an security[at]dell.com.
Datenschutzhinweis
Dies ist eine automatisierte E-Mail. Bitte antworten Sie nicht darauf.
Anzeige
Die E-Mail von Dell beginnt nicht mit einer Phishingwarnung sondern „Wichtige Mitteilung zu Ihren Dell Daten".
Der Banner wurde vom E-Mailsystem der empfangenden Organisation hinzugefügt.
Dell hätte gut daran getan das „Portal" namentlich zu benennen. Da wir abseits der Distributionen nur ein Mal direkt bei Dell einen Bildschirm bestellt haben, kann es sich demnach nur um das Dell Shopsystem unter dell.de, oder ein daran angebundenes internes „Portal", handeln.
Ich gehe auch vom Dell Shop aus, ich habe bei denen mit meiner Mail Adresse nur einen Bildschirm bestellt und mal einen Laptop den ich storniert hatte. Habe auch die E-Mail erhalten. Ein sofortiges einloggen bringt eine Art 2-Faktor Authentifizierung, bei der ich per E-Mail einen OTP Code erhalte, der eingegeben werden muss.
Entweder ist es eine Standardprozedur, oder es wurde möglicherweise nachträglich von Dell umgesetzt. Es ist leider zu lange her, dass ich mich hier erinnere. Sollte es aber wirklich nachträglich darüber gesetzt worden sein, dann wird es interessant ob Passwort Hashes oder Klartext mit raus sind.
Auf einer Deal Seite mit einem Krokodil bildet sich auch gerade eine Diskussion die auch auf Bestellungen referiert.
Wegen der Phishing-Warnung: Du hast Recht. Bzgl. des Portals liegen mir keine Informationen vor. Möglicherweise ist es eine konsolidierte Datenbank, wo Informationen aus allen möglichen Portalen eingeflossen sind. Interessant ist die Fragestellung, wie Dell die Zuordnung zu den E-Mail-Adressen der benachrichtigten Kunden herstellen konnte. Scheint wohl über die Kundennummer zu laufen, die in der angebotenen Datenbank zu finden ist.
Riecht für mich nach der Versandstatus-Datenbank oder Support-Status-Datenbank. Denn diese beiden Datenbanken enthalten im Prinzip genau die genanten Datensätze, aber meines Wissens eben keine Finanztransaktionsdaten und keine Mailadressen.
Zudem sind diese beiden Datenbanken ganz bewusst einfach zu erreichen, eben damit Kunden diese Daten schnell abfragen können. Als "Schutz" für eigene Datensätze dient dann häufig die Nennung der PLZ wo ein Paket hin-geliefert wurde.
Das 2FA beim Login in den Shop – zumindest bei der Premier-Page – gibt es schon seit vielen Jahren und besteht schlicht aus einer sechsstelligen PIN, die man per Mail zugeschickt bekommt, wenn man sich dort anmeldet.
Bei mir ist der Hinweis von Dell auch eingetrudelt, ich habe da einmal vor ca. 4-5 Jahren ein Notebook bestellt.
Hier ist die Mail auch angekommen.
In der Firma haben wir früher sehr viel Dell gekauft.
Ich kann mir schon vorstellen, welche Datenbank gehackt wurde.
Bei Dell kann man nämlich über die Servicetag-Nummer herausfinden, wer der Erstkäufer des Geräts war und wann das gekauft wurde.
Und auch, wie das System bei Auslieferung konfiguriert war.
Die Abfrage habe ich vor ein paar Jahren mal gemacht bei einem gebraucht gekauften Dell-Gerät.
Man musste sich da aber soweit ich mich noch erinnere bei Dell im System einloggen.
Na hoffentlich haben keine deutschen Sicherheitsbehörden dort gekauft. Sonst ist der Hardwarestandort, der eigentlich geheim sein sollte, nun auch raus.
Bei uns geht das an ein zentrales Lager also kein Problem
Ich hoffe doch das die nur einen generischen Standort angeben.
Aber ja zu befürchten ist da schon das jemand doof genug ist.
