Quellen-Tabelle

Zwischen Ende Februar und Anfang März 2014 verschafften sich Angreifer mit gestohlenen Zugangsdaten mehrerer eBay-Mitarbeiter Zugriff auf das Firmennetzwerk und in der Folge auf die zentrale Kundendatenbank. eBay entdeckte den Einbruch erst rund zwei Wochen vor der öffentlichen Bekanntgabe am 21.05.2014. Betroffen waren die Datensätze von etwa 145 Millionen Nutzerkonten, praktisch die gesamte damalige Nutzerbasis des Unternehmens. Kopiert wurden Namen, Benutzernamen, E-Mail-Adressen, Postadressen, Telefonnummern, Geburtsdaten sowie gehashte und gesalzene Passwörter. Zahlungsdaten wie Kreditkarteninformationen lagen laut eBay in einer getrennten Datenbank und waren nicht betroffen. eBay forderte daraufhin alle Nutzer weltweit auf, ihr Passwort zu ändern, und zog die IT-Forensikfirma Mandiant sowie Strafverfolgungsbehörden zur Untersuchung hinzu. Im Juli 2014 reichte ein Nutzer in den USA eine Sammelklage wegen unzureichender Sicherheitsvorkehrungen ein, die ein Bundesrichter später mangels Nachweis eines konkreten Schadens abwies. Eine Geldstrafe einer US-Aufsichtsbehörde wie der FTC im Zusammenhang mit dem Vorfall ist nicht bekannt.

Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.

Adobe entdeckte am 17.09.2013 einen unautorisierten Zugriff auf sein Netzwerk und informierte am 03.10.2013 erstmals öffentlich über den Vorfall. Die Angreifer waren über einen öffentlich zugänglichen Webserver eingedrungen und bewegten sich anschließend lateral durch Adobes interne Systeme. Dabei erbeuteten sie Quellcode zu Produkten wie Acrobat, ColdFusion und Photoshop sowie eine Kundendatenbank. Adobe bestätigte zunächst 2,9 Millionen betroffene Konten, korrigierte die Zahl aber wenige Wochen später auf rund 38 Millionen aktive Nutzerkonten mit gültigen verschlüsselten Passwörtern. Ende Oktober 2013 tauchte im Internet eine Datei mit mehr als 150 Millionen Benutzername-Passwort-Paaren aus der betroffenen Datenbank auf, weshalb häufig von rund 153 Millionen kompromittierten Datensätzen die Rede ist. Zusätzlich waren nach Adobes eigenen Angaben knapp 3 Millionen verschlüsselte Kredit- und Debitkartennummern samt Ablaufdatum betroffen. Adobe hatte die Passwörter nicht einzeln gehasht, sondern mit demselben 3DES-Schlüssel im ECB-Modus verschlüsselt, wodurch identische Passwörter identische Chiffretexte erzeugten und sich Muster erkennen ließen. Im Klartext gespeicherte Passworthinweise erleichterten Angreifern zusätzlich das Erraten vieler Passwörter. Adobe setzte daraufhin die Passwörter betroffener Konten zurück und bot Kunden mit betroffenen Kartendaten ein Jahr kostenlose Kreditüberwachung durch Experian an. Im November 2016 einigte sich Adobe mit Justizbehörden von 15 US-Bundesstaaten auf eine Zahlung von 1 Million US-Dollar sowie verbesserte Sicherheitsmaßnahmen.

Aus dieser Quelle geht nicht eindeutig hervor, wie viele der über 150 Millionen Datensätze tatsächlich aktive, echte Nutzerkonten betrafen, da Adobe einen erheblichen Teil als ungültige, doppelte oder zu Testzwecken angelegte Einträge bezeichnete. Ebenso bleibt offen, wer die Angreifer waren, da sie nie öffentlich identifiziert oder strafrechtlich belangt wurden.

Der Hongkonger Spielzeughersteller VTech wurde am 14.11.2015 Opfer eines Hackerangriffs auf die Datenbanken seines App-Stores Learning Lodge und des Nachrichtendienstes Kid Connect. Die Angreifer nutzten eine SQL-Injection-Schwachstelle aus, um unverschlüsselt gespeicherte Kundendaten zu entwenden, obwohl VTechs Datenschutzrichtlinie eine Verschlüsselung zugesichert hatte. Nach Unternehmensangaben waren weltweit 6,4 Millionen Kinderprofile mit Namen, Geschlecht und Geburtsdatum sowie 4,8 Millionen zugehörige Elternkonten mit E-Mail-Adressen, Postanschriften, IP-Adressen und Passwörtern betroffen, in Deutschland rund 509.000 Kinder und 391.000 Eltern. Bei einem Teil der Konten wurden zudem Kinderfotos und Chatverläufe aus der Kid-Connect-App kompromittiert. VTech informierte die Öffentlichkeit erstmals am 27.11.2015, das volle Ausmaß von 6,4 Millionen betroffenen Kindern wurde Anfang Dezember 2015 bekannt. Die britische South East Regional Organised Crime Unit nahm im Januar 2016 einen 21 Jahre alten Mann unter Verdacht der unbefugten Computernutzung fest. Die US-Handelsaufsicht FTC verhängte am 08.01.2018 eine Geldstrafe von 650.000 US-Dollar gegen VTech wegen Verstoßes gegen den Children's Online Privacy Protection Act (COPPA). Im Rahmen der Einigung musste VTech zudem für die folgenden 20 Jahre ein umfassendes, jährlich extern geprüftes Datensicherheitsprogramm einführen.

Die zitierte heise-Meldung selbst beschreibt weder den technischen Ablauf des Angriffs per SQL-Injection noch den genauen Umfang der kompromittierten Kinderfotos und Chatverläufe im Detail, und es bleibt offen, ob der 2016 in Großbritannien festgenommene Verdächtige später tatsächlich verurteilt wurde.

