Quellen-Tabelle

Am 12.09.2013 gab Vodafone Deutschland bekannt, dass bei einem Cyberangriff persönliche Daten und Kontoinformationen von zwei Millionen Kunden gestohlen wurden. Der Angriff erfolgte laut Vodafone mit hoher krimineller Energie und mutmaßlichem Insiderwissen tief in der IT-Infrastruktur des Unternehmens; gestohlen wurden Namen, Adressen, Geburtsdaten, Geschlecht sowie Bankkontonummern und Bankleitzahlen, jedoch keine Passwörter oder PINs. Vodafone entdeckte den Angriff selbst und konnte ihn stoppen; die Behörden identifizierten einen Verdächtigen und durchsuchten dessen Wohnung, woraufhin Vodafone die zwei Millionen Betroffenen per Brief informierte.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Am 10. Januar 2023 wurde der britische Postdienst Royal Mail Ziel eines Ransomware-Angriffs mit der Schadsoftware LockBit Black, der Drucksysteme fuer Zoll- und Versandetiketten am internationalen Verteilzentrum in Langley bei Heathrow sowie an weiteren Standorten verschluesselte. In der Folge kam der internationale Post- und Paketversand praktisch zum Erliegen, Kunden konnten wochenlang keine Sendungen ins Ausland aufgeben. Die Angreifer forderten zunaechst 80 Millionen US-Dollar Loesegeld, was nach ihrer eigenen Berechnung 0,5 Prozent des Jahresumsatzes von Royal Mail entsprach, und senkten die Forderung am 1. Februar 2023 auf 70 Millionen US-Dollar. Royal Mail bezeichnete die Forderung als absurd, zahlte kein Loesegeld und folgte damit dem Rat der Ermittlungsbehoerden. LockBit veroeffentlichte daraufhin im Februar 2023 Verhandlungsprotokolle sowie gestohlene Unternehmensdaten. Ab dem 19. Januar 2023 nahm Royal Mail eingeschraenkte internationale Dienste ueber Notloesungen wieder auf, vollstaendig wiederhergestellt war der Auslandsversand erst Ende Februar 2023. National Cyber Security Centre und National Crime Agency ermittelten gemeinsam zu dem Vorfall. Der Inlandsversand in Grossbritannien war von dem Angriff nicht betroffen. Nach eigenen Angaben kostete die Bewaeltigung des Vorfalls Royal Mail mehr als 10 Millionen britische Pfund.

Aus der zitierten Quelle nicht abschliessend belegt sind die genaue Anzahl und Art der tatsaechlich von LockBit abgeflossenen Datensaetze sowie die interne Verantwortlichkeit innerhalb der LockBit-Struktur, da die Gruppe selbst zeitweise bestritt, hinter dem Angriff zu stehen.

Der australische Krankenversicherer Medibank, mit rund 9,7 Millionen Kunden das groesste Unternehmen seiner Art im Land, meldete am 13.10.2022 einen Cyberangriff. Die Angreifer erlangten Zugang ueber gestohlene Zugangsdaten eines Drittanbieters, dessen Systeme keine Mehrfaktor-Authentifizierung nutzten, und exfiltrierten laut Ermittlungen rund 200 Gigabyte an Daten. Betroffen waren Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, teils Medicare- und Passnummern sowie Gesundheits- und Behandlungsdaten der Versicherten, darunter Diagnosecodes zu Abtreibungen, Suchtbehandlungen, HIV-Infektionen und psychischen Erkrankungen. Die mutmasslich mit der russischsprachigen Ransomware-Gruppe REvil verbundenen Taeter forderten ein Loesegeld von rund 10 Millionen US-Dollar, umgerechnet etwa einem US-Dollar pro betroffenem Kunden. Medibank lehnte die Zahlung Anfang November 2022 unter Verweis auf die australische Regierung ab. Daraufhin veroeffentlichten die Angreifer ab dem 9. und 10.11.2022 gestohlene Datensaetze im Darknet, darunter eine als "abortions.csv" bezeichnete Datei sowie eine Liste mit Daten zu Drogen-, Alkohol- und psychischen Erkrankungen. Die australische Datenschutzbehoerde OAIC reichte spaeter Klage gegen Medibank ein und wirft dem Unternehmen vor, von Maerz 2021 bis Oktober 2022 keine angemessenen Schutzmassnahmen fuer die Daten von 9,7 Millionen Australiern getroffen zu haben. Medibank bezifferte die Gesamtkosten des Vorfalls bis Mitte 2025 auf mehr als 125 Millionen australische Dollar.

Aus dieser Quelle nicht belegt: der genaue Ausgang des laufenden Zivilverfahrens der OAIC gegen Medibank sowie eine abschliessend bestaetigte Hoehe der verhaengten Strafzahlung, da das Verfahren zum Zeitpunkt der Recherche noch nicht rechtskraeftig abgeschlossen war.

Die kanadische Finanzgenossenschaft Desjardins Group gab am 20. Juni 2019 bekannt, dass ein Mitarbeiter über rund 26 Monate unbefugt persönliche Daten von Kundinnen und Kunden entwendet hatte. Nach ergänzenden Untersuchungen bezifferte Desjardins das Ausmaß 2020 auf etwa 9,7 Millionen betroffene Personen in Kanada und im Ausland, den bis dahin größten Datendiebstahl in der Geschichte des kanadischen Finanzsektors. Betroffen waren Vor- und Nachnamen, Geburtsdaten, Sozialversicherungsnummern, Adressen, Telefonnummern, E-Mail-Adressen und Transaktionshistorien. Der Täter, ein Mitarbeiter der Marketingabteilung, nutzte aus, dass Kolleginnen und Kollegen vertrauliche Kundendaten entgegen den internen Richtlinien aus geschützten Systemen auf ein für das gesamte Marketingteam zugängliches gemeinsames Laufwerk kopiert hatten. Er übertrug die Daten auf USB-Sticks und verkaufte sie über mehrere Monate hinweg an Dritte. Desjardins entdeckte den Diebstahl nicht selbst, sondern wurde Ende 2018 durch die Polizei im Rahmen einer anderen Ermittlung darauf aufmerksam. Die Bundesdatenschutzbehörde OPC und die Quebecer Aufsichtsbehörde CAI stellten in einem gemeinsamen Bericht vom November 2020 fest, dass Desjardins bekannte Sicherheitsmängel bei Zugriffskontrolle und Überwachung nicht rechtzeitig behoben hatte, und verpflichteten das Unternehmen zu externen Sicherheitsaudits sowie verbesserten Kontrollen. Im Dezember 2021 erhielt eine Sammelklage-Einigung im Umfang von bis zu rund 200 Millionen kanadischen Dollar für Entschädigung und Kreditüberwachung der Betroffenen die gerichtliche Genehmigung.

