30'000 betroffene User-Accounts bei Hackerangriff auf Suisse Velo

Vergangene Woche ist Suisse Velo, die Schweizer Registratur-Plattform für Velos, gehackt worden. Bei dem Cyberangriff gelang es den Kriminellen, E-Mail-Adressen und Passwörter von rund 30'000 User-Accounts abzugreifen, wie «Watson» berichtet. Letzten Donnerstag seien die betroffenen Kundinnen und Kunden vom Unternehmen per E-Mail über den Vorfall informiert worden. «Aus Sicherheitsgründen und voller Transparenz teilen wir Ihnen mit, dass unsere Entwicklungsplattform von Suisse-Velo angegriffen wurde», zitiert das Nachrichtenportal aus der Stellungnahme von Suisse Velo.

Gemäss dem aktuellen Stand der Analyse seien keine weiteren Daten abgegriffen worden, heisst weiter. Weil Suisse Velo beim Zahlungswesen und bei Kreditkartentransaktionen mit einem Partner zusammenarbeite, seien Zahlungsdaten laut Angaben der Firma «zu keiner Zeit» gefährdet gewesen. Den Angaben zufolge wurde das National Cyber Security Centre (NCSC) ebenfalls über den Vorfall informiert. Ob Anzeige bei der Polizei erstattet werde, sei momentan noch in Abklärung.

«Gegenüber den Angriffen, die wir tagtäglich sehen und erfolgreich abwehren, haben diese Angreifer relativ ‹langsam› attackiert und sind somit erst (zu) spät durch unsere Überwachungssysteme detektiert worden», schreibt Suisse Velo zum Vorfall. Und weiter: «Der Diebstahl der betroffenen Login-Accounts ist natürlich schwerwiegend. Auf unserer Plattform selbst haben die Täter jedoch mit diesen Zugangsdaten gemäss unseren Nachforschungen keinen weiteren Schaden angerichtet».

Suisse Velo spricht von einem «gezielten Angriff auf die Entwicklungsumgebung». Die produktive Plattform sei zu keiner Zeit betroffen gewesen. Das Unternehmen unterziehe die Entwicklungsumgebung gerade einem Redesign, dabei seien in der Plattform zur Zeit der Attacke Daten mit Stand von Mitte Mai 2021 zu Testzwecken verwendet worden. «Eine Verkettung unglücklicher Umstände hat zum Einschleusen einer Sicherheitslücke geführt, die schlussendlich ausgenutzt wurde für den Datendiebstahl», erklärt Suisse Velo.

Abschliessend erklärte das Unternehmen gegenüber «Watson», dass die Passwörter zwar verschlüsselt waren, aber noch nicht gehasht wurden. «Im laufenden Redesign ist die Verschlüsselung mit einem Hash in Arbeit. Da es möglich ist, dass die Täterschaft den bisherigen Schlüssel kennt oder abgezogen hat, ist es auch möglich, dass die Passwörter im Klartext vorliegen.» Heisst konkret: Es gilt davon auszugehen, dass die Passwörter der Userinnen und User nicht mehr sicher sind.

So lautet der Ratschlag von Suisse Velo an die Kundschaft auch, das Passwort umgehend zu ändern – besonders, wenn dieses auch bei anderen Diensten eingesetzt wird. Grundsätzlich gilt sowieso die Regel, für alle genutzten Dienste unterschiedliche Passwörter zu verwenden.