Der US-Krankenversicherer Premera Blue Cross gab am 17.03.2015 ein Datenleck bekannt, bei dem Angreifer über Monate unentdeckt Zugriff auf die Unternehmensnetzwerke hatten. Der initiale Einbruch erfolgte laut den beauftragten Ermittlern Mandiant und dem FBI bereits am 05.05.2014, entdeckt wurde er von Premera erst am 29.01.2015. Betroffen waren rund 11 Millionen aktuelle und ehemalige Kunden von Premera Blue Cross, Premera Blue Cross Blue Shield of Alaska sowie der Marken Vivacity und Connexion Insurance Solutions. Die Angreifer erlangten möglicherweise Zugriff auf Namen, Geburtsdaten, E-Mail-Adressen, Anschriften, Telefonnummern, Sozialversicherungsnummern, Mitgliedsnummern, Bankverbindungen sowie klinische Behandlungsdaten der Versicherten. Als Einfallstor diente vermutlich eine Phishing-Kampagne über die gefälschte Domain prennera.com, die der echten Domain premera.com mit doppeltem n ähnelte. Sicherheitsforscher brachten den Angriff mit chinesischen staatsnahen Hackergruppen in Verbindung, eine offizielle behördliche Zuordnung blieb jedoch aus. Premera bot den betroffenen Personen zwei Jahre kostenlose Kreditüberwachung durch Experian an. Am 25.09.2020 einigte sich Premera mit dem US-Gesundheitsministerium HHS auf eine Zahlung von 6,85 Millionen US-Dollar wegen Verstößen gegen die HIPAA-Datenschutzregeln, die zweithöchste derartige Strafe bis zu jenem Zeitpunkt. In einem separaten zivilrechtlichen Sammelklageverfahren zahlte Premera zusätzlich bis zu 74 Millionen US-Dollar an Betroffene.

Unklar bleibt, ob die gestohlenen Daten tatsächlich abgeflossen oder für Identitätsdiebstahl missbraucht wurden. Premera erklärte, keine Beweise für eine tatsächliche Ausleitung oder missbräuchliche Nutzung der Daten gefunden zu haben, und die vermutete Urheberschaft chinesischer Staatshacker wurde nie offiziell bestätigt.

Der US-Krankenhausbetreiber Community Health Systems (CHS) aus Franklin, Tennessee, meldete am 18.08.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC einen Datendiebstahl bei 4,5 Millionen Patienten. Die unbefugten Zugriffe auf das Firmennetzwerk fanden nach Angaben von CHS im April und Juni 2014 statt und wurden im Juli 2014 entdeckt. Betroffen waren Namen, Adressen, Geburtsdaten, Telefonnummern und Sozialversicherungsnummern von Personen, die in den vorangegangenen fünf Jahren von CHS angegliederten Ärzten behandelt oder überwiesen worden waren, medizinische Behandlungsdaten und Kreditkartendaten wurden nicht entwendet. Als Einfallstor diente laut der Sicherheitsfirma TrustedSec und der forensischen Untersuchung durch Mandiant ein Juniper-Netzwerkgerät, das trotz verfügbarer Patches weiterhin für die im April 2014 bekannt gewordene Heartbleed-Sicherheitslücke CVE-2014-0160 anfällig war; die Angreifer stahlen darüber VPN-Zugangsdaten aus dem Arbeitsspeicher des Geräts. Der Fall gilt als einer der ersten öffentlich dokumentierten Angriffe, bei denen Heartbleed aktiv zum Eindringen in ein Unternehmensnetzwerk ausgenutzt wurde. Mandiant ordnete den Angriff der aus China operierenden Gruppe APT18 zu, der Verbindungen zur chinesischen Regierung nachgesagt werden. CHS betrieb zum Zeitpunkt des Vorfalls rund 206 Krankenhäuser in 29 US-Bundesstaaten. Am 08.10.2020 einigte sich CHS mit den Generalstaatsanwälten von 28 US-Bundesstaaten auf eine Zahlung von 5 Millionen US-Dollar zur Beilegung der Untersuchung, ohne ein Fehlverhalten einzuräumen; die Behörden bezifferten die Zahl der betroffenen Patienten zu diesem Zeitpunkt auf 6,1 Millionen.

Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.

Am 24.11.2014 entdeckten Mitarbeiter von Sony Pictures Entertainment in Culver City, Kalifornien, dass ihre Computer von einer Gruppe namens Guardians of Peace (GOP) kompromittiert worden waren. Die Angreifer veröffentlichten in den folgenden Wochen interne E-Mails, Gehaltsdaten von Führungskräften, mehrere unveröffentlichte Spielfilme (darunter Annie, Fury und Still Alice) sowie nach Presseberichten vom 07.12.2014 rund 47.000 Sozialversicherungsnummern von Mitarbeitern und Prominenten. Die Angreifer selbst behaupteten, mehr als 100 Terabyte an Daten entwendet zu haben, diese Zahl wurde unabhängig nicht verifiziert. Die Guardians of Peace forderten die Absage des Kinostarts der Sony-Komödie The Interview, die eine fiktive Ermordung des nordkoreanischen Machthabers Kim Jong Un zeigt, und drohten mit Gewalt gegen Kinos. Sony sagte den geplanten Kinostart am 17.12.2014 ab, nachdem große Kettenbetreiber wie AMC, Regal, Cinemark und Carmike die Vorführungen zurückgezogen hatten; der Film erschien stattdessen ab dem 25.12.2014 online und in ausgewählten Kinos. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, gestützt unter anderem auf IP-Adressen und Schadsoftware-Überschneidungen mit früheren Nordkorea zugeschriebenen Angriffen. Die USA verhängten am 02.01.2015 zusätzliche Wirtschaftssanktionen gegen Nordkorea. Sony bezifferte die finanziellen Folgekosten auf rund 15 Millionen US-Dollar. Am 06.09.2018 klagte das US-Justizministerium den nordkoreanischen Staatsbürger Park Jin Hyok wegen Verschwörung zu Computerbetrug im Zusammenhang mit dem Sony-Hack sowie den Angriffen auf die Bangladesh Bank und WannaCry an.

Die von den Angreifern behauptete Datenmenge von über 100 Terabyte ist unabhängig nicht verifiziert, ebenso bleibt offen, ob Nordkorea den Angriff direkt über eigene Mitarbeiter oder ausschließlich über die mit dem Militärgeheimdienst RGB verbundene Lazarus Group ausführte. Der 2018 angeklagte Park Jin Hyok wurde nie vor ein US-Gericht gestellt, da er sich mutmaßlich in Nordkorea befindet, weshalb kein rechtskräftiges Urteil vorliegt.