Die genaue Opferzahl wurde von Desjardins im Zeitverlauf mehrfach nach oben korrigiert (zunächst rund 2,7 bis 2,9 Millionen, später 9,7 Millionen), und das Strafverfahren gegen den 2024 verhafteten mutmaßlichen Haupttäter war zum Zeitpunkt der Recherche noch nicht rechtskräftig abgeschlossen.

Am 15. Juli 2020 verschafften sich Angreifer durch einen telefonischen Spear-Phishing-Angriff auf Twitter-Mitarbeiter Zugangsdaten zu einem internen Support-Tool des Unternehmens. Mit diesem Zugriff nahmen sie laut Twitters eigener Stellungnahme insgesamt 130 Accounts ins Visier, tweeteten von 45 dieser Konten, griffen bei 36 Konten auf das Nachrichtenpostfach zu und luden bei 7 Konten die gespeicherten Twitter-Daten herunter. Betroffen waren unter anderem die Accounts von Barack Obama, Joe Biden, Bill Gates, Elon Musk, Jeff Bezos, Kanye West und Kim Kardashian West sowie die Firmenaccounts von Apple und Uber. Die gekaperten Accounts veröffentlichten Tweets mit dem Versprechen, eingesendete Bitcoin-Zahlungen verdoppelt zurückzusenden, zusammen mit einer Bitcoin-Wallet-Adresse. Nach Angaben des New York State Department of Financial Services erbeuteten die Täter dabei mehr als 118.000 US-Dollar in Bitcoin. Im Juli 2020 wurde der damals 17-jährige Graham Ivan Clark aus Florida als mutmaßlicher Kopf der Aktion festgenommen und im März 2021 zu drei Jahren Jugendhaft verurteilt. Zwei weitere Mitverdächtige, Mason Sheppard und Nima Fazeli, wurden ebenfalls strafrechtlich angeklagt. Twitter reagierte mit einer vorübergehenden Einschränkung der Tweet-Funktion für viele verifizierte Accounts und kündigte strengere interne Zugriffskontrollen sowie zusätzliche Mitarbeiterschulungen an.

Der offizielle Twitter-Blogbeitrag selbst nennt keine Schadenssumme und keine Namen von Verdächtigen; diese Angaben stammen aus separaten Ermittlungen von US-Justizbehörden und dem New York State Department of Financial Services. Ob neben den drei strafrechtlich verfolgten Personen weitere Beteiligte oder Hintermänner agierten, ist nicht abschließend geklärt.

Marriott International teilte am 31.03.2020 mit, dass Unbekannte zwischen Mitte Januar 2020 und Ende Februar 2020 auf Gästedaten von schätzungsweise 5,2 Millionen Personen zugreifen konnten. Die Angreifer nutzten dabei die Login-Daten von zwei Mitarbeitern eines Franchise-Hotels der Kette, um sich Zugang zu einer Anwendung zu verschaffen, mit der Marriott-Franchisenehmer Gästeservices verwalten. Marriott entdeckte den unautorisierten Zugriff Ende Februar 2020 und deaktivierte daraufhin die betroffenen Zugangsdaten. Zu den kompromittierten Daten gehörten Namen, Geschlecht, Geburtstag und -monat, Adressen, Telefonnummern, E-Mail-Adressen, Arbeitgeberangaben, Treueprogramm-Informationen einschließlich verknüpfter Fluggesellschaftskonten sowie Präferenzen zum Hotelaufenthalt. Nach Angaben des Unternehmens waren Zahlungskartendaten, Passwörter und PINs der Bonvoy-Konten, Passnummern sowie nationale Ausweis- und Führerscheinnummern nicht betroffen. Marriott setzte anschließend die Passwörter aller Bonvoy-Mitglieder zurück, informierte die betroffenen Gäste per E-Mail, richtete ein Online-Portal zur Überprüfung des eigenen Betroffenenstatus ein und bot ein Jahr kostenloses Identitätsüberwachungs-Monitoring durch Experian IdentityWorks an. Es handelte sich um den zweiten großen Datenschutzvorfall bei Marriott nach dem Starwood-Leck von 2018 mit rund 339 Millionen betroffenen Datensätzen weltweit.

Aus dieser Quelle nicht belegt sind der genaue Name des betroffenen Franchise-Hotels sowie die exakte Zahl und Identität der involvierten Täter; auch etwaige Bußgelder oder rechtliche Konsequenzen speziell für diesen 2020er-Vorfall werden hier nicht dokumentiert.

Am 20.02.2024 gab die britische National Crime Agency (NCA) gemeinsam mit dem FBI, Europol, Eurojust und Strafverfolgungsbehörden aus insgesamt zehn Ländern die Zerschlagung der Ransomware-Gruppe LockBit im Rahmen der "Operation Cronos" bekannt. Die Ermittler übernahmen die Kontrolle über die Darknet-Infrastruktur von LockBit, darunter die Leak-Website, und ersetzten sie durch eigene Mitteilungen. Insgesamt wurden 34 Server in den Niederlanden, Deutschland, Finnland, Frankreich, der Schweiz, Australien, den USA und Großbritannien beschlagnahmt. Von den beschlagnahmten Servern sicherten die Ermittler mehr als 1.000 Entschlüsselungsschlüssel, mit denen Opfer ihre verschlüsselten Daten wiederherstellen können. Zudem wurden mehr als 14.000 für den Betrieb von LockBit genutzte Nutzerkonten identifiziert und mehr als 200 Kryptowährungskonten eingefroren. Zwei mutmaßliche LockBit-Mitglieder wurden in Polen und der Ukraine festgenommen, an der Operation waren unter anderem auch das deutsche Bundeskriminalamt (BKA) und das LKA Schleswig-Holstein beteiligt. LockBit galt zu diesem Zeitpunkt als eine der aktivsten Ransomware-Gruppen weltweit mit mehreren tausend Opfern seit 2019.

