Das Rätsel um den angeblichen Datenbruch eines Datenbrokers

Seit April behauptet ein Hacker, der eine Geschichte des Verkaufs gestohlener Daten hat, einen Datenbruch von Milliarden von Datensätzen - der mindestens 300 Millionen Menschen betrifft - von einem US-Datenbroker, was ihn zu einem der größten angeblichen Datenbrüche des Jahres machen würde.

Die von TechCrunch eingesehenen Daten scheinen teilweise legitim zu sein - wenn auch unvollkommen. Die gestohlenen Daten, die auf einem bekannten Cybercrime-Forum beworben wurden, datieren angeblich Jahre zurück und enthalten die vollen Namen von US-Bürgern, ihre Adresshistorie und Sozialversicherungsnummern - Daten, die von Datenbrokern weit verbreitet zum Verkauf angeboten werden.

Die Bestätigung der Quelle des angeblichen Datenklaus wurde als unergiebig erweisen; so ist die Natur der Datenbroker-Branche, die persönliche Daten von Individuen aus unterschiedlichen Quellen mit wenig bis gar keiner Qualitätskontrolle aufsaugt.

Der besagte angebliche Datenbroker, laut dem Hacker, ist National Public Data, der sich selbst als 'einer der größten Anbieter von öffentlichen Aufzeichnungen im Internet' bezeichnet.

Auf seiner offiziellen Website behauptete National Public Data, Zugang zu mehreren Datenbanken zu verkaufen: einer "People Finder" -Datenbank, in der Kunden nach Sozialversicherungsnummer, Namen und Geburtsdatum, Adresse oder Telefonnummer suchen können; einer Datenbank mit US-Verbraucherdaten, die 'über 250 Millionen Einzelpersonen' abdeckt; eine Datenbank mit Wählerregistrierungsdaten, die Informationen über 100 Millionen US-Bürger enthält; eine für Strafregister; und einige mehr.

Die Malware-Forschungsgruppe vx-underground erklärte auf X (ehemals Twitter), dass sie die gesamte gestohlene Datenbank überprüft haben und 'bestätigen können, dass die darin enthaltenen Daten echt und korrekt sind'.

„Wir haben mehrere Personen gesucht, die zugestimmt haben, dass ihre Informationen gesucht werden“, schrieb die Gruppe und fügte hinzu, dass sie in der Lage waren, die Informationen dieser Personen einschließlich Namen, Adresshistorie über mehr als drei Jahrzehnte und Sozialversicherungsnummern zu finden.

“Es hat uns auch ermöglicht, deren Eltern und nächste Geschwister zu finden. Wir konnten Eltern, verstorbene Verwandte, Onkel, Tanten und Cousins von jemandem identifizieren“, schrieb vx-underground.

TechCrunch unternahm ähnliche Anstrengungen, um die Authentizität der Daten zu überprüfen, mit gemischten Ergebnissen.

Kontaktieren Sie uns

Haben Sie weitere Informationen zu diesem Vorfall oder ähnlichen Vorfällen? Sie können Lorenzo Franceschi-Bicchierai sicher auf Signal unter +1 917 257 1382 kontaktieren oder über Telegram, Keybase und Wire @lorenzofb oder per E-Mail. Sie können auch Zulkarnain Saer Khan unter Signal unter +36707723819 oder auf X @ZulkarnainSaer erreichen. Sie können sich auch über SecureDrop an TechCrunch wenden.

In unserer Überprüfung eines kleineren Stichprobenumfangs von fünf Millionen Datensätzen fanden wir Dutzende von Namen und Adressen, die mit entsprechenden öffentlichen Aufzeichnungen übereinstimmen, aber auch einige Daten, die nicht immer sinnvoll sind - wie E-Mail-Adressen mit verschiedenen Namen, die keinen offensichtlichen Bezug zum Rest der zugehörigen individuellen Daten haben. Einige Datensätze enthielten angebliche Informationen über bekannte Persönlichkeiten, einschließlich der persönlichen Daten eines ehemaligen US-Präsidenten.

TechCrunch stellte USDoD, dem Hacker, der die Daten verkauft, die Namen von acht Personen zur Verfügung, die ihre Zustimmung gegeben hatten, um zu überprüfen, ob der Hacker tatsächlich legitime Daten hat. Der Hacker hat keine Daten für die acht Personen zurückgegeben.

TechCrunch kontaktierte auch hundert Personen, deren Nummern und E-Mails in der Stichprobe enthalten waren. Nur eine Person antwortete und bestätigte, dass ein Teil seiner angeblich gestohlenen Daten korrekt war, aber nicht alle.

Der direkte Weg zur angeblichen Quelle des Datenklaus lieferte auch keine klare Antwort.

Trotz mehrerer Versuche, das Unternehmen zu kontaktieren, hat National Public Data nicht geantwortet, und auch der Gründer und CEO Salvatore Verini nicht. Nachdem TechCrunch letzte Woche National Public Data kontaktiert hatte, nahm das Unternehmen die Website-Seiten mit Details zu den Datenbanken, auf die es Zugriff verkauft, vom Netz.

Nicht alle von Hackern behaupteten Datenbrüche, insbesondere diejenigen, die auf Hacking-Foren beworben werden, stellen sich als real heraus. Deshalb geben TechCrunch und andere Cybersicherheits-Reporter oft erhebliche Anstrengungen darauf, einen Datenbruch zu überprüfen, Anstrengungen, die manchmal mit unklaren Ergebnissen enden.

Dennoch scheint dieser angebliche Datenbruch eines Datenbrokers eine Ausnahme zu sein, auch weil einige der Daten echt zu sein scheinen und teilweise bereits überprüft wurden.

Die Verbreitung und Kommerzialisierung personenbezogener Daten über die Datenbroker-Branche macht es auch schwieriger, die Quelle von Datenlecks zu identifizieren. Und selbst wenn dieser bestimmte Datenbruch ungelöst bleibt, zeigt er erneut, dass die Datenbroker-Branche außer Kontrolle geraten ist und echte Datenschutzprobleme für normale Menschen darstellt.

Wir konnten das Rätsel dieses Datenbruchs nicht endgültig lösen, aber es gab genügend Informationen, um unsere Überprüfungsanstrengungen detailliert darzustellen. Eines ist klar. Solange Datenbroker personenbezogene Informationen sammeln, besteht das Risiko, dass die Daten nach außen gelangen.