Am 03.11.2021 verschaffte sich ein Angreifer durch einen Social-Engineering-Anruf bei einem Kundendienstmitarbeiter des US-Aktienbrokers Robinhood Markets Zugang zu internen Support-Systemen. Robinhood informierte die Öffentlichkeit am 08.11.2021 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC sowie im eigenen Unternehmensblog über den Vorfall. Nach Unternehmensangaben wurden E-Mail-Adressen von rund fünf Millionen Kunden sowie vollständige Namen von weiteren rund zwei Millionen Kunden erbeutet, insgesamt waren damit etwa 7 Millionen Nutzer betroffen. Bei einer kleineren Gruppe von etwa 310 Kunden wurden zusätzlich Geburtsdaten und Postleitzahlen offengelegt, bei rund 10 Kunden noch umfangreichere Kontoinformationen. Am 16.11.2021 ergänzte Robinhood, dass auch Telefonnummern von mehr als 4.400 Kunden gestohlen worden waren. Sozialversicherungsnummern, Bankkontonummern und Debitkartendaten waren nach Unternehmensangaben nicht betroffen, finanzielle Verluste bei Kunden wurden nicht festgestellt. Der Angreifer forderte von Robinhood eine Erpressungszahlung, ob diese geleistet wurde, machte das Unternehmen zunächst nicht öffentlich. Im Januar 2025 verhängte die SEC gegen zwei Robinhood-Broker-Dealer-Einheiten eine Strafzahlung von insgesamt 45 Millionen US-Dollar, unter anderem wegen unzureichender Datenschutz- und Identitätsschutzmaßnahmen im Zusammenhang mit dem Vorfall.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe die vom Angreifer geforderte Erpressungszahlung tatsächlich geleistet wurde; auch die Identität des Angreifers und der genaue technische Ablauf des Social-Engineering-Anrufs wurden öffentlich nicht bestätigt.

Zwischen dem 01.08.2018 und dem 30.03.2019 hatte ein unbekannter Angreifer unautorisierten Zugriff auf die Zahlungsseite des US-Inkassodienstleisters American Medical Collection Agency (AMCA), der Rechnungen für Labordienstleister wie Quest Diagnostics und LabCorp einzog. Quest Diagnostics gab am 03.06.2019 bekannt, dass über seinen Abrechnungsdienstleister Optum360 rund 11,9 Millionen Patientendaten betroffen waren. LabCorp meldete am 04.06.2019 rund 7,7 Millionen betroffene Patienten. Am 07.06.2019 kam mit BioReference Laboratories ein weiterer AMCA-Kunde mit rund 422.600 betroffenen Personen hinzu, wodurch die Gesamtzahl der Betroffenen auf 20.022.600 stieg. Nach damaligem Kenntnisstand von AMCA umfassten die kompromittierten Daten Namen, Adressen, Telefonnummern, Geburtsdaten, Behandlungsdaten, E-Mail-Adressen, Angaben zu Kostenträgern sowie teilweise Bankverbindungen, nicht jedoch Sozialversicherungsnummern, medizinische Befunde oder Passwörter. AMCA nahm die betroffene Zahlungsseite vom Netz, wechselte zu einem anderen Zahlungsdienstleister und beauftragte eine IT-Sicherheitsfirma mit der forensischen Untersuchung. Betroffenen Personen wurde eine zweijährige kostenlose Kredit- und Identitätsüberwachung angeboten. Infolge der hohen Kosten für Aufklärung und Benachrichtigung meldete AMCA im Juni 2019 Insolvenz an.

Der Quellenartikel schloss den Zugriff auf Sozialversicherungsnummern und medizinische Befunde noch ausdrücklich aus; spätere Ermittlungen und ein 2021 geschlossener Vergleich mit 41 US-Bundesstaaten gingen dagegen von bis zu 21 Millionen Betroffenen mit teils doch kompromittierten Sozialversicherungsnummern aus, sodass der genaue Umfang der betroffenen Datenkategorien zum Zeitpunkt dieses Berichts nicht abschließend geklärt war.

Am 20. Januar 2021 entdeckte das brasilianische Cybersicherheitsunternehmen PSafe im Darknet einen Datensatz mit persönlichen Informationen von mehr als 220 Millionen Menschen, mehr als die Einwohnerzahl Brasiliens von rund 210 Millionen, da auch Daten Verstorbener enthalten waren. Die rund 1 Terabyte umfassenden komprimierten Dateien enthielten vollständige Namen, Geburtsdaten, Steueridentifikationsnummern (CPF), Adressen, Telefonnummern, E-Mail-Adressen, Gehaltsangaben, Kreditwürdigkeitsbewertungen und teilweise Gesichtsbilder. Eine zweite Datensammlung betraf rund 40 Millionen brasilianische Unternehmen samt Steuernummern (CNPJ) und geschätzten Umsätzen, zusätzlich waren Daten zu mehr als 104 Millionen Fahrzeugen samt Fahrgestellnummer, Kennzeichen und technischen Details betroffen. Wegen der Art der Daten fiel der Verdacht auf die brasilianische Auskunftei Serasa Experian, eine Tochtergesellschaft des britischen Konzerns Experian, insbesondere auf deren Datenbank des Dienstes Mosaic. Serasa Experian bestritt, dass die eigenen Systeme kompromittiert wurden, und erklärte nach einer forensischen Untersuchung durch externe Spezialisten, es gebe keine Beweise für einen Einbruch. Die Verbraucherschutzbehörden Procon-SP und Senacon sowie die brasilianische Datenschutzbehörde ANPD leiteten Untersuchungen ein und bezeichneten die Erklärungen des Unternehmens als unzureichend. Der Datenschutzexperte Bruno Bioni von Data Privacy Brasil nannte den Vorfall das größte und gefährlichste Datenleck in der Geschichte Brasiliens. Die Täter boten den vollständigen Datensatz im Darknet zum Kauf an, unter anderem für rund 40.000 US-Dollar in Bitcoin.