Aus dieser Quelle nicht belegt sind die genaue Gesamtsumme der von LockBit erpressten Zahlungen sowie die vollständige Identität des Hauptbetreibers, der erst Monate später (Mai 2024) namentlich benannt wurde; auch der langfristige Erfolg der Zerschlagung ist unklar, da LockBit nach der Operation Teile seiner Aktivitäten wiederaufnahm.

Am 04.08.2022 stellte das US-Unternehmen Twilio Inc., ein Anbieter von Cloud-Kommunikationsdiensten, fest, dass Angreifer über eine SMS-Phishing-Kampagne (Smishing) Zugriff auf interne Systeme erlangt hatten. Ab Mitte Juli 2022 versendeten die Angreifer Textnachrichten an aktuelle und ehemalige Twilio-Mitarbeiter, die vorgaben, von der IT-Abteilung zu stammen und ein angeblich abgelaufenes Passwort zu betreffen. Die enthaltenen Links führten zu gefälschten Okta-Anmeldeseiten auf Domains wie twilio-sso.com und twilio-okta.net, auf denen Zugangsdaten abgegriffen wurden. Mit diesen Zugangsdaten verschafften sich die Angreifer Zugriff auf interne Twilio-Systeme und darüber auf Kundendaten. Laut dem am 27.10.2022 abgeschlossenen Untersuchungsbericht von Twilio waren 209 von insgesamt mehr als 270.000 Kunden betroffen. Zusätzlich griffen die Angreifer auf 93 Konten der zu Twilio gehörenden Zwei-Faktor-Authentifizierungs-App Authy zu, die rund 75 Millionen Nutzer zählt, und registrierten dort zusätzliche Geräte, um Einmalcodes für verknüpfte Konten generieren zu können. Twilio erklärte, es gebe keine Hinweise darauf, dass Konsolen-Zugangsdaten, Authentifizierungs-Token oder API-Schlüssel von Kunden kompromittiert wurden. Als Reaktion entzog Twilio kompromittierte Mitarbeiterzugänge, stattete alle Beschäftigten mit FIDO2-Hardware-Sicherheitsschlüsseln aus, verschärfte VPN-Kontrollen und führte verpflichtende Schulungen zu Social Engineering ein. Sicherheitsforscher ordneten den Angriff später der Gruppe Oktapus zu, die im gleichen Zeitraum mehr als 130 Organisationen per Smishing angriff.

Aus dieser Quelle nicht belegt sind mögliche behördliche Bußgelder oder Entschädigungszahlungen sowie das genaue Ausmaß der bei den einzelnen betroffenen Firmenkunden abgegriffenen Daten. Die Zuordnung des Angriffs zur Gruppe Oktapus stammt nicht aus dem Twilio-Bericht selbst, sondern aus unabhängigen Sicherheitsanalysen Dritter.

Am 15.09.2022 wurde der Fahrdienstvermittler Uber Ziel eines schwerwiegenden Cyberangriffs auf seine internen Systeme. Ein Angreifer verschaffte sich per Social Engineering Zugang zum Uber-Konto eines externen Vertragspartners, dessen Zugangsdaten vermutlich zuvor im Darknet erworben worden waren, und überflutete ihn anschließend mit wiederholten Multi-Faktor-Authentifizierungsanfragen, bis dieser eine Anmeldung bestätigte (MFA-Fatigue-Angriff). Über den so erlangten VPN-Zugang fand der Angreifer in einem internen Netzwerkverzeichnis ein PowerShell-Skript mit hinterlegten Administrator-Zugangsdaten und weitete damit seine Rechte deutlich aus. Mit diesen erhöhten Rechten übernahm er unter anderem Ubers Slack-Arbeitsbereich, Google-Workspace-Konten, AWS- und Google-Cloud-Umgebungen sowie den HackerOne-Verwaltungsbereich und interne Mitarbeiter-Dashboards. Uber-Mitarbeiter bemerkten den Vorfall, als im firmenweiten Slack-Kanal eine Nachricht erschien, in der sich der Angreifer als Hacker zu erkennen gab und eine Datenschutzverletzung ankündigte. Uber und mehrere Medien ordneten den Angriff einem angeblich 18-jährigen Mitglied der Hackergruppe Lapsus$ zu, das später als Brite Arion Kurtaj identifiziert wurde. Uber erklärte, dass keine sensiblen Nutzerdaten wie Zahlungs- oder Bankdaten sowie keine Fahrtinformationen abgeflossen und der Quellcode nicht verändert worden seien; FBI und US-Justizministerium wurden in die Ermittlungen eingebunden. Im August 2023 wurde Kurtaj in London wegen mehrerer Straftaten im Zusammenhang mit den Uber- und Rockstar-Games-Hacks schuldig gesprochen und im Dezember 2023 zu unbefristeter Unterbringung in einer psychiatrischen Einrichtung verurteilt.

Aus der Quelle nicht unabhängig verifizierbar ist, ob Ubers Zusicherung, dass keine sensiblen Kunden- und Zahlungsdaten abgeflossen sind, extern geprüft wurde oder allein auf der eigenen internen Untersuchung des Unternehmens beruht. Auch die exakte Zuordnung des Angriffs zu genau einer Einzelperson statt zu mehreren Beteiligten der Lapsus$-Gruppe war zum Zeitpunkt der ersten Berichterstattung noch nicht gerichtsfest geklärt.

