Update: Cyberkriminelle verschaffen sich Daten von 133 Mailchimp-Kunden

Der E-Mail-Marketing-Anbieter Mailchimp ist Ziel einer Cyberattacke geworden. Am 11. Januar identifizierte das Mailchimp-Sicherheitsteam eine unbefugte Person, die auf eines der Tools zugriff, wie Mailchimp in einer Erklärung zum Sicherheitsvorfall (engl.) schreibt. Es handelte sich um ein Tool, das für den Kundensupport und die Kontoverwaltung verwendet wird. Die Person führte einen sogenannten Social-Engineering-Angriff auf Angestellte und Auftragnehmer von Mailchimp durch. So verschaffte sie sich durch kompromittierte Anmeldedaten Zugang zu ausgewählten Mailchimp-Konten.

Nach bisherigen Untersuchungen beschränkt sich der gezielte Vorfall auf 133 Mailchimp-Konten. Es gebe keine Anzeichen dafür, dass weitere Systeme oder Kundendaten über die gefundenen Kundenkonten hinaus von der Cyberattacke betroffen seien, so der E-Mail-Marketing-Anbieter.

Die betroffenen Konten wurden sicherheitshalber vorübergehend gesperrt. Die Kunden seien innert 24 Stunden nach Entdeckung des Vorfalls benachrichtigt worden. Am 12. Januar wurden die Kundinnen und Kunden, die die Hauptansprechpartner dieser Konten sind, benachrichtigt. Ausserdem wurde eine E-Mail versandt, die den Kunden hilft, den Zugang zum Konto wiederherzustellen.

«Obwohl wir selbstverständlich keine Kundeninformationen weitergeben, können wir mitteilen, dass bei diesem Vorfall keine Kreditkarten- oder Passwortinformationen kompromittiert wurden», so MailChimp gegenüber bleepingcomputer.com (engl.).

Man setze die Untersuchungen fort und werde die betroffenen Kontoinhaber während des Prozesses zeitnah und genau informieren, so Mailchimp weiter.

Das Ausmass des Datenlecks ist grösser, als es zunächst den Anschein machte. Mailchimp selbst spricht zwar nur von «133 Mailchimp-Konten», was nach sehr wenig klingt. Dies sind aber in der Regel Konten von Firmen/Organisationen, die Mailchimp verwenden, um Newsletter oder Vereinskommunikation zu versenden. Und damit sind wiederum die E-Mail-Adressen vieler Kunden oder Mitglieder jener 133 Organisationen betroffen. Zu diesem Schluss kommt auch das deutsche Spiegel-Magazin.

Wir selbst wissen es zum Beispiel mit Sicherheit von Statista, welche auch einige Personen in unserem Verlag mit einer separaten Mail über das Datenleck bei Mailchimp informiert hat. Zur Frage, ob alle rund 2 Mio. Statista-User betroffen seien, steht die Antwort noch aus. Ebenso erwischt hat es auch Nutzer der Blockchain-Plattform der Fantom Foundation. Auch hier ist nicht klar, ob es sich um die Mailadressen aller User dreht. Fantom deutet jedoch in ihrer Mitteilung einen «unbefugten Export von Publikumsdaten» an.

Wie viele Adressen es tatsächlich sind, sagen weder Mailchimp, noch Statista, noch Fantom.