Aus dieser Quelle ist nicht belegt, wer konkret für das Leck verantwortlich ist oder auf welchem technischen Weg die Daten abflossen; Serasa Experian bestritt eine eigene Systemkompromittierung, ohne dass zum Berichtszeitpunkt eine andere Quelle offiziell bestätigt war, und der Ausgang der behördlichen sowie gerichtlichen Verfahren blieb offen.

Am 30.11.2018 gab die Hotelkette Marriott International bekannt, dass Unbekannte bereits seit Juli 2014 unbefugten Zugriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Tochter Starwood hatten. Der Zugriff blieb bis zur Entdeckung am 08.09.2018 vier Jahre lang unbemerkt. Betroffen waren rund 339 Millionen Gästedatensätze weltweit, davon etwa 30 Millionen aus der EU und 7 Millionen aus Großbritannien. Kompromittiert wurden Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Geschlecht, Reservierungsdaten sowie bei rund 5,25 Millionen Personen unverschlüsselte Passnummern; teilweise waren auch Kreditkartendaten betroffen. Die britische Datenschutzbehörde ICO kündigte am 09.07.2019 wegen Verstoßes gegen Artikel 5(1)(f) und Artikel 32 der DSGVO ein Bußgeld von 99,2 Millionen Pfund (rund 110 Millionen Euro) an, das damals als eines der höchsten DSGVO-Bußgelder überhaupt galt. Am 30.10.2020 reduzierte die ICO die Strafe unter Verweis auf Marriotts Verbesserungsmaßnahmen und die wirtschaftlichen Folgen der Corona-Pandemie auf 18,4 Millionen Pfund. Marriott hatte gegen die ursprüngliche Bußgeldandrohung Widerspruch angekündigt.

Die genaue technische Ursache des Erstzugriffs 2014 (Einfallstor, Angreifergruppe) ist aus dieser Quelle nicht im Detail belegt, ebenso wenig die endgültige Zahl der tatsächlich betroffenen Einzelpersonen nach Bereinigung von Duplikaten.

Der Sportartikelhersteller Under Armour gab am 29.03.2018 bekannt, dass die Nutzerdaten der von ihm betriebenen Ernährungs- und Fitness-App MyFitnessPal kompromittiert wurden. Under Armour hatte MyFitnessPal 2015 übernommen. Das Unternehmen wurde am 25.03.2018 auf den unbefugten Zugriff aufmerksam, der bereits Ende Februar 2018 stattgefunden hatte. Betroffen waren rund 150 Millionen Nutzerkonten weltweit. Erbeutet wurden Nutzernamen, E-Mail-Adressen und gehashte Passwörter, wobei die Mehrheit der Passwörter mit dem Verfahren Bcrypt gesichert war, ein kleinerer Teil älterer Konten jedoch nur mit dem schwächeren SHA-1-Verfahren. Nicht betroffen waren nach Angaben von Under Armour Zahlungsdaten, Sozialversicherungsnummern und Ausweisdaten, da diese getrennt beziehungsweise über separate Zahlungsdienstleister verarbeitet wurden. Under Armour forderte betroffene Nutzer auf, ihr Passwort zu ändern und identische Passwörter auf anderen Plattformen ebenfalls zu aktualisieren. Das Unternehmen kündigte an, mit Ermittlungsbehörden zusammenzuarbeiten und seine Sicherheitssysteme zu überprüfen. Die Aktie von Under Armour fiel nach Bekanntwerden des Vorfalls an der Börse. Der Vorfall zählte 2018 zu den größten bekannt gewordenen Datenlecks weltweit.

Aus der Quelle nicht belegt sind die Identität der Angreifer und der genaue technische Angriffsweg sowie eventuelle spätere behördliche Bußgelder oder Entschädigungszahlungen infolge des Vorfalls.

Der Betreiber der Frage-Antwort-Plattform Quora informierte am 4. Dezember 2018 rund 100 Millionen Nutzer per E-Mail über einen Hackerangriff auf seine Systeme. Quora hatte den unautorisierten Zugriff eines Dritten bereits am Freitag, dem 30. November 2018, entdeckt und daraufhin Sicherheitsexperten sowie Strafverfolgungsbehörden eingeschaltet. Die Angreifer konnten Namen, E-Mail-Adressen, mit Bcrypt und Salt verschlüsselte Passwörter sowie aus verknüpften Netzwerken importierte Daten kopieren. Zusätzlich waren öffentliche und nicht öffentliche Inhalte betroffen, darunter Fragen, Antworten, Kommentare, Upvotes, Downvotes und private Direktnachrichten. Anonym verfasste Fragen und Antworten blieben unberührt, ebenso waren keine Kreditkartendaten oder Sozialversicherungsnummern betroffen, da Quora solche Daten grundsätzlich nicht erhebt. Als Sofortmaßnahme setzte Quora die Passwörter aller betroffenen Konten zurück und meldete die Nutzer automatisch ab, sodass beim nächsten Login ein neues Passwort vergeben werden musste. Ein Quora-Sprecher bestätigte am 12. Dezember 2018, dass die Passwörter mit dem Verfahren Bcrypt plus Salt gesichert waren, was nach damaligem Stand als sicher galt.

Aus dem Bericht geht nicht hervor, auf welchem technischen Weg die Angreifer konkret Zugriff auf die Quora-Systeme erlangten, da die Untersuchung zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen war. Auch Identität der Angreifer sowie mögliche behördliche Sanktionen gegen Quora sind aus der Quelle nicht ersichtlich.