Der US-Telekommunikationskonzern AT&T bestätigte am 12.07.2024, dass Angreifer zwischen dem 14.04.2024 und dem 25.04.2024 unbefugt auf seinen Arbeitsbereich beim Cloud-Anbieter Snowflake zugegriffen und Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 bis 110 Millionen Mobilfunkkunden von AT&T sowie Kunden angeschlossener Mobilfunkanbieter entwendet haben. Betroffen waren Verbindungsdaten aus dem Zeitraum vom 01.05.2022 bis zum 31.10.2022 sowie für einen kleineren Teil der Kunden vom 02.01.2023, darunter Telefonnummern, Häufigkeit und Dauer der Kontakte sowie teilweise Kennungen von Mobilfunkmasten zur Standortnäherung. Nicht betroffen waren laut AT&T die Inhalte von Anrufen und Kurznachrichten sowie Namen, Sozialversicherungsnummern oder Geburtsdaten. Wie heise online berichtete, zahlte AT&T Mitte Mai 2024 umgerechnet rund 370.000 US-Dollar in Bitcoin an einen Hacker der Gruppe ShinyHunters, der über einen Mittelsmann verhandelte, damit die gestohlenen Daten gelöscht wurden; als Nachweis erhielt AT&T ein Video der Löschung. Ursprünglich hatte der Angreifer eine Million Dollar gefordert. Als ursprünglicher Datendieb gilt der US-Bürger John Erin Binns, der zu dieser Zeit in der Türkei lebte und bereits mit dem T-Mobile-Hack von 2021 in Verbindung gebracht worden war. Der Zugriffspunkt bei Snowflake wurde nach Angaben von AT&T inzwischen abgesichert, betroffene Kunden wurden informiert.

Die Zahlung von rund 370.000 US-Dollar stützt sich auf Aussagen eines an der Übergabe beteiligten Mittelsmanns gegenüber Journalisten sowie auf ein vorgelegtes Bitcoin-Transaktionsprotokoll; AT&T selbst hat die Zahlung öffentlich nicht bestätigt, und ob wirklich alle Kopien der Daten gelöscht wurden, bleibt laut Mittelsmann unsicher. Die oft im Zusammenhang genannte Zahl von 73 Millionen betroffenen Kunden bezieht sich auf ein separates, im März 2024 bekanntgewordenes Datenleck aus rund 2019 und nicht auf die hier beschriebenen Anruf- und SMS-Metadaten von rund 109 bis 110 Millionen Kunden.

Am 26.02.2022 entdeckte der japanische Toyota-Zulieferer Kojima Industries Corporation, Hersteller von Kunststoff- und Elektronikteilen, nach einem Fehler auf einem Dateiserver eine Virusinfektion samt englischsprachiger Drohbotschaft. Toyota Motor Corporation kündigte daraufhin an, wegen des dadurch ausgelösten Systemausfalls bei Kojima am 01.03.2022 alle 28 Fertigungslinien an allen 14 inländischen Werken in Japan für beide Schichten auszusetzen. Der eintägige Produktionsstopp kostete nach Reuters-Berechnungen rund 13.000 Fahrzeuge und betraf über gemeinsame Zulieferteile auch die mit Toyota verbundenen Marken Daihatsu und Hino. Zeitgleich meldete auch der Wasserpumpenhersteller GMB Corp, ein weiterer Toyota-Zulieferer, technische Probleme. Bereits am 02.03.2022 nahm Toyota die Produktion in der ersten Schicht wieder auf, nachdem der Datenaustausch zwischen Kojima und Toyota über ein Backup-Netzwerk wiederhergestellt worden war. Toyota rechnete zu diesem Zeitpunkt damit, dass die vollständige Systemwiederherstellung noch ein bis zwei Wochen dauern werde. Toyota-Präsident Akio Toyoda besuchte die Kojima-Zentrale rund vier Tage nach dem Vorfall. Mehrere Medien bezifferten den wirtschaftlichen Schaden aus dem eintägigen Produktionsausfall auf eine grobe Schätzung von etwa 375 Millionen US-Dollar auf Basis von Umsatz- und Absatzdaten.

Wer für den Angriff verantwortlich war und ob es sich tatsächlich um Ransomware oder einen Emotet-Bezug handelte, war laut Reuters-Bericht zum Zeitpunkt der Berichterstattung nicht bestätigt; die kolportierte Schadenssumme von rund 375 Mio. US-Dollar beruht auf einer externen Hochrechnung, nicht auf einer offiziellen Toyota-Angabe.

Der Sicherheitsforscher Jeremiah Fowler entdeckte eine frei zugängliche, nicht passwortgeschützte Datenbank des New Yorker Unternehmens Real Estate Wealth Network. Die Datenbank enthielt insgesamt 1.523.776.691 Datensätze bei einer Größe von 1,16 Terabyte. Die Daten waren in Ordnern zu Themen wie Eigentumsgeschichte, Zwangsversteigerung, Insolvenz, Scheidung, Steuerpfandrechten, Erbschaften, Gerichtsurteilen und Sterbefällen organisiert. Enthalten waren zudem interne Protokolldaten mit Namen, Adressen und Telefonnummern von Nutzern sowie Angaben zu heruntergeladenen Inhalten, die den Zeitraum vom 22. April 2023 bis zum 23. Oktober 2023 abdeckten. Unter den betroffenen Personen befanden sich zahlreiche Prominente und Politiker, darunter Britney Spears, Mark Wahlberg, Floyd Mayweather, Nancy Pelosi, Donald Trump, Kylie Jenner und Elon Musk, deren Hypothekendaten, Kreditsummen und Steuerinformationen offenlagen. Fowler informierte Real Estate Wealth Network im Rahmen einer Responsible-Disclosure-Meldung, woraufhin die Datenbank kurzfristig gesichert und der öffentliche Zugriff beendet wurde. Ein Vertreter des Unternehmens bestätigte gegenüber Fowler, dass die Datenbank dem Unternehmen gehörte, und dankte ihm für den Hinweis. Der Fund wurde am 19. Dezember 2023 von vpnMentor veröffentlicht.

Unklar bleibt, wie lange die Datenbank tatsächlich frei zugänglich war und ob neben dem Sicherheitsforscher weitere, unbefugte Dritte auf die Daten zugegriffen haben. Auch das genaue Entdeckungsdatum sowie mögliche behördliche Konsequenzen oder Strafen sind aus dieser Quelle nicht belegt.

