Leak/Hack von Kundendatenbank

[RaiseHell]

Hallo,

habe gestern ein Phishing-Mail erhalten, in dem versucht wird, die Login-Daten meines Amazon-Accounts zu erhalten.

Besorgniserregend daran ist, dass diese Phishing-Mail an jene Mail-Adresse verschickt wurde, die ich ausschließlich für meine Caseking-Registrierung angelegt und auch nur dort verwendet habe.

Zusätzlich dazu lässt sich aus eben jener Mail-Adresse mein voller Name nicht ableiten, und dennoch werde ich in dem Phishing-Mail mit meinem korrekten Vor- und Nachnamen angesprochen.

Es deutet also alles darauf hin, dass es irgendeine Art von Leak eurer Kundendatenbank in der Vergangenheit gegeben hat, in dem zumindest e-Mail-Adressen sowie Vor- und Nachnamen eurer Kunden in falsche Hände geraten sind.

Ich rate euch, diesbezüglich schnellstmöglichst Nachforschungen anzustellen. Details zum Phishing-Mail gerne per privater Nachricht.

 

[=DarkEagle=]

Ich kann dies bestätigen. Ich habe mich am 04.09.2014 bei Caseking registriert. Und bei mir kam am 04.05.2015 eine Paypal-Phishing-Mail an meine Caseking-Mailadresse. Allerdings war die im SPAM-Ordner gelandet.
Versendet wurde die Mail von einer IP aus dem Bereich 209.54.59.XXX.
Im Empfänger-Feld war auch mein kompletter Name angegeben.

 

[Caseking-Mike]

Hallo Leute,

wir sind dabei die Sache zu prüfen und werden uns bald dazu äußern.

Liebe Grüße,
Mike

 

[Drölfzehn]

Kann ich ebenfalls bestätigen... Nutze auch mittlerweile "exklusive" Mailadressen um nachvollziehen zu können woher die Spam-Mails kommen.

 

[=DarkEagle=]

Es ist die nächste Phisingmail (von Amazon) reingekommen. Exakt die gleiche Mail ist auch an meine spezielle Adresse für den Händler Frozen-Silicon reingekommen. Entweder die Phishingmail-Absender haben die Mailadresse eingekauft oder hinter den Angriffen stecken die gleichen Hacker.

 

[RaiseHell]

@=DarkEagle=:

Shopsystem
Dieser Online-Shop basiert auf xt:Commerce Shopsoftware.

eCommerce Engine © 2006 xt:Commerce Shopsoftware

 

[dasu23]

Hi Mike,
bei so einem brisanten Thema, bei welchem unsre Kundendaten evtl. nicht ordentlich geschützt werden, sollte eine Antwort nicht so lange auf sich warten lassen..

lg

 

[Linus9000]

Vielleicht eine Nachwirkung von http://www.heise.de/security/meldung/Aktiver-Angriff-auf-Shop-System-xt-Commerce-2580640.html ?

 

[RaiseHell]

Zwei Wochen (!) verstrichen und null Info.

Würde man das Thema und den bestmöglichen Schutz der Kundendaten vor Missbrauch ernst nehmen, so hätte Caseking seine Kunden eigentlich nach spätestens drei Tagen per Mail vorwarnen und sie auf mögliche Phising-Mails sensibilisieren müssen, immerhin wird man in diesen ja persönlich angesprochen, wodurch sie sich von der Masse der Phishing-Mails deutlich unterscheiden und somit als gefährlicher einzustufen sind.

Da auch nach wie vor unklar ist, welche Daten betroffen sind, wäre des Weiteren eine Empfehlung zur Passwortänderung angebracht gewesen, und zwar nicht nur für das Caseking-Konto, sondern auch für alle anderen Zugänge, die mit dem selben Passwort versehen sind.

Falls Zahlungsdaten in euren Systemen gespeichert sind, hätte man die Kunden auch diesbezüglich informieren und vorwarnen müssen, um verdächtige Vorgänge auf Kreditkarte/Konto früher erkennen zu können.

Fazit:
Wieder einmal ein Beispiel, wie verantwortungslos mit Kundendaten umgegangen wird. Einfach letztklassig. Von mir seht ihr jedenfalls keinen Cent mehr, solche Geschäftspraktiken unterstütze ich nicht.

