JournalismusTJX-Datenleck 2007: 94 Millionen Kreditkarten durch WEP-Lücke gestohlen
Die US-Einzelhandelskette TJX Companies, Betreiber von T.J. Maxx, Marshalls und weiteren Ketten, entdeckte am 18.12.2006 einen seit Juli 2005 andauernden Einbruch in ihre IT-Systeme und informierte die Öffentlichkeit am 17.01.2007. Die Angreifer verschafften sich Zugang über ein mit dem veralteten WEP-Standard gesichertes WLAN einer Marshalls-Filiale in St. Paul, Minnesota, das sie per Wardriving vom Parkplatz aus knackten, und bewegten sich anschließend monatelang unbemerkt im zentralen Zahlungsverkehrsnetz. In einer Mitteilung an die US-Börsenaufsicht SEC bezifferte TJX im März 2007 die Zahl betroffener Karten auf 45,7 Millionen. In einer Gerichtseingabe vom 24.10.2007 gaben klagende Bankenverbände die tatsächliche Zahl mit rund 94 Millionen Karten an, davon etwa 65 Millionen von Visa und 29 Millionen von MasterCard. Zusätzlich wurden persönliche Daten von rund 451.000 Kunden entwendet, die Waren ohne Kassenbon zurückgegeben hatten. TJX zahlte im November 2007 bis zu 40,9 Millionen US-Dollar an Visa und im April 2008 rund 24 Millionen US-Dollar an MasterCard. Am 01.08.2008 verpflichtete sich TJX gegenüber der FTC per Vergleich zu 20 Jahren regelmäßiger unabhängiger Sicherheitsaudits. Der als Haupttäter identifizierte Albert Gonzalez wurde im August 2008 zusammen mit zehn weiteren Personen angeklagt und später zu 20 Jahren Haft verurteilt.
Computerworld
17.01.2007
Klartext anzeigen
Die exakte Gesamtzahl betroffener Karten ist nicht abschließend geklärt: TJX bestätigte offiziell nur 45,7 Millionen, während die höhere Zahl von 94 Millionen auf einer Schätzung klagender Bankenverbände beruht. Auch die genaue Rolle einzelner Mitangeklagter neben Albert Gonzalez ist aus dieser Quelle nicht im Detail belegt.