Der US-Kosmetikkonzern Estée Lauder wurde im Juli 2023 von zwei rivalisierenden Ransomware-Gruppen gleichzeitig angegriffen. Die Gruppe BlackCat/ALPHV gab an, erstmals am 15.07.2023 Kontakt zur Unternehmensleitung aufgenommen zu haben, und drohte mit der Veröffentlichung von mehr als 130 Gigabyte gestohlener Daten, ohne dabei das Firmennetzwerk zu verschlüsseln. Parallel dazu listete die Gruppe Clop Estée Lauder auf ihrer Leak-Seite und beanspruchte den Diebstahl von mehr als 131 Gigabyte an Daten. Clop erlangte den Zugriff nach eigenen Angaben über eine Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer von Progress Software, die seit Ende Mai 2023 als Zero-Day-Lücke ausgenutzt wurde. Estée Lauder bestätigte den Vorfall am 18.07.2023 in einer Pflichtmitteilung (Form 8-K) an die US-Börsenaufsicht SEC. Der Konzern schaltete vorsorglich Teile seiner IT-Systeme ab, um eine weitere Ausbreitung im Netzwerk zu verhindern, und beauftragte externe Cybersicherheitsexperten sowie Strafverfolgungsbehörden mit der Untersuchung. Laut SEC-Mitteilung führte der Vorfall zu Störungen in Teilen des Geschäftsbetriebs, die auch über die Veröffentlichung hinaus andauern sollten. Eine konkrete Lösegeldforderung wurde von BlackCat nicht öffentlich beziffert, die Gruppe drohte jedoch mit weiterer Datenveröffentlichung bei ausbleibender Verhandlungsbereitschaft.

Aus dieser Quelle ist nicht belegt, welche konkreten Datenkategorien wie Kunden- oder Mitarbeiterdaten tatsächlich betroffen waren, ob ein Lösegeld gezahlt wurde und wie der Vorfall rechtlich oder finanziell für Estée Lauder letztlich ausging.

Die Ransomware-Gruppe LockBit listete den US-Flugzeughersteller Boeing am 27.10.2023 auf ihrer Darknet-Leak-Seite als Opfer und drohte mit der Veröffentlichung gestohlener Unternehmensdaten, falls Boeing nicht bis zum 02.11.2023 Kontakt aufnehme. Boeing bestätigte einen Cybervorfall, der nach eigenen Angaben Teile des Ersatzteil- und Distributionsgeschäfts betraf, jedoch keine Auswirkungen auf die Flugsicherheit gehabt habe. Nachdem Verhandlungen offenbar gescheitert waren, veröffentlichte LockBit die Daten bereits am 10.11.2023, früher als die zunächst angekündigte Frist vom 13.11.2023. Sicherheitsforscher bezifferten das veröffentlichte Datenpaket auf rund 40 bis 50 Gigabyte, es enthielt unter anderem Backup-Dateien, Konfigurationen von Software-Management-Systemen sowie Protokolle aus Citrix- und Telefonsystemen. Als möglicher Einfallsvektor wird die im Oktober 2023 bekannt gewordene Citrix-Bleed-Sicherheitslücke CVE-2023-4966 in Citrix-NetScaler-Systemen vermutet, eine offizielle Bestätigung durch Boeing dafür gibt es nicht. Boeing erklärte, Strafverfolgungs- und Aufsichtsbehörden informiert zu haben und den Vorfall zu untersuchen. Im Mai 2024 wurde im Zuge einer Anklage des US-Justizministeriums gegen den mutmaßlichen LockBit-Administrator Dmitry Khoroshev bekannt, dass die Angreifer ursprünglich 200 Millionen US-Dollar Lösegeld gefordert hatten, was Boeing bestätigte. Boeing zahlte das geforderte Lösegeld nicht.

Die genaue Menge und der Inhalt der veröffentlichten Daten sind nicht abschließend geklärt, Quellen nennen unterschiedliche Größenangaben zwischen rund 40 und 50 Gigabyte. Der technische Einfallsvektor (vermutlich Citrix Bleed) sowie die Identität der konkret verantwortlichen LockBit-Mitglieder wurden von Boeing nie offiziell bestätigt.

Equifax, eines der drei großen US-amerikanischen Kreditauskunftsunternehmen, gab am 07.09.2017 bekannt, dass Angreifer zwischen Mai und Ende Juli 2017 unbefugt auf seine Systeme zugegriffen hatten. Die Täter nutzten eine bekannte Sicherheitslücke in der Webanwendungs-Software Apache Struts (CVE-2017-5638) aus, für die bereits seit dem 07.03.2017 ein Patch verfügbar war, den Equifax jedoch nicht rechtzeitig installierte. Entdeckt wurde der Einbruch erst am 29.07.2017, als IT-Mitarbeiter ein abgelaufenes SSL-Zertifikat erneuerten und dabei verdächtigen Datenverkehr bemerkten. Betroffen waren die persönlichen Daten von rund 147,9 Millionen US-Bürgern (Namen, Sozialversicherungsnummern, Geburtsdaten, Adressen, teils Führerschein- und Kreditkartennummern) sowie zusätzlich etwa 15,2 Millionen Britinnen und Briten und rund 19.670 Kanadierinnen und Kanadier. CEO Richard Smith trat am 26.09.2017 zurück, nachdem am 15.09.2017 bereits der Chief Information Officer und der Chief Security Officer das Unternehmen verlassen hatten. Der Fall führte zu mehreren Anhörungen vor Ausschüssen des US-Kongresses, bei denen Smith menschliches Versagen und mangelnde interne Kommunikation als Ursachen für die verpasste Patch-Installation nannte. Am 22.07.2019 einigte sich Equifax mit der FTC, dem CFPB sowie 48 US-Bundesstaaten auf eine Vergleichszahlung von mindestens 575 Millionen US-Dollar, die bei hoher Zahl an Entschädigungsanträgen auf bis zu 700 Millionen US-Dollar steigen konnte. Zudem wurde bekannt, dass CFO John Gamble vor der öffentlichen Bekanntgabe Firmenaktien verkauft hatte, was separate Ermittlungen wegen möglichen Insiderhandels nach sich zog.

