Der in Großbritannien ansässige Riese für mobile virtuelle Netzwerke, Lyca Mobile, hat einen Cyberangriff bestätigt, der zu Dienstunterbrechungen für Millionen seiner Kunden geführt hat.
Lyca Mobile behauptet, der weltweit größte internationale mobile virtuelle Netzwerkbetreiber (MVNO) zu sein, der die Infrastruktur des Netzwerkbetreibers EE huckepack nimmt. Lyca bestätigte in einem Stellungnahme In dieser Woche hat der Sicherheitsvorfall Kunden daran gehindert, ihr Guthaben über die Website, die App oder in Geschäften am Wochenende aufzuladen, und auch einige nationale und internationale Anrufe unterbrochen.
Diese Probleme betrafen alle Lyca Mobile-Märkte mit Ausnahme der USA, Australiens, der Ukraine und Tunesiens, heißt es in der kurzen Erklärung des Unternehmens. Das Unternehmen untersuche „dringend“, ob während des Cyberangriffs persönliche Daten kompromittiert wurden.
„Wir sind zuversichtlich, dass alle unsere Aufzeichnungen vollständig verschlüsselt sind, und wir werden unsere Kunden über das Ergebnis unserer Untersuchung auf dem Laufenden halten, während wir mit unseren Expertenpartnern zusammenarbeiten, um die Fakten zu ermitteln“, heißt es in der Erklärung des Unternehmens.
Als Lyca Mobile-Sprecherin Cara Whitehouse um einen Kommentar gebeten wurde, lehnte sie es ab, sich zur Art des Cyberangriffs zu äußern. Der Fokus des Unternehmens liege jedoch darauf, alle unsere operativen Dienste wieder zum Laufen zu bringen. Lyca lehnte es ab, die externen Notfallhelfer zu nennen, mit denen das Unternehmen angeblich bei der Untersuchung des Vorfalls zusammenarbeitete, oder Fragen zur verwendeten Verschlüsselung zu beantworten.
Lyca Mobile fügte hinzu, dass es die Mobilfunkdienste in allen seinen Märkten wiederhergestellt habe, sagte jedoch, dass einige nicht näher bezeichnete Betriebsdienste noch wiederhergestellt würden.
Adele Burns, eine Sprecherin des britischen Information Commissioner’s Office, sagte gegenüber Tech, dass die Datenschutzbehörde keinen Verstoßbericht von Lyca Mobile erhalten habe. Unternehmen müssen das ICO in der Regel innerhalb von 72 Stunden nach Entdeckung einer Datenschutzverletzung benachrichtigen.
Zum Zeitpunkt der Veröffentlichung enthielt die Aussage von Lyca auf ihrer Website „noindex“-Code, der Suchmaschinen anweist, die Webseite zu ignorieren, wodurch es für betroffene Kunden schwieriger wird, die Aussage in den Suchmaschinenergebnissen zu finden. Lyca bestritt dies nicht, gab aber nicht an, warum es die Aussage auf seiner Website versteckt hatte.
Bei der Meldung dieses Cyberangriffs entdeckte Tech einen zweiten mutmaßlichen Sicherheitsvorfall, der Lyca Mobile betraf und ein öffentlich zugängliches Content-Management-System mit Pressemitteilungen betraf, darunter auch die Erklärung von Lyca, in der der Cyberangriff angekündigt wurde. Tech hat Lyca vor der Veröffentlichung über das öffentlich zugängliche System informiert.
Whitehouse, Sprecher von Lyca, sagte, das System sei eine „Testumgebung, die von Anbietern und Partnern genutzt wird“. Tech verlinkt aus Vorsicht nicht auf das System, das zum Zeitpunkt der Veröffentlichung weiterhin ohne Passwort zugänglich ist.