Der US-Spieleentwickler Zynga bestätigte am 12.09.2019 einen Datendiebstahl bei Nutzerkonten mehrerer mobiler Spiele, darunter Words With Friends, Draw Something und das eingestellte OMGPOP-Portal. Ein Hacker mit dem Pseudonym Gnosticplayers hatte sich zuvor an das Onlineportal The Hacker News gewandt und behauptet, Zugriff auf mehr als 218 Millionen Words-With-Friends-Konten zu haben. Spätere forensische Auswertungen der gestohlenen Datenbank ermittelten rund 172,9 Millionen eindeutige betroffene Konten. Betroffen waren Nutzer, die die Android- oder iOS-Version des Spiels bis zum 02.09.2019 installiert hatten. Erbeutet wurden Namen, E-Mail-Adressen, Login-IDs, mit Salt versehene SHA1-Passwort-Hashes und Passwort-Reset-Token sowie teilweise Telefonnummern, Facebook-IDs und Zynga-Konto-IDs. Zynga erklärte, Finanzinformationen seien nicht betroffen gewesen. Das Unternehmen beauftragte externe Forensikfirmen, informierte Strafverfolgungsbehörden und erzwang Passwortzurücksetzungen für betroffene Konten. Im Mai 2020 reichte die Kanzlei FeganScott im Namen betroffener Nutzer eine Sammelklage gegen Zynga wegen des Vorfalls ein.

Die genaue Zahl der tatsächlich betroffenen Konten schwankt zwischen der ersten Hacker-Angabe von 218 Millionen und der später ermittelten Zahl von rund 172,9 Millionen, eine offizielle abschließende Bestätigung durch Zynga liegt nicht vor. Der Ausgang der 2020 eingereichten Sammelklage gegen Zynga ist aus dieser Quelle nicht belegt.

Am 04.04.2016 wurde bekannt, dass eine Datenbank mit personenbezogenen Informationen von 49,6 Millionen türkischen Bürgern im Internet veröffentlicht wurde, nahezu die gesamte damalige wahlberechtigte Bevölkerung des Landes. Die rund 6,6 Gigabyte große SQL-Datei enthielt vollständige Namen, Adressen, Namen der Eltern, Geburtsdatum und Geburtsort sowie die nationale Identifikationsnummer der Betroffenen. Die Daten stammten offenbar aus dem zentralen Bevölkerungsregister MERNIS und gingen auf einen älteren Auszug eines Wählerverzeichnisses aus den Jahren 2008 oder 2009 zurück. Unbekannte hatten die Daten zunächst gegen Bezahlung angeboten, bevor der vollständige unverschlüsselte Datensatz frei zugänglich veröffentlicht wurde. Auf der Veröffentlichungsseite protestierten die Urheber gegen die türkische Regierung unter Präsident Recep Tayyip Erdogan und zeigten dessen persönliche Daten als Beispiel. Am 06.04.2016 leitete die türkische Staatsanwaltschaft Ermittlungen wegen der Veröffentlichung ein. Justizminister Bekir Bozdag kündigte an, den Schutz der Bürgerdaten künftig gesetzlich zu verbessern. Zum Zeitpunkt der Berichterstattung hatte sich niemand öffentlich zu der Veröffentlichung bekannt.

Aus der Quelle geht nicht hervor, wer die Daten ursprünglich beschaffte oder verkaufte, wie genau der Zugriff auf MERNIS erfolgte und ob die eingeleiteten Ermittlungen zu einer Anklage oder Verurteilung führten.

Am 27.03.2016 hackten die Gruppen Anonymous Philippines und LulzSec Pilipinas die Website der philippinischen Wahlkommission COMELEC, verunstalteten sie und veröffentlichten anschließend eine rund 340 Gigabyte große Datenbank mit Informationen zu etwa 55 Millionen registrierten Wählern. Die veröffentlichten Daten enthielten vollständige Namen, Geburtsdaten, Adressen und Familienstand, außerdem Passnummern und Ablaufdaten von 1,3 Millionen im Ausland lebenden philippinischen Wählern sowie rund 15,8 Millionen Fingerabdruckdatensätze. Der Vorfall gilt als der größte Datenleck eines privaten oder staatlichen Datenbestands in der philippinischen Geschichte. Am 20.04.2016 nahmen die Behörden den 20-jährigen Paul Biteng fest, der die Verunstaltung der Website gestand, eine Beteiligung am Datendiebstahl jedoch bestritt. Am 28.04.2016 folgte die Festnahme des 23-jährigen Joenel de Asis, der den Download und die Weiterverbreitung der Wählerdatenbank einräumte; beide wurden nach dem Cybercrime Prevention Act von 2012 angeklagt. Die philippinische Datenschutzbehörde National Privacy Commission stellte am 28.12.2016 einen Verstoß der COMELEC gegen den Data Privacy Act von 2012 fest und empfahl die strafrechtliche Verfolgung des damaligen COMELEC-Vorsitzenden Andres Bautista. Die Website wehaveyourdata.com, über die die geleakten Wählerdaten abrufbar waren, wurde mit Unterstützung des US-Justizministeriums abgeschaltet.

Aus dieser Quelle nicht belegt sind der rechtskräftige Ausgang der Strafverfahren gegen Biteng und de Asis sowie etwaige finanzielle Bußgelder gegen COMELEC; die empfohlene strafrechtliche Verfolgung von Andres Bautista wird als Empfehlung der Datenschutzbehörde dokumentiert, ein tatsächliches Gerichtsverfahren gegen ihn wird nicht bestätigt.

Am 12.05.2021 bot ein Nutzer mit dem Pseudonym Kotz im Hackerforum RaidForums persönliche Daten von angeblich 279 Millionen lebenden und verstorbenen Personen aus Indonesien zum Verkauf an. Die Daten sollen aus dem System der staatlichen Gesundheits- und Sozialversicherungsanstalt BPJS Kesehatan stammen und Namen, nationale Identitätsnummern, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Geburtsorte sowie Gehaltsangaben enthalten. Kotz verlangte für den vollständigen Datensatz 2 Bitcoin, umgerechnet rund 74.906 US-Dollar, und veröffentlichte zunächst etwa 1 bis 2 Millionen Datensätze kostenlos als Probe. Das indonesische Kommunikations- und Informatikministerium Kominfo bestätigte am 23.05.2021 durch Sprecher Dedy Permadi, dass die veröffentlichten Proben mit den Daten von BPJS Kesehatan übereinstimmten, stufte jedoch nur rund 100.000 der 1 Million geprüften Einträge als gültig ein. Das Ministerium sperrte daraufhin die Download-Links sowie den Zugang zu raidforums.com. BPJS Kesehatan, das zu diesem Zeitpunkt rund 224 Millionen aktive Versicherte betreute, erklärte, den Ursprung der Daten zu prüfen, und erstattete bei der indonesischen Polizeibehörde Bareskrim Anzeige wegen des mutmaßlichen Datenverkaufs durch den Account Kotz. Die tatsächliche Identität hinter dem Pseudonym Kotz wurde öffentlich nicht bekanntgegeben.