Aus dieser Quelle nicht abschließend belegt ist, wie viele der 147,9 Millionen Betroffenen tatsächlich Entschädigungszahlungen aus dem Vergleichsfonds erhielten. Die strafrechtliche Verantwortung bleibt teilweise offen: 2020 klagte das US-Justizministerium vier mutmaßliche chinesische Militärangehörige an, eine Verurteilung ist bislang nicht erfolgt.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und die New York Times Berichte, wonach die Datenanalysefirma Cambridge Analytica unrechtmäßig auf persönliche Daten von bis zu 87 Millionen Facebook-Nutzern zugegriffen hatte. Grundlage war die 2014 vom Cambridge-Forscher Aleksandr Kogan über seine Firma Global Science Research entwickelte App This Is Your Digital Life, die rund 270.000 Nutzer für eine Persönlichkeitsstudie installierten. Über die damalige Facebook-Plattformschnittstelle sammelte die App zugleich ohne deren Zustimmung Daten der Facebook-Freunde dieser Nutzer, wodurch die Gesamtzahl betroffener Profile auf bis zu 87 Millionen anstieg, davon rund 70,6 Millionen in den USA und schätzungsweise 310.000 in Deutschland. Kogan gab die Daten unter Verstoß gegen Facebooks Richtlinien an Cambridge Analytica weiter, das sie unter anderem für zielgerichtete politische Wahlwerbung im US-Präsidentschaftswahlkampf 2016 von Donald Trump einsetzte. Am 04.04.2018 bestätigte Facebook offiziell die Zahl von bis zu 87 Millionen betroffenen Nutzern. Am 10. und 11.04.2018 sagte Facebook-Chef Mark Zuckerberg vor dem US-Kongress aus. Cambridge Analytica meldete am 02.05.2018 Insolvenz an und stellte den Geschäftsbetrieb ein. Am 24.07.2019 verhängte die FTC gegen Facebook eine Geldstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen eine Datenschutzvereinbarung von 2012, die höchste bis dahin von der FTC gegen ein Unternehmen verhängte Strafe.

Aus der FTC-Pressemitteilung geht nicht hervor, in welchem konkreten Umfang die über Cambridge Analytica gewonnenen Daten tatsächlich Wahlentscheidungen im US-Wahlkampf 2016 oder beim Brexit-Referendum beeinflusst haben, dieser kausale Zusammenhang gilt als nicht belegt. Die individuelle strafrechtliche Verantwortlichkeit einzelner Cambridge-Analytica-Verantwortlicher blieb teilweise ungeklärt, da das Unternehmen vor Abschluss mehrerer Verfahren Insolvenz anmeldete.

Am 04.02.2015 gab der US-Krankenversicherer Anthem Inc. bekannt, Opfer eines Cyberangriffs auf seine IT-Systeme geworden zu sein. Die Angreifer hatten sich laut Unternehmensangaben bereits im Dezember 2014 Zugang zu den Systemen verschafft, ein Mitarbeiter entdeckte den unbefugten Zugriff am 27.01.2015. Betroffen waren die Daten von 78,8 Millionen aktuellen und ehemaligen Versicherten, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Adressen, E-Mail-Adressen sowie Beschäftigungs- und Einkommensangaben. Medizinische Behandlungsdaten und Zahlungsdaten wurden nach Unternehmensangaben nicht kompromittiert. Die Angreifer verschafften sich laut Ermittlungen des US-Justizministeriums über Spear-Phishing-E-Mails Zugang zum Netzwerk und wurden einer China-basierten Hackergruppe zugeordnet, gegen deren mutmaßliches Mitglied Fujie Wang im Mai 2019 Anklage erhoben wurde. Anthem einigte sich 2017 in einer Sammelklage auf eine Entschädigungssumme von 115 Millionen US-Dollar, zu diesem Zeitpunkt der größte Vergleich in einem Datenschutzfall in den USA. Zusätzlich zahlte Anthem 16 Millionen US-Dollar an das US-Gesundheitsministerium wegen HIPAA-Verstößen, die bis dahin höchste HIPAA-Strafzahlung. Der Fall gilt als der bis heute größte bekannt gewordene Datendiebstahl im US-Gesundheitswesen.

Aus dieser Quelle nicht abschließend belegt ist die exakte staatliche Urheberschaft: Ermittler stuften den Angriff als vermutlich staatlich gelenkt ein, ohne den Auftraggeber offiziell zu benennen, und der 2019 angeklagte Fujie Wang wurde bislang weder festgenommen noch verurteilt.

Die US-Behörde Office of Personnel Management (OPM), zuständig für die Personalverwaltung der Bundesregierung, wurde Opfer zweier miteinander verknüpfter Cyberangriffe, die zwischen 2014 und Anfang 2015 liefen. Ein erster Einbruch, entdeckt am 20.03.2014, betraf Personalakten von rund 4,2 Millionen aktuellen und ehemaligen Regierungsangestellten. Ein zweiter, schwerwiegenderer Einbruch wurde am 15.04.2015 bemerkt; dabei wurden Daten aus Sicherheitsüberprüfungsformularen (Standard Form 86) von 21,5 Millionen Personen entwendet, darunter Bewerber für Sicherheitsfreigaben sowie deren Angehörige und Kontaktpersonen. Erbeutet wurden unter anderem Sozialversicherungsnummern, Wohnorts- und Beschäftigungshistorien, Finanz- und Strafregisterdaten sowie 5,6 Millionen Fingerabdrücke. OPM bestätigte das Ausmaß der zweiten Datenpanne öffentlich am 09.07.2015. Als mutmaßlicher Urheber gilt eine staatlich gelenkte Angreifergruppe aus China, offizielle Beweise wurden von der US-Regierung jedoch nicht veröffentlicht. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 unter politischem Druck zurück. Als Folge des Vorfalls bot die US-Regierung den Betroffenen kostenlose Kreditüberwachung und Identitätsschutzdienste an.