 

[RaiseHell]

heise Security: SQL-Injection-Lücke in xt:Commerce

Es war vermutlich also entweder die alte, hier weiter oben bereits erwähnte Sicherheitslücke, oder diese neue hier.

Wie auch immer, es scheint ja auch 18 Tage nach Erstmeldung niemanden bei Caseking zu interessieren. Da wird halt seelenruhig auf die Daten der Kunden geschissen – anders kann man das leider nicht nennen.

Muss jeder für sich selbst entscheiden, was für Schlüsse man daraus zieht.

 

[Labtec]

Themen einfach aussetzten macht die Politik doch vor - passt man sich an.
Opfer eines Angriffs zu werden, ist eine Sache - aber die Kommunikation darüber hat man immer selbst in der Hand. Eigentlich peinlich ...

 

[Brigitta]

aber die Kommunikation darüber hat man immer selbst in der Hand. Eigentlich peinlich ...

Genau das.
Ich bin betroffen und hatte per Mail eine Anfrage gestellt. Die Chance des transparenten Umgangs mit dem Leck ist durch eine sich dumm stellende (und dadurch mich als dummen Kunden behandelnde) nichtssagende Antwort an mich vertan. Ich habe um Daten und Kontolöschung gebeten und um Bestätigung per Mail.

Empfehlen werde ich den Shop sicherlich nirgends mehr.

 

[Labtec]

5 Wochen - keine Reaktion.
Spitzenleistung, da kann man nur gratulieren - aber ist verständlich, der Relauch des neuen Shop-Design's ist natürlich viel wichtiger als irgendwelche Kundendaten ... wenn interessiert das schon!
Namen, Emailadresse, Kreditkartendaten .... Hauptsache der Rubel rollt.

 

[RaiseHell]

Solang's nur ein Thread im hintersten Winkel des Forums oder vereinzelte e-Mail-Anfragen sind, lässt sich das Thema natürlich hervorragend ignorieren.

 

[crashbandicot]

Tragt die Info inkl. einem Link zu diesem Thread hier doch mal an heise.de

 

[Amusens]

hmm benutze auch eine Spezielle e-mail Addy für Caseking und hatte auch ne Zeit lang im Spam Ordner ne amazon.de Nachricht die ohne zu sehen gelöscht habe.

Werde das jetzt mal beobachten ob ich mit der Speziellen e-mail addy Spam Mails bekommen.

Danke für den Tipp

Ergänzung (10. Juni 2015)

wasn jetzt los ....Hat Caseking schon meinen Zugangsaccount gelöscht? Meine E-Mail Adresse gibt es im Caseking System nicht mehr????

 

[Caseking-Mike]

Hallo Amusens,

wir löschen selbstverständlich niemals einfach so Kundenaccounts. Einzig solche, die niemals für Bestellungen verwendet worden sind, haben wir im Zuge des Shop-Relaunches nicht übernommen. Ansonsten solltest du dich ganz normal einloggen können.

Liebe Grüße,
Mike

 

[RaiseHell]

Und sonst gibt's seitens Caseking zu der Sache nichts mehr zu sagen, oder wie? Was wurde aus "wir sind dabei die Sache zu prüfen und werden uns bald dazu äußern"?

Was soll dieses höchst unseriöse Verhalten eurerseits? Auf die Daten eurer Kunden wird geschissen, oder wie darf man das interpretieren?

 

[Amusens]

Hallo Caseking Mike,

hmm hatte schon ein paar mal bestellt bei euch ? Ist aber auch schon was her mit der letzten Bestellung.
An welche Shop e mail Adresse kann ich den Fragen was mit meinen Account los ist?

Ergänzung (11. Juni 2015)

Ich hatte auch nichts in meinen Unterlagen gefunden ob ich die Zugangs Adresse geändert habe.?

Ergänzung (11. Juni 2015)

a sorry hatte meine E-Mail Addy geändert, habs eben überprüft.
Jetzt muss ich noch paar Minuten warten weil wegen der Einlogsperre

 

[Keks2me]

Super, ist auch bei mir angekommen. Danke für den vertrauensvollen Umgang mit unseren Kundendaten.
Versand der letzten Hardware, mehr als 9 Werktage und dann auch noch ohne Adapter.

Ja so kann man sich unbeliebt machen und hat in Zukunft ein paar Kunden weniger.

Habt ihr euch die "Wir sagen nichts dazu" Politik bei Nvidia abgekuckt, oder wie läuft das so bei euch?