Citigroup: Daten von 360.000 Kreditkarten gestohlen

Die von der Bank bestätigte Zahl ist deutlich höher als ursprünglich angenommen. Zunächst war die Rede von etwa 21.000 Betroffenen. Citigroup weigert sich, Details zu dem Hackerangriff zu liefern.

von Anita Klingler am 16. Juni 2011 , 16:10 Uhr

Beim Hackerangriff auf die Citigroup vom vergangenen Monat sind deutlich mehr Kreditkartendaten kompromittiert worden als ursprünglich angenommen. Das geht aus einer Stellungnahme gegenüber Kunden hervor, die dem Wall Street Journal (WSJ) vorliegt. Demnach waren insgesamt 360.083 Karten von nordamerikanischen Kunden betroffen.

Nach Bekanntwerden des Angriffs hatte Citigroup zunächst verlautbart, es gehe um kaum ein Prozent seiner Kunden, was rund 210.000 Kreditkarten entsprochen hätte. Derzeit verfügt die Bank über rund 23,5 Millionen Kreditkartenkonten in Nordamerika.

Die neuen Zahlen tauchen just in einer Phase auf, in der Regulierungsbehörden und Gesetzgeber mehr Informationen über den Hack fordern, wie das WSJ festhält. Citigroup hatte drei Wochen lang gewartet, bevor sie die Kartenbesitzer über den Einbruch ins Bild setzte. Sie argumentiert, dass sich sich ob der „Sicherheit“ ihrer Kunden und der „andauernden Ermittlungen“ mit Informationen zurückhalte. Man unternehme jedoch „jeden notwendigen Schritt, um zu gewährleisten, dass man sich um unsere Kunden kümmert“.

Bisher wurden nach Angaben der Bank die Karten von rund 217.000 Kunden ausgetauscht. Manche hätten ihr Konto geschlossen oder schon anderweitig eine neue Karte erhalten. Laut einer von Citigroup veröffentlichten Liste hat es kalifornische Inhaber am stärksten getroffen: Dort wurden etwa 80.000 Karten kompromittiert.

Entdeckt worden war der Vorfall im Mai verspätet bei einer Routineuntersuchung. Wann er sich ereignete, ist unklar. Dem Unternehmen zufolge wurde auf die Namen der Kunden, Kontennummern und Adressen einschließlich der E-Mail-Adresse zugegriffen. Die in den USA oft zur Identifizierung verwendeten Sozialversicherungsnummern, aber auch Geburtsdaten und PINs konnten sie dagegen nicht auslesen.