Eine offizielle strafrechtliche Anklage oder ein rechtsverbindlicher Beweis für die chinesische Urheberschaft wurde nie veröffentlicht, die Zuordnung beruht auf Einschätzungen von US-Ermittlern und Sicherheitsforschern. Auch die genaue Zahl der tatsächlich missbrauchten Identitäten sowie etwaige finanzielle Schäden bei Betroffenen sind nicht abschließend beziffert.

Am 03.04.2016 veröffentlichten die Süddeutsche Zeitung und das International Consortium of Investigative Journalists (ICIJ) die Panama Papers, ein Datenleck von 11,5 Millionen Dokumenten mit rund 2,6 Terabyte aus der panamaischen Anwaltskanzlei Mossack Fonseca. Ein anonymer Informant unter dem Pseudonym John Doe hatte die Unterlagen 2015 dem SZ-Journalisten Bastian Obermayer zugespielt, der sie mit dem ICIJ teilte. Mehr als 350 Journalisten aus rund 80 Ländern und über 100 Medienorganisationen werteten das Material rund ein Jahr lang gemeinsam aus, bevor die Ergebnisse zeitgleich veröffentlicht wurden. Die Dokumente belegten mehr als 214.000 Offshore-Firmen und nannten 12 amtierende oder ehemalige Staats- und Regierungschefs sowie rund 140 weitere Politiker. Islands Ministerpräsident Sigmundur David Gunnlaugsson trat am 05.04.2016 wegen unversteuerter Offshore-Vermögen zurück, Pakistans Ministerpräsident Nawaz Sharif wurde 2017 vom Obersten Gerichtshof des Landes seines Amtes enthoben. Die Mossack-Fonseca-Gründer wurden im Februar 2017 in Panama wegen Geldwäsche festgenommen, die Kanzlei stellte im März 2018 ihren Geschäftsbetrieb ein. Laut ICIJ hatten Staaten bis 2021 weltweit mehr als 1,36 Milliarden US-Dollar an Steuernachzahlungen und Bußgeldern infolge der Enthüllungen eingetrieben.

Die Identität des Informanten John Doe ist bis heute nicht bekannt. Die strafrechtlichen Verfahren gegen die Kanzleigründer endeten 2024 in Panama mit Freisprüchen vom Vorwurf der Geldwäsche, was aus der zitierten ICIJ-Quelle allein nicht hervorgeht.

Die Fluggesellschaft Cathay Pacific mit Sitz in Hongkong gab am 24.10.2018 bekannt, dass unbefugte Dritte zwischen dem 14.10.2014 und Mai 2018 Zugriff auf ihre IT-Systeme hatten. Betroffen waren die persönlichen Daten von rund 9,4 Millionen Passagieren weltweit, darunter 111.578 Personen aus Großbritannien. Offengelegt wurden Namen, Nationalitäten, Geburtsdaten, Telefonnummern, E-Mail- und Postadressen, etwa 860.000 Passnummern, rund 245.000 Nummern von Hongkonger Personalausweisen sowie Vielfliegernummern und Reisehistorien. Die Angreifer drangen über einen mit dem Internet verbundenen Server ein und installierten Schadsoftware zum Abgreifen der Daten. Die britische Datenschutzbehörde ICO stellte in ihrer Untersuchung mehrere grundlegende Sicherheitsmängel fest, darunter ungeschützte Backup-Dateien, ungepatchte Server, veraltete Betriebssysteme und unzureichenden Virenschutz. Am 04.03.2020 verhängte das ICO gegen Cathay Pacific eine Geldbuße von 500.000 britischen Pfund, den zu diesem Zeitpunkt gesetzlichen Höchstbetrag nach dem alten Data Protection Act 1998. Diese Regelung galt, weil die Sicherheitslücke bereits im Mai 2018 und damit kurz vor Inkrafttreten der DSGVO am 25.05.2018 geschlossen wurde. Unter der DSGVO hätte eine Strafe von bis zu 4 Prozent des weltweiten Jahresumsatzes gedroht, was Berichten zufolge rund 470 Millionen Pfund entsprochen hätte.

Aus der Quelle geht nicht hervor, wer genau die Angreifer waren oder ob die entwendeten Daten tatsächlich für Identitätsbetrug oder finanziellen Schaden bei den Betroffenen genutzt wurden; die exakte Aufschlüsselung, wie viele der 9,4 Millionen Datensätze welche Datenkategorien enthielten, bleibt unklar.

Am 23.03.2020 wurde bekannt, dass in einem Untergrundforum ein Datensatz mit persönlichen Informationen von 538 Millionen Nutzerkonten der chinesischen Social-Media-Plattform Sina Weibo zum Kauf angeboten wurde. Der Datensatz umfasste echte Namen, Weibo-Nutzernamen, Geschlecht und Standortangaben, bei 172 Millionen der betroffenen Konten zusätzlich Mobiltelefonnummern; Passwörter waren nicht enthalten. Der Anbieter verlangte für den kompletten Datensatz 0,177 Bitcoin, zum damaligen Kurs umgerechnet rund 1.032 US-Dollar. Weibos Sicherheitsdirektorin Luo Shiyao erklärte, die Telefonnummern seien 2019 durch einen Brute-Force-Abgleich von Kontaktlisten über die Nutzersuchfunktion der Plattform gewonnen worden, weitere Profildaten seien durch automatisiertes Auslesen öffentlicher Seiten gesammelt worden; der zugrunde liegende Vorfall soll bis 2018 zurückreichen. Das Unternehmen erklärte, die genutzte Sicherheitslücke geschlossen und die Polizei eingeschaltet zu haben. Chinas Ministerium für Industrie und Informationstechnologie zitierte Weibo-Vertreter am 25.03.2020 vor und ordnete verbesserte Datenschutz- und Sicherheitsmaßnahmen sowie künftige Meldepflichten bei Sicherheitsvorfällen an. Weibo zählte zu diesem Zeitpunkt rund 516 Millionen monatlich aktive Nutzer.