Zeitgenössische Quellen von 2021 nennen als Anbieter der Daten den Forumsaccount Kotz, nicht den erst ab September 2022 öffentlich bekannten Hacker Bjorka; eine bestätigte Verbindung zwischen Kotz und Bjorka existiert nicht. Die genaue Angriffsmethode, die reale Identität hinter dem Pseudonym Kotz und der Ausgang der polizeilichen Ermittlungen sind nicht dokumentiert.

Anfang Februar 2020 entdeckten der Sicherheitsaktivist Noam Rotem und der Webentwickler Ran Bar-Zik eine Sicherheitslücke in der Website der App Elector, die von der Softwarefirma Feed-b im Auftrag der israelischen Regierungspartei Likud unter Ministerpräsident Benjamin Netanyahu betrieben wurde. Die Lücke legte das vollständige israelische Wählerregister mit Daten von 6.453.255 Wahlberechtigten offen, darunter vollständige Namen, Wohnadressen, Ausweisnummern, Geschlecht und teilweise Telefonnummern. Benutzernamen und Passwörter der Systemadministratoren waren im Quelltext der Webseite im Klartext sichtbar, sodass der Zugriff auf die gesamte Datenbank ohne besondere Hackingkenntnisse möglich war. Die Entdeckung wurde am 10.02.2020 öffentlich bekannt, rund drei Wochen vor der israelischen Parlamentswahl am 02.03.2020. Neben Likud griffen auch die Parteien Jisra'el Beitenu und Schas für ihre Wahlkampagnen auf das Register zu. Feed-b bezeichnete den Vorfall gegenüber israelischen Medien als einmaligen, sofort behobenen Zwischenfall. Die israelische Datenschutzbehörde Privacy Protection Authority leitete eine Untersuchung ein und kündigte im Oktober 2020 gegenüber Likud, Jisra'el Beitenu und der Firma Elector mögliche Bußgelder in Höhe von bis zu mehreren zehntausend Schekel an. Mehrere betroffene Bürger reichten zudem eine Sammelklage gegen Likud und Elector über eine Million Schekel ein.

Unklar bleibt, in welcher genauen Höhe die israelische Datenschutzbehörde am Ende tatsächlich Bußgelder gegen Likud, Jisra'el Beitenu und Elector verhängte und wie viele Personen die offengelegten Daten vor der Schließung der Seite tatsächlich heruntergeladen haben. Auch der endgültige Ausgang der gegen Likud und Elector eingereichten Sammelklage ist durch diese Quelle nicht abschließend belegt.

Das Sicherheitsforscherteam von vpnMentor unter Leitung von Noam Rotem und Ran Locar entdeckte im September 2019 einen frei zugänglichen, unverschlüsselten Elasticsearch-Server mit rund 18 Gigabyte an Datensätzen zu etwa 20 Millionen Personen. Der Server stand in Miami, Florida, und gehörte dem ecuadorianischen Beratungsunternehmen Novaestrat, das Dienstleistungen in Datenanalyse, Marketing und Softwareentwicklung anbietet. Da Ecuador zum Zeitpunkt des Vorfalls etwa 16,6 Millionen Einwohner zählte, waren rechnerisch mehr Datensätze betroffen als das Land Einwohner hat, weil auch verstorbene Personen und Kinder erfasst waren. Offengelegt wurden vollständige Namen, Geburtsdaten, nationale Identifikationsnummern (Cedula), Adressen, Telefonnummern, E-Mail-Adressen, Angaben zu Familienangehörigen, Arbeitgeber- und Gehaltsdaten sowie Bankkontoinformationen der Staatsbank Biess und Fahrzeugregisterdaten des Automobilverbands Aeade. Die Daten stammten offenbar aus mehreren Quellen, darunter staatliche Register, die private Bank Biess und der Automobilverband Aeade. Nach Kontaktaufnahme durch vpnMentor wurde der Server am 11.09.2019 gesichert und war nicht mehr öffentlich zugänglich. Am 16.09.2019 nahmen ecuadorianische Ermittler William Roberto G., den gesetzlichen Vertreter von Novaestrat, fest. Der Vorfall gilt als eines der größten bekannten Datenlecks Lateinamerikas gemessen an der Zahl der Betroffenen im Verhältnis zur Landesbevölkerung.

Aus der vpnMentor-Quelle nicht belegt sind das genaue Datum der Erstentdeckung des offenen Servers sowie technische Details zur Ursache der Fehlkonfiguration. Ebenfalls nicht dokumentiert sind der weitere Ausgang des Ermittlungsverfahrens gegen den Novaestrat-Vertreter und eventuelle Bußgelder oder ein späteres Gerichtsurteil.

Am 14.09.2020 veröffentlichte ein internationales Medienkonsortium Rechercheergebnisse zu einem Datenleck der chinesischen Firma Shenzhen Zhenhua Data Information Technology Co., Ltd. Ein anonymer Whistleblower in China hatte die Datenbank dem US-Akademiker Christopher Balding zugespielt, der sie gemeinsam mit der australischen Cybersicherheitsfirma Internet 2.0 auswertete. Die von Zhenhua betriebene Overseas Key Information Database (OKIDB) enthielt Profile von rund 2,4 Millionen Personen weltweit, von denen Internet 2.0 etwa 250.000 Datensätze wiederherstellen und analysieren konnte. Darunter waren rund 52.000 US-Amerikaner, 35.558 Australier, 9.700 Briten, 10.000 Inder und 5.000 Kanadier sowie Politiker wie der britische Premierminister Boris Johnson, der australische Premierminister Scott Morrison und der österreichische Bundespräsident Alexander Van der Bellen. Die Profile enthielten Geburtsdaten, Adressen, Familienstand, politische Verbindungen sowie Konten von Twitter, Facebook, LinkedIn, Instagram und TikTok; nach Angaben der Analysten stammten rund 20 Prozent der Daten nicht aus offen zugänglichen Quellen, sondern unter anderem aus Bankunterlagen und Bewerbungsunterlagen. Zhenhua Data wird über die China Zhenhua Electronics Group von der staatlichen China Electronics Corporation kontrolliert, und das Unternehmen nannte laut den Rechercheuren die Volksbefreiungsarmee und die Kommunistische Partei Chinas als Hauptkunden.

