Eine kriminelle Internetbande behauptet, bei Volkswagen diverse sensible Daten erbeutet zu haben. Das Unternehmen hat nach eigenen Angaben noch keine Hinweise auf unberechtigten Zugriff, will den Vorgang aber weiter prüfen.
Im Darknet behauptet StormouS/V4, bei VW Daten entwendet zu haben und droht mit deren Veröffentlichung.
(Bild: Screenshot / dmk)
Auf dem Darknet-Auftritt der Cybergang "StourmouS/V4" behaupten die Unbekannten, Nutzerkontendaten (teils versteckte E-Mails) sowie Authentifzierungstoken (OAuth und JWT-Tokens) erbeutet zu haben, darunter Identitäts- und Zugangsinformationen wie E-Mail, Profil oder Telefonnummern. Auch Log-in-Links für interne Systeme (etwa https://identity.vwgroup.io), Session-Cookies (jsessionid und weitere) sowie Authentifizierungs- und Zugriffskontroll-Details wollen die Täter erbeutet haben.
Auf der Darknet-Website zählt ein Countdown herunter und läuft zum Meldungszeitpunkt noch rund viereinhalb Tage. Danach drohen die Täter, die Daten zu veröffentlichen.
Die Kriminellen haben auch Beispieldaten verlinkt, auf die derzeit aber kein Zugriff möglich ist. Im Netz gibt es jedoch Screenshots, die auf Klartext-Kommunikation zwischen Clients und Webservern, wahrscheinlich zwischen API-Endpunkten der "CarNet-API", hindeuten. Das erinnert an die Sicherheitslücke, die ein indischer IT-Sicherheitsforscher in der VW-App im Mai gefunden hatte. Dort konnte er jedoch lediglich weitreichende Fahrzeugdaten abrufen, zudem schien das Problem auf Indien beschränkt.
Auf unsere Nachfrage hat VW kein Datenleck bestätigen können. "Im vorliegenden Fall gab es nach aktuellem Kenntnisstand der internen Untersuchungen keinen unberechtigten Zugriff von externen Dritten auf personenbezogene Daten von Kundinnen und Kunden oder sensible Unternehmensdaten. Folglich ist eine missbräuchliche Verwendung solcher Daten