Immer wieder gerne gesehen sind ja auch Trecking-Infos von Joggern mitten im Nichts.
Gruß
Nein, nur die Lieferadresse.
Auch die Mail bekommen, ohne Phishing Warnung. Kann aber an Gmail liegen.
Habe mich wie bei Mastercard bei Eugd.org registriert
Auf EUGD stehen auch mehr Infos wie das vsl. 49 Millionen Datensätze entwendet wurden, in einem Darknetforum zum Verkauf angeboten werden und welche Daten es genau sind.
Auch bei EUGD schon per Pre-Registrierung registriert. Danke für die Info!
Moin,
was bringt das, sich da zu registrieren?
Immerhin teilt man so einem weiteren Akteur Name/Adresse + mind. E-Mail mit.
So nonchalant sehe ich den Vorfall nicht. Datenklau ist Datenklau. Ob tatsächlich nicht noch andere Daten wie z:b. E-Mail Tel.-Nr. abgeflossen sind, steht in den Sternen. Dell kann viel behaupten. Transparent ist das von denen nicht besonders. Wieder ein Händler, wo man besser nichts mehr kauft, wenn so lax mit "Datensicherheit" umgegangen wird..
Das würde mich auch mal interessieren ähnlich wie die Schufa und Mastercard Sache über EUGD.
Reicht man so nicht nochmals seine ganzen Daten weiter einen einen Dritten, wo man nicht weiß was mit den Daten passiert/passieren kann?
Wir haben als Firma mit der angeschriebenen E-Mail-Adresse nur ein Angebot von Dell selber eingeholt. Gekauft haben wir über einen Dell-Partner.
Hier Teile des Headers:
iprev=pass (mx0b-00154904.pphosted.com) smtp.remote-ip=148.163.137.20;
dkim=pass header.d=dell.com header.s=smtpout1 header.a=rsa-sha256;
dkim=pass header.d=dell.com header.i=@dell.com header.s=smtpdev1 header.a=rsa-sha256
Received: from mx0b-00154904.pphosted.com ([148.163.137.20]:36856)
In der Mail waren mehrere links:
https://www.dell.com/de-de
https://i.dell.com/sites/csimages/App-Merchandizing_esupport_flatcontent_global_Images/all/dell_logo.png
https://www.dell.com/en-us/blog/five-tips-help-you-avoid-tech-support-phone-scams/
https://www.dell.com/learn/us/en/uscorp1/policies-privacy-country-specific-privacy-policy
Auch wenn man etwas paranoid ist, wie soll hier malware vermutet werden?
Die Meldung hab ich auch gekriegt… wenn die Angaben ehrlich sind ist das aber nix worüber ich mir einen Kopf machen werde. Name Anschrift findet jeder der will auch im Telefonbuch und im Firmenindex noch mehr Angaben. Das der Angreifer nun auch kennt welches Notebook ich da mal vor Jahren gekauft habe… Wayne!
Fatal wären natürlich Bezahldaten, die sind ja aber laut Auskunft nicht betroffen, keine Telefonnummern, keine eMail, keine Kundenpasswörter. Schaut man sich die angebenen Daten an ist das mit den unterschiedlichen Datenbanken durchaus plausibel.
Service Tag? kein Problem den brauche ich wenn ich Service anfrage… nicht umgekehrt. Kommt da also was mit dem Service Tag rein wird geloggt und der Polizei übergeben. (Zumal der eh nicht mehr gültig ist da zu alt und aus dem Service raus)
Ob ich halt zukünftig bei ner Firma einkaufe, welche sich Daten klauen hat lassen, steht auf einem anderen Blatt!
Ist das DSGVO konform, dass Dell noch Daten von Bestellunden vor 4 Jahren oder früher in einer online DB speichert?