Die von Weibo genannte Ursachenkombination aus Brute-Force-Abgleich und Web-Scraping wurde von unabhängigen Sicherheitsforschern nicht bestätigt und teils als unvollständige Erklärung für den Umfang der Daten kritisiert. Ob chinesische Behörden gegen Weibo Bußgelder oder weitere Sanktionen verhängt haben, ist aus dieser Quelle nicht belegt.

Die Sicherheitsforscher Noam Rotem und Ran Locar von vpnMentor entdeckten am 05.08.2019 eine ungeschützte, unverschlüsselte Datenbank des südkoreanischen Unternehmens Suprema, das die biometrische Zugangskontrollplattform BioStar 2 betreibt. Die Datenbank enthielt rund 27,8 Millionen Datensätze mit einem Gesamtvolumen von 23 Gigabyte. Darunter befanden sich über eine Million Fingerabdrücke, Gesichtserkennungsbilder, Klartext-Benutzernamen und -Passwörter von Administratoren, Ein- und Austrittsprotokolle, Sicherheitsfreigaben sowie Namen, Wohnadressen und E-Mail-Adressen von Mitarbeitern. BioStar 2 wird nach Angaben von Suprema in über 1,5 Millionen Installationen weltweit eingesetzt, unter anderem bei Banken, Universitäten, Regierungsbehörden und der britischen Metropolitan Police. Die Forscher konnten über die offene Weboberfläche Suchparameter manipulieren und dadurch beliebige Datensätze auslesen sowie neue Administratorkonten anlegen. Nach der Kontaktaufnahme am 07.08.2019, bei der die deutsche Niederlassung von Suprema zunächst jede Zusammenarbeit verweigerte, wurde die Datenbank am 13.08.2019 über die französische Niederlassung geschlossen. Der Fall wurde am 14.08.2019 öffentlich bekannt und unter anderem von BBC und The Register aufgegriffen.

Unklar bleibt, wie lange die Datenbank vor der Entdeckung frei zugänglich war und ob Daten von Dritten heruntergeladen oder missbräuchlich verwendet wurden; Suprema erklärte lediglich, es gebe keine Hinweise auf einen Download durch Unbefugte, ohne dies technisch zu belegen. Eine offizielle Bußgeldentscheidung einer Datenschutzbehörde zu diesem Fall ist aus dieser Quelle nicht ersichtlich.

Zwischen Ende Februar und Anfang März 2014 verschafften sich Angreifer mit gestohlenen Zugangsdaten mehrerer eBay-Mitarbeiter Zugriff auf das Firmennetzwerk und in der Folge auf die zentrale Kundendatenbank. eBay entdeckte den Einbruch erst rund zwei Wochen vor der öffentlichen Bekanntgabe am 21.05.2014. Betroffen waren die Datensätze von etwa 145 Millionen Nutzerkonten, praktisch die gesamte damalige Nutzerbasis des Unternehmens. Kopiert wurden Namen, Benutzernamen, E-Mail-Adressen, Postadressen, Telefonnummern, Geburtsdaten sowie gehashte und gesalzene Passwörter. Zahlungsdaten wie Kreditkarteninformationen lagen laut eBay in einer getrennten Datenbank und waren nicht betroffen. eBay forderte daraufhin alle Nutzer weltweit auf, ihr Passwort zu ändern, und zog die IT-Forensikfirma Mandiant sowie Strafverfolgungsbehörden zur Untersuchung hinzu. Im Juli 2014 reichte ein Nutzer in den USA eine Sammelklage wegen unzureichender Sicherheitsvorkehrungen ein, die ein Bundesrichter später mangels Nachweis eines konkreten Schadens abwies. Eine Geldstrafe einer US-Aufsichtsbehörde wie der FTC im Zusammenhang mit dem Vorfall ist nicht bekannt.

Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.

Adobe entdeckte am 17.09.2013 einen unautorisierten Zugriff auf sein Netzwerk und informierte am 03.10.2013 erstmals öffentlich über den Vorfall. Die Angreifer waren über einen öffentlich zugänglichen Webserver eingedrungen und bewegten sich anschließend lateral durch Adobes interne Systeme. Dabei erbeuteten sie Quellcode zu Produkten wie Acrobat, ColdFusion und Photoshop sowie eine Kundendatenbank. Adobe bestätigte zunächst 2,9 Millionen betroffene Konten, korrigierte die Zahl aber wenige Wochen später auf rund 38 Millionen aktive Nutzerkonten mit gültigen verschlüsselten Passwörtern. Ende Oktober 2013 tauchte im Internet eine Datei mit mehr als 150 Millionen Benutzername-Passwort-Paaren aus der betroffenen Datenbank auf, weshalb häufig von rund 153 Millionen kompromittierten Datensätzen die Rede ist. Zusätzlich waren nach Adobes eigenen Angaben knapp 3 Millionen verschlüsselte Kredit- und Debitkartennummern samt Ablaufdatum betroffen. Adobe hatte die Passwörter nicht einzeln gehasht, sondern mit demselben 3DES-Schlüssel im ECB-Modus verschlüsselt, wodurch identische Passwörter identische Chiffretexte erzeugten und sich Muster erkennen ließen. Im Klartext gespeicherte Passworthinweise erleichterten Angreifern zusätzlich das Erraten vieler Passwörter. Adobe setzte daraufhin die Passwörter betroffener Konten zurück und bot Kunden mit betroffenen Kartendaten ein Jahr kostenlose Kreditüberwachung durch Experian an. Im November 2016 einigte sich Adobe mit Justizbehörden von 15 US-Bundesstaaten auf eine Zahlung von 1 Million US-Dollar sowie verbesserte Sicherheitsmaßnahmen.

Aus dieser Quelle geht nicht eindeutig hervor, wie viele der über 150 Millionen Datensätze tatsächlich aktive, echte Nutzerkonten betrafen, da Adobe einen erheblichen Teil als ungültige, doppelte oder zu Testzwecken angelegte Einträge bezeichnete. Ebenso bleibt offen, wer die Angreifer waren, da sie nie öffentlich identifiziert oder strafrechtlich belangt wurden.