Hackers , auf Daten von Millionen von Hinweisgebern in Strafsachen zugegriffen zu haben

Millionen von Hinweisen zu Straftaten könnten offengelegt worden sein, nachdem eine hacker behauptet hat, Systeme kompromittiert zu haben, die von „Crime Stoppers“-Programmen und anderen Organisationen weltweit genutzt werden. 

Im Mittelpunkt des Vorfalls steht P3 Global Intel, ein in Texas ansässiger Anbieter von Cloud-basierter Software für das Hinweis- und Informationsmanagement, der zu Navigate360 gehört.

Die Hacktivisten, bekannt unter dem Namen „Internet Yiff Machine“, übermittelten die gestohlenen Daten an Straight Arrow News (SAN). Laut SAN stellte die Gruppe einen Datenbestand von mehr als 8,3 Millionen Datensätzen zur Verfügung, die angeblich von P3 stammen. Die Daten reichen Berichten zufolge von 1987 bis ins Jahr 2025 zurück und sollen Hinweise auf Straftaten enthalten, die über Crime-Stoppers-Programme, Strafverfolgungsbehörden, Schulen und Teile der US-Bundesregierung eingereicht wurden.

SAN teilte mit, dass es Teile des Datensatzes überprüft habe, indem es Kontakt zu Informanten aufnahm, deren Angaben in den Unterlagen auftauchten. Das Leak-Archiv „Distributed Denial of Secrets“ (DDoSecrets) gab bekannt, ebenfalls eine Kopie erhalten zu haben, und plant, diese an geprüfte Journalisten und Forscher weiterzugeben.

Sollten die Daten echt sein, scheinen sie umfangreiche personenbezogene Daten von Personen zu enthalten, gegen die in Hinweisen Vorwürfe erhoben wurden, darunter Namen, Adressen, Telefonnummern, Geburtsdaten, Kfz-Kennzeichen, Sozialversicherungsnummern und andere Identifikationsmerkmale. Trotz Marketingmaterialien, in denen Hinweisgebern versprochen wird, dass ihre Identität „jederzeit anonym bleibt“, berichtet SAN, dass auch personenbezogene Daten einiger Hinweisgeber, die solche Informationen bereitgestellt haben, im gesamten Datensatz enthalten sind. Der Cache enthält angeblich auch Details zu Benutzerkonten, Kundensupportanfragen, interne Mitteilungen der Strafverfolgungsbehörden sowie unverschlüsselte Nachrichten-IDs und Passwörter, die von Hinweisgebern verwendet werden, um eingereichte Hinweise weiterzuverfolgen.

Die Muttergesellschaft von P3, Navigate360, hat weder einen Datenverstoß noch das Ausmaß eines möglichen Datenlecks bestätigt. In einer Stellungnahme gegenüber SAN erklärte JP Guilbault, CEO von Navigate360:

„Bislang haben wir keine Hinweise darauf, dass auf sensible Daten zugegriffen oder diese missbraucht wurden.“

Das Unternehmen hat jedoch einen externen Anbieter für forensische Untersuchungen beauftragt, nachdem es Kenntnis von einem möglichen Netzwerkvorfall erhalten hatte. Die Systeme von P3 sollen während der laufenden Untersuchung weiterhin betriebsbereit sein.

Die Reaktionen der Strafverfolgungsbehörden deuten darauf hin, dass zumindest einige Nutzer den Vorfall als ernstzunehmendes Risiko betrachten, auch wenn noch keine vollständige technische Bestätigung vorliegt. büro Portland, die den Dienst „Crime Stoppers“ nutzt, hat die Bürger öffentlich dazu aufgefordert, während der laufenden Überprüfung der Situation „vorübergehend davon abzusehen“, Hinweise über die „Crime Stoppers“-Plattform einzureichen.

In einer von lokalen und nationalen Medien zitierten Erklärung büro das büro , dass es von Berichten über einen möglichen Datenverstoß bei einem Drittanbieter, der zur Sammlung anonymer Hinweise genutzt wird, Kenntnis habe und dass es die Bürger „aus Vorsicht“ bitte, diesen Dienst vorerst zu meiden. Stattdessen bittet die Polizei von Portland Personen, die bereit sind, nicht-anonyme Informationen zu liefern, sich direkt an die Behörde zu wenden.

