LaCie gesteht Sicherheitslücke in Online-Shopsystem ein

Die Daten von Kunden, die im vergangenen Jahr im Onlineshop von LaCie eingekauft haben, sind möglicherweise kompromittiert worden. Darüber hat das französische Unternehmen, das inzwischen zu Seagate gehört, jetzt informiert. Am 19. März sei es selbst durch die US-Bundespolizei FBI über die Existenz von Malware in seinem System informiert worden.

Über das Schadprogramm könnten Kriminelle Zugriff auf Kundendaten bekommen haben, die im Zug von Online-Einkäufen erfasst wurden. Alle Transaktionen zwischen 27. März 2013 und 19. März 2014 könnten eingesehen worden sein.

Der frühere Reporter der Washington Post und Sicherheitsspezialist Brian Krebs weist in seinem Blog darauf hin, dass er schon im März Hinweise auf einen Sicherheitsvorfall bei LaCie veröffentlicht hatte. Ihm zufolge wurde der Online-Store „durch eine Gruppe von Hackern kompromittiert, die über Schwachstellen in Adobes Software ColdFusion in Dutzende Shoppingsysteme eindrangen.“ Krebs war im vergangenen Winter auch der erste gewesen, der den Diebstahl von 70 Millionen Kreditkartendaten bei der Elektromarktkette Target meldete. ColdFusion ist eine Plattform für Webapplikationen.

Zu den möglicherweise gestohlenen Daten zählen Namen, Postadressen, E-Mail-Adressen, Kartennummern und Ablaufdaten von Kreditkarten ebenso wie Nutzernamen und Passwörter. Betroffene Kunden wurden laut LaCie ab 11. April 2014 informiert und zum Zurücksetzen der Passwörter aufgefordert.

Neben dem FBI ist ein von LaCie engagierter Dienstleister mit der Aufklärung des Falls befasst. Der Onlineshop bleibt vorläufig geschlossen, bis eine neue Absicherung der Bezahlinfrastruktur eingerichtet wurde.

Im vergangenen Herbst hatten Unbekannte Adobe angegriffen und neben Kundendaten auch Quelltexte von Produkten gestohlen – darunter Adobe Acrobat, ColdFusion und ColdFusion Builder. Die Zahl von zunächst 3 Millionen Betroffenen musste später auf 38 Millionen erhöht werden. Im November folgte dann ein Sicherheits-Hotfix für ColdFusion: Der ColdFusion-Applikationsserver erlaubte Remote-Angriffe, die zu einer Übernahme eines Systems führen könnten, sowie Cross-Site-Scripting-Attacken (XSS).

Laut Adobe stand dieses Update in keinem Zusammenhang mit dem Diebstahl von Quellcode von ColdFusion. Es hatte schon im Januar 2013 und im April 2013 kritische Lücken in ColdFusion gestopft.

[mit Material von Rachel King, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.