Die Person, die behauptete, die physischen Adressen von 49 Millionen Dell-Kunden gestohlen zu haben, scheint weitere Daten von einem anderen Dell-Portal gestohlen zu haben, wie Tech erfahren hat.
Zu den neu kompromittierten Daten gehören Namen, Telefonnummern und E-Mail-Adressen von Dell-Kunden. Diese personenbezogenen Daten sind in „Serviceberichten“ des Kunden enthalten, die auch Informationen zu Ersatzhardware und -teilen, Kommentare von Technikern vor Ort, Versandnummern und in einigen Fällen vom Computer des Kunden hochgeladene Diagnoseprotokolle enthalten.
Mehrere von Tech eingesehene Berichte enthalten Bilder, die offenbar von Kunden aufgenommen und an Dell hochgeladen wurden, um technischen Support anzufordern. Einige dieser Bilder enthalten Metadaten, die die genauen GPS-Koordinaten des Ortes enthüllen, an dem der Kunde die Fotos aufgenommen hat, wie aus einer Stichprobe der von Tech erhaltenen Scraping-Daten hervorgeht.
Tech hat bestätigt, dass die persönlichen Daten der Kunden echt erscheinen.
Dies ist die zweite Offenlegung offengelegter Dell-Kundendaten innerhalb von ebenso vielen Wochen. Letzte Woche informierte Dell seine Kunden über einen Datenverstoß und teilte in einer E-Mail mit, dass der Technologieriese „einen Vorfall im Zusammenhang mit einem Dell-Portal untersuche, das eine Datenbank mit begrenzten Arten von Kundeninformationen im Zusammenhang mit Käufen bei Dell enthält“.
Zu den gestohlenen Daten gehörten Kundennamen und physische Adressen sowie weniger sensible Daten wie „Dell-Hardware- und Bestellinformationen, einschließlich Service-Tag, Artikelbeschreibung, Bestelldatum und zugehörige Garantieinformationen“.
Dell spielte den Verstoß damals herunter und sagte, dass die Weitergabe von Kundenadressen „kein erhebliches Risiko für unsere Kunden“ darstelle und dass die gestohlenen Informationen keine „hochsensiblen Kundeninformationen“ wie E-Mail-Adressen und Telefonnummern enthielten .
Eine Person mit dem Online-Namen Menelik übernahm die Verantwortung für beide Datenschutzverletzungen. In einem Interview mit Tech stellte Menelik eine Stichprobe der von ihm gestohlenen Daten zur Verfügung, die es Tech ermöglichte, zu überprüfen, ob die Daten legitim waren. Menelik stellte außerdem Kopien von E-Mails zur Verfügung, die er an Dell gesendet hatte, und das Unternehmen bestätigte gegenüber Tech, dass es von Menelik eine E-Mail über die Datenschutzverletzung erhalten hatte.
Nun scheint Menelik einen weiteren Fehler in einem anderen Dell-Portal gefunden zu haben, der es ihm ermöglichte, mehr Kundendaten abzugreifen.
„Ich habe etwas für E-Mail- und Telefonnummerndaten gefunden“, sagte Menelik gegenüber Tech. „Aber ich werde damit noch nichts anfangen. Ich möchte sehen, wie Dell auf das aktuelle Thema reagiert. [sic]”
Dell antwortete nicht auf die Bitte von Tech um einen Kommentar.
Menelik sagte, er habe die Daten von 30.000 US-Kunden durchforstet und sagte, dass die Schwachstellen, die er ausnutze, den Fehlern ähnelten, die es ihm ermöglichten, in die erste Runde von 49 Millionen Kundendatensätzen zu gelangen. Diese zweite Schwachstelle hindert ihn jedoch daran, die Daten so schnell zu sammeln wie beim ersten Verstoß.
Wie Tech erstmals berichtete, sagte Menelik, er sei in der ersten Sicherheitsverletzung in der Lage gewesen, die Daten von Dell-Kunden von einem Portal zu stehlen, auf dem er mehrere Konten als „Partner“ registriert hatte, was bedeutet, dass er vorgab, Unternehmen zu leiten, die Produkte oder Dienstleistungen von Dell weiterverkaufen. Nachdem Dell seine Anfragen genehmigt hatte, sagte Menelik, er sei in der Lage, Kundendienst-Tags, die nur aus sieben Ziffern und nur aus Zahlen und Konsonanten bestehen, brutal zu erzwingen.
Menelik veröffentlichte in einem bekannten Hacker-Forum eine Anzeige, in der er versuchte, die Daten zu verkaufen. Zum Zeitpunkt des Schreibens dieses Artikels wurde die Auflistung gelöscht, und Menelik sagte, dies liege daran, dass er die Daten verkauft habe, wollte jedoch nicht sagen, für wie viel.
Auf die Frage, was er mit den neuen Daten vorhabe, sagte Menelik, dass er sich noch nicht entschieden habe.
Da einige der gelöschten Daten personenbezogene Daten von Kunden in der Europäischen Union enthalten, wandte sich Tech an die nationale Datenschutzbehörde Irlands, die jedoch nicht sofort auf eine Bitte um Stellungnahme reagierte.
Kontaktiere uns
Wissen Sie mehr über diesen Dell-Hack? Oder ähnliche Datenschutzverletzungen? Von einem Gerät aus, das nicht am Arbeitsplatz ist, können Sie Lorenzo Franceschi-Bicchierai sicher über Signal unter +1 917 257 1382, per Telegram, Keybase und Wire @lorenzofb oder per E-Mail kontaktieren. Sie können Tech auch über SecureDrop kontaktieren.