„Anonym“ ist keine technische Garantie

Laut SAN kann P3 möglicherweise Sitzungsdaten aus Hinweisen erfassen, die über das Internet oder per Handy übermittelt werden. Sollte dies der Fall sein, könnten Interessierte diese Daten potenziell dazu nutzen, anonyme Hinweisgeber zu identifizieren, was deutlich macht, dass „anonym“ keine technische Garantie ist. Auch wenn keine Methode absolut sicher ist, empfehlen Experten bei der Anzeige einer Straftat die folgenden Schritte:

• Verwende einen datenschutzorientierten Browser und ein seriöses VPN, um deine echte IP-Adresse zu verbergen.
• Vermeiden Sie es, Angaben zu machen, die auf Sie zurückgeführt werden könnten, wie beispielsweise „mein Nachbar“, „mein Chef“ oder „mein Ex“.
• Wenn in einem Hinweisformular die Angabe von Kontaktdaten verlangt wird, überlegen Sie sich, ob es für Sie in Ordnung ist, dass der Hinweis dann nicht mehr anonym ist.
• Entfernen Sie Metadaten aus den von Ihnen hochgeladenen Dateien (Fotos, Dokumente, Videos), da diese GPS-Koordinaten, Geräte-IDs und Zeitstempel enthalten können.

Was tun, wenn Ihre Daten kompromittiert wurden?

Wenn Sie glauben,von einer Datenpanne betroffen zu sein, können Sie folgende Maßnahmen ergreifen, um sich zu schützen:

• Befolgen Sie die Anweisungen des Unternehmens.Jeder Verstoß ist anders, daher sollten Sie sich beim Unternehmen erkundigen, was passiert ist, und die spezifischen Anweisungen befolgen, die es Ihnen gibt.
• Ändern Sie Ihr Passwort. Sie können ein gestohlenes Passwort für Diebe unbrauchbar machen, indem Sie es ändern. Wählen Sie ein sicheres Passwort, das Sie für nichts anderes verwenden. Besser noch: Lassen Sie einen Passwort-Manager ein Passwort für Sie auswählen.
• Aktivieren Siedie Zwei-Faktor-Authentifizierung (2FA).Verwenden Sie nach Möglichkeit einen FIDO2-kompatiblen Hardware-Schlüssel, Laptop oder ein Smartphone als zweiten Faktor. Einige Formen der 2FA können genauso leicht wie ein Passwort gehackt werden, aber eine 2FA, die auf einem FIDO2-Gerät basiert, kann nicht gehackt werden.
• Hüten Sie sich vor Betrügern.Die Diebe könnten Sie unter dem Deckmantel der gehackten Plattform kontaktieren. Überprüfen Sie auf der offiziellen Website, ob diese die Opfer kontaktiert, und überprüfen Sie die Identität aller Personen, die Sie über einen anderen Kommunikationskanal kontaktieren.
• Nehmen Sie sich Zeit. Phishing-Angriffe geben sich oft als Personen oder Marken aus, die Sie kennen, und verwenden Themen, die dringende Aufmerksamkeit erfordern, wie verpasste Lieferungen, Kontosperrungen und Sicherheitswarnungen.
• Speichern Sie Ihre Kartendaten nicht. Es ist zwar bequemer, wenn Websites Ihre Kartendaten speichern, aber das Risiko steigt, wenn ein Händler Opfer eines Datenlecks wird.
• Richten Sieeine Identitätsüberwachung ein, die Sie benachrichtigt, wenn Ihrepersönlichen Datenillegal online gehandelt werden, und Ihnen dabei hilft, die Folgen zu bewältigen.

Wir berichten nicht nur über den Datenschutz - wir bieten Ihnen auch die Möglichkeit, ihn zu nutzen.

Risiken für Privacy sollten nie über eine Schlagzeile hinausgehen. Schützen Sie Ihre Online-Privatsphäre mit Malwarebytes Privacy VPN.