Ob und in welchem Umfang die chinesische Regierung oder Geheimdienste die Profile tatsächlich für konkrete nachrichtendienstliche Operationen genutzt haben, ist durch diese Quelle nicht belegt. Auch eine offizielle Stellungnahme oder Bestreitung durch Zhenhua Data beziehungsweise die chinesische Regierung sowie rechtliche oder finanzielle Konsequenzen für das Unternehmen werden im Artikel nicht dokumentiert.

Die US-Nachrichtenseite BuzzFeed News berichtete am 02.04.2018, dass die Dating-App Grindr sensible Nutzerdaten an die Drittfirmen Apptimize und Localytics weitergab. Grundlage war eine Analyse des norwegischen Forschungsinstituts SINTEF im Auftrag des schwedischen Senders SVT, die von BuzzFeed News unabhängig überprüft wurde. Zu den weitergegebenen Daten gehörten der HIV-Status samt Datum des letzten Tests, die GPS-Position, die Telefon-ID, die E-Mail-Adresse, die sexuelle Orientierung, die ethnische Zugehörigkeit, der Beziehungsstatus sowie die selbst gewählte Tribe-Kategorie. Grindr gab zum Zeitpunkt der Veröffentlichung 3,6 Millionen täglich aktive Nutzer weltweit an. Der SINTEF-Forscher Antoine Pultier erklärte, das Hauptproblem sei die Verknüpfung des HIV-Status mit den übrigen persönlichen Angaben zu einer Person. Grindr-Technikchef Scott Chen bezeichnete die Weitergabe zunächst als in der App-Branche übliche Praxis unter strengen Vertragsbedingungen. Nach der Veröffentlichung kündigte Grindr an, die Übermittlung des HIV-Status an Apptimize und Localytics zu beenden. Teile der Daten waren laut dem Bericht unverschlüsselt im Klartext übertragen worden.

Der Artikel belegt nicht, wie lange die Datenweitergabe bereits vor 2018 bestand oder ob Apptimize und Localytics die HIV-Daten für eigene Zwecke auswerteten. Eine mögliche behördliche Sanktion oder ein Bußgeld wegen dieses konkreten Vorfalls wird in dieser Quelle nicht behandelt.

Der US-Bildungssoftware-Anbieter PowerSchool mit Sitz in Folsom, Kalifornien, wurde Ende Dezember 2024 Opfer eines schwerwiegenden Datendiebstahls. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten eines Mitarbeiters bzw. Subunternehmers Zugriff auf das Kundenportal PowerSource und blieb dabei rund neun Tage unentdeckt. Betroffen waren die Daten von mehr als 60 Millionen Schülern und rund 9,5 Millionen Lehrkräften in den USA und Kanada, darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, medizinische Informationen und Angaben zu sonderpädagogischem Förderbedarf. PowerSchool zahlte den Angreifern nach eigenen Angaben rund 2,85 Millionen US-Dollar in Bitcoin, um die Veröffentlichung der Daten zu verhindern, die gestohlenen Daten wurden jedoch nicht gelöscht und einzelne Schulbezirke später zusätzlich erpresst. Als Täter wurde der damals 19-jährige Matthew Lane aus Massachusetts identifiziert, der sich schuldig bekannte. Ein US-Bundesgericht verurteilte Lane zu vier Jahren Haft, drei Jahren anschließender Bewährungsaufsicht, einer Geldstrafe von 25.000 US-Dollar sowie rund 14 Millionen US-Dollar Wiedergutmachungszahlung an PowerSchool. Die Gesamtkosten des Vorfalls für PowerSchool inklusive Identitätsschutz-Maßnahmen für Betroffene wurden mit über 14 Millionen US-Dollar beziffert.

Die genaue Zahl der tatsächlich von besonders sensiblen Daten wie Sozialversicherungsnummern betroffenen Personen ist nicht einheitlich belegt, da der Umfang je nach Schulbezirk stark variierte. Der Ausgang der laufenden Sammelklagen gegen PowerSchool sowie der Verbleib des größten Teils des gezahlten Lösegelds sind bislang nicht abschließend geklärt.

Ab dem 27.05.2023 nutzte die russischsprachige Ransomware-Gruppe Cl0p (auch Clop) eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Dateiübertragungssoftware MOVEit Transfer des US-Herstellers Progress Software aus, um über eine eigens entwickelte Webshell Daten von den Servern betroffener Organisationen zu stehlen. Progress Software veröffentlichte den ersten Patch am 31.05.2023, in den folgenden Monaten wurden weitere Schwachstellen bekannt, darunter CVE-2023-35036 und CVE-2023-35708. Bis Mitte Juli 2023 waren mehr als 2.650 Organisationen betroffen, die Zahl stieg bis Ende 2023 nach verschiedenen Auswertungen auf über 2.700. Nach Angaben vom 18.10.2023 waren zu diesem Zeitpunkt Daten von rund 66 Millionen Menschen offengelegt, spätere Gesamtauswertungen gehen von deutlich mehr als 90 Millionen betroffenen Personen aus. Zu den namentlich bekannten Opfern zählen British Airways, die BBC, die US-Universitätsdatenclearingstelle National Student Clearinghouse, die Wirtschaftsprüfungsgesellschaften Deloitte, Ernst & Young und PwC sowie das US-Außenministerium. Progress Software bezifferte die eigenen Reaktionskosten bis zum 31.08.2023 auf 2,9 Millionen US-Dollar, gegen das Unternehmen wurden mehr als 58 Sammelklagen eingereicht, und die US-Börsenaufsicht SEC leitete am 02.10.2023 eine Untersuchung per Vorladung ein.

