Adobe entdeckte am 17.09.2013 einen unautorisierten Zugriff auf sein Netzwerk und informierte am 03.10.2013 erstmals öffentlich über den Vorfall. Die Angreifer waren über einen öffentlich zugänglichen Webserver eingedrungen und bewegten sich anschließend lateral durch Adobes interne Systeme. Dabei erbeuteten sie Quellcode zu Produkten wie Acrobat, ColdFusion und Photoshop sowie eine Kundendatenbank. Adobe bestätigte zunächst 2,9 Millionen betroffene Konten, korrigierte die Zahl aber wenige Wochen später auf rund 38 Millionen aktive Nutzerkonten mit gültigen verschlüsselten Passwörtern. Ende Oktober 2013 tauchte im Internet eine Datei mit mehr als 150 Millionen Benutzername-Passwort-Paaren aus der betroffenen Datenbank auf, weshalb häufig von rund 153 Millionen kompromittierten Datensätzen die Rede ist. Zusätzlich waren nach Adobes eigenen Angaben knapp 3 Millionen verschlüsselte Kredit- und Debitkartennummern samt Ablaufdatum betroffen. Adobe hatte die Passwörter nicht einzeln gehasht, sondern mit demselben 3DES-Schlüssel im ECB-Modus verschlüsselt, wodurch identische Passwörter identische Chiffretexte erzeugten und sich Muster erkennen ließen. Im Klartext gespeicherte Passworthinweise erleichterten Angreifern zusätzlich das Erraten vieler Passwörter. Adobe setzte daraufhin die Passwörter betroffener Konten zurück und bot Kunden mit betroffenen Kartendaten ein Jahr kostenlose Kreditüberwachung durch Experian an. Im November 2016 einigte sich Adobe mit Justizbehörden von 15 US-Bundesstaaten auf eine Zahlung von 1 Million US-Dollar sowie verbesserte Sicherheitsmaßnahmen.
Klartext anzeigen
Aus dieser Quelle geht nicht eindeutig hervor, wie viele der über 150 Millionen Datensätze tatsächlich aktive, echte Nutzerkonten betrafen, da Adobe einen erheblichen Teil als ungültige, doppelte oder zu Testzwecken angelegte Einträge bezeichnete. Ebenso bleibt offen, wer die Angreifer waren, da sie nie öffentlich identifiziert oder strafrechtlich belangt wurden.
Journalismus
