Adobe-Hack betrifft bis zu 150 Millionen Kunden

Nach neuesten Informationen war der Einbruch in die Server von Adobe, bei dem vor mehr als einem Monat Kundendaten und Quelltexte von Adobe-Software entwendet wurden, weitaus schlimmer als zunächst berichtet. Anstelle der zunächst berichteten 2,9 Millionen sollen nun 150 Millionen Kundendaten betroffen sein.

Nach Angaben von Paul Ducklin von „Sophos Naked Security“ wurde erst kürzlich eine Datenbank, die komprimiert vier Gigabyte groß ist, auf ein Netzwerk von Cyber-Kriminellen hochgeladen. Sie soll 150 Millionen Datensätze von Adobe-Kunden aus dem Einbruch enthalten. Sollten sich diese Zahlen weiter erhärten, könnte der Einbruch zu einem der größten Hacks der Geschichte werden.

Sophos hat eine Million Datensätze untersucht und festgestellt, dass die ebenfalls gestohlenen sogenannten Password Hints, die eine Hilfestellung beim Erinnern des Passwortes geben sollen, oft genug dem Passwort selbst entsprachen oder aber die Ableitung des Passworts ohne Aufwand zuließen. Zudem vermuten die Sophos-Spezialisten, die Passwörter seien entgegen Adobes Aussage zwar verschlüsselt, aber nicht gehashed gewesen.

Adobe bleibt bisher bei der Zahl von 38 Millionen Datensätzen, da die zu Beginn angegebene Zahl von 2,9 Millionen Betroffenen nicht lange haltbar war. Alle betroffenen Kunden seien benachrichtigt, die Passwörter der betroffenen Datensätze geändert. Ein von den Kunden selbst zu verantwortendes Problem ist die Mehrfachverwendung von Passwörtern für verschiedene Dienste, die jetzt von den Dieben durchprobiert werden können. Davon betroffene Kunden müssen das verwendete Passwort in allen betroffenen Diensten ändern. Ein Firmensprecher von Adobe sagte, in der Datenbank seien viele inaktive oder mit ungültigen Passwörtern versehene Adobe-IDs. Weiter sagte er, derzeit „gebe es keine Hinweise auf unautorisierte Aktivitäten bei den von dem Einbruch betroffenen Adobe-IDs“.

Die Firma Lastpass, Hersteller des gleichnamigen Passwort-Managers, hat ebenso wie der Entwickler hilare_belloc ein kleines Tool online gestellt, mit dem Betroffene überprüfen können, ob ihre E-Mail-Adresse in der aufgetauchten Datenbank vorhanden war und somit das Passwort kompromittiert wurde.