Die genaue Gesamtzahl betroffener Organisationen und Personen schwankt je nach Erhebungszeitpunkt und Quelle zwischen rund 2.500 und über 2.770 Organisationen sowie zwischen 66 und rund 96 Millionen Einzelpersonen. Der Ausgang der Sammelklagen gegen Progress Software war noch nicht rechtskräftig entschieden, eine SEC-Untersuchung wurde 2024 ohne Maßnahme eingestellt.

Der australische Kredit- und Finanzdienstleister Latitude Financial Services meldete am 16.03.2023 einen Cyberangriff, bei dem Angreifer mit gestohlenen Zugangsdaten eines Mitarbeiters auf Systeme zweier externer Dienstleister zugriffen, die Kundendaten von Latitude verwalteten. Zunächst nannte das Unternehmen rund 328.000 betroffene Personen, korrigierte die Zahl jedoch am 27.03.2023 drastisch auf etwa 14 Millionen Kunden in Australien und Neuseeland. Gestohlen wurden unter anderem rund 7,9 Millionen Führerscheinnummern, davon etwa 3,2 Millionen aus den letzten zehn Jahren, sowie rund 53.000 Passnummern, dazu Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen. Damit gilt der Vorfall als der bis dahin größte Diebstahl von Identitätsdokumenten in der australischen Geschichte. Die australische Datenschutzbehörde OAIC kündigte am 10.05.2023 gemeinsam mit der neuseeländischen Datenschutzbehörde eine gemeinsame Untersuchung der Datenschutzpraktiken der Latitude-Gruppe an. Latitude bezifferte die durch den Vorfall verursachten Vorsteuerkosten und Rückstellungen später auf rund 76 Millionen australische Dollar. Latitude Financial ist einer der größten Anbieter von Konsumentenkrediten und Ratenzahlungen in Australien und Neuseeland.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und ein Abschlussdatum der OAIC/OPC-Untersuchung sowie etwaige später verhängte Bußgelder gegen Latitude; auch die Identität der Angreifer bzw. ein mögliches Bekennerschreiben werden hier nicht bestätigt.

Seit Juni 2022 verwehrt der US-Freizeit- und Sportkonzern Madison Square Garden Entertainment (MSGE) Anwältinnen und Anwälten von Kanzleien, die aktive Klagen gegen das Unternehmen führen, den Zutritt zu seinen Veranstaltungsorten, solange das jeweilige Verfahren läuft. Durchgesetzt wird das Betretungsverbot mit Gesichtserkennungssoftware, die MSGE nach eigenen Angaben bereits seit 2018 an den Eingängen von Madison Square Garden, Radio City Music Hall, Hulu Theater und Beacon Theatre einsetzt. Fotos der betroffenen Anwälte werden von den Webseiten ihrer Kanzleien in eine interne Sperrliste eingespeist und beim Einlass automatisch mit den erfassten Gesichtern der Besucher abgeglichen. Bundesweite Aufmerksamkeit erhielt die Praxis, nachdem die Anwältin Kelly Conlon von der New Jersey Kanzlei Davis, Saperstein and Salomon am Wochenende nach Thanksgiving Ende November 2022 beim Besuch der Rockettes-Show Christmas Spectacular in der Radio City Music Hall per Gesichtserkennung erkannt und trotz gültigem Ticket des Saals verwiesen wurde, obwohl sie eine Pfadfindergruppe ihrer Tochter begleitete. MSGE erklärte, alle betroffenen Kanzleien seien vorab über die Regelung informiert worden. Nach Recherchen der New Yorker Generalstaatsanwältin Letitia James, die MSGE am 25.01.2023 offiziell zur Stellungnahme aufforderte, betraf das Verbot Anwälte aus mehr als 90 Kanzleien. James warnte, das Verbot und der Einsatz der Gesichtserkennung zu seiner Durchsetzung könnten gegen New Yorker Bürger- und Menschenrechtsgesetze verstoßen.

Aus dem Bericht geht nicht hervor, an welchem genauen Kalendertag im November 2022 Conlon abgewiesen wurde und wie der zum Zeitpunkt der Berichterstattung noch offene Rechtsstreit letztlich ausging.

Der finnische Psychotherapie-Anbieter Vastaamo, mit rund 40.000 behandelten Patienten der größte private Anbieter des Landes, wurde erstmals im November 2018 gehackt; die Datenbank blieb bis März 2019 unbemerkt kompromittiert. Ursache war eine ungesicherte Datenbank ohne Verschlüsselung, deren Root-Zugang lediglich mit dem Nutzernamen und Passwort root/root gesichert war. Der Angreifer Aleksanteri (Julius) Kivimäki erbeutete Patientendaten von etwa 33.000 Personen, darunter Namen, Personenkennzeichen und detaillierte Therapienotizen. Nachdem Vastaamo eine Lösegeldforderung von 40 Bitcoin, umgerechnet rund 450.000 Euro, nicht zahlte, veröffentlichte Kivimäki ab dem 21.10.2020 Patientendaten im Darknet und schickte tausenden Patienten direkt E-Mails mit der Forderung von 200 Euro, die sich bei Nichtzahlung innerhalb von 24 Stunden auf 500 Euro erhöhte. Rund 30.000 Patienten erhielten individuelle Erpresser-Nachrichten. Vastaamo meldete infolge des Vorfalls Insolvenz an. Die finnische Datenschutzaufsicht verhängte im Dezember 2021 ein Bußgeld von 608.000 Euro gegen das Unternehmen wegen Verstößen gegen die DSGVO. Kivimäki wurde im Februar 2023 in Frankreich unter falscher Identität festgenommen und nach Finnland ausgeliefert. Am 30.04.2024 verurteilte ihn ein finnisches Bezirksgericht wegen schwerer Datenrechtsverletzung sowie rund 21.000 Fällen versuchter und 20 Fällen vollendeter schwerer Erpressung zu sechs Jahren und drei Monaten Haft.

Die genaue Zahl der individuell erpressten Patienten schwankt je nach Quelle zwischen rund 22.000 und 30.000. Der Ausgang eines späteren Berufungsverfahrens sowie tatsächlich geleistete Entschädigungen an die Betroffenen sind in dieser Quelle nicht dokumentiert.