Wohl ja, s. de.wikipedia.org/wiki/Aufbewahrungsfrist#Gesetzliche_Aufbewahrungsfristen_in_Deutschland
Interessant, dass das jetzt erst auffällt. Wir hatten vor rund 15 Jahren mal eine ganze Zeit lang Dell Notebooks im Einsatz. Auf der Support Webseite konnte man damals schon nur anhand der Service Tag auf alle Daten zugreifen wie Lieferadresse etc. das wäre damals schon ein leichtes gewesen da fremde Daten herausziehen. Mittlerweile per Api bestimmt einfacher.
>> Die Argumentation ist nicht von der Hand zu weisen, wenn ich auch postuliere, dass die wenigsten Dell-Nutzer den Service-Tag kennen.
Auswendig kennen sicher nicht, aber sinnvollerweise lässt man das Ding auf seinem PC kleben, weil das die Kommunikation mit Dell oder auch nur das Finden von Dokumentation oder passenden Updates erleichtert.
Und wenn dann
– ein Anrufer das Tag erwähnt;
– der Angerufene es nicht kennt;
– der Anrufer daraufhin bittet, man möge doch mal auf dem PC schauen, es müsse dort irgendwo kleben;
– der Angerufene es tatsächlich findet;
kann das schon ein wichtiger Schritt zu erfolgreichem Phishing sein.
und warum sollte ein "angeblicher" Dell Mitarbeiter bei dir anrufen? Die rufen höchstens zurück nachdem man einen Service Fall gemeldet hat. Also ich habe nix gemeldet und bekomme einen Anruf? Wird direkt an die Polizei weitergeleitet!
/edit/
das ist genauso wie nie ein MS Mitarbeiter dich anrufen wird, wenn du das nicht vorher veranlasst hast.
Unabhängig vom Inhalt: Verwenden diese Läden eigentlich alle nur noch schrottige automatische Übersetzungen und haben keinen, der halbwegs vernünftiges Deutsch kann?
– Was bitte sollen denn "beschränkte Arten von Kundendaten" sein?
– Oder eine "physische Adresse"?
– "haben wir umgehend unsere Verfahren zur Reaktion auf Incidents implementiert" — hä?
– "mit der Ermittlung dieses Vorfalls beauftragt" — der Vorfall ist doch schon bekannt, wieso muss er noch ermittelt werden?
Das muss man sich alles erst einmal ins Englische zurückübersetzen, um es zu verstehen. Und jemand, dessen Muttersprache nicht Deutsch (und auch nicht Englisch) ist, wird wahrscheinlich nur Bahnhof verstehen. Aber vielleicht ist ja genau das die Absicht…
Spannend ist, dass ich über meinen privaten Account informeirt wurde, aber nicht über meinen Firmenaccount.
also ich bin über den Firmenaccount auch informiert worden… da ein paar Dell Laptops im Einstaz.
dann frag ich hier nochmal rum, wir haben relativ viele laptops über die premier page von dell bestellt.
Ich bin auch informiert worden.
"Schöne Scheiße, nun sind wieder eine Menge Kunden gelackmeiert, wenn auch angeblich keine E-Mail-Adressen erbeutet wurden."
Finde ich übertrieben. Es ist ein Vorfall, es wird untersucht und sich darum gekümmert, die Kunden wurden informiert.
Was sollen Sie denn mehr machen?
Jeder der nicht unter einem Stein lebt, hat seine Daten heute in etlichen Datenbanken. Zudem kann jeder Daten sammeln, anreichern und auswerten. Der Zug ist meiner Meinung nach, seit langem abgefahren.
Lektüre zum Thema: https://www.chip.de/news/Ja-das-ist-legal-Kriminelle-koennen-Ihre-Adressdaten-bei-Behoerden-kaufen_184731917.html
Und täglich grüßt das Murmeltier…
https://www.pressetext.com/news/dell-gehackt-user-muessen-passwoerter-resetten.html
Wenn ich mich nicht ganz irre, ist das eine Meldung von 2018?
Deswegen ist sein Beitrag gut. In 6 Jahren hat sich da nichts gebessert.
Immer mal eine kleine Zeitleiste in die Artikel wie oft so ein Laden gehackt wurde. Dann kann man besser Popcorn beim Lesen knabbern.
Mein Beileid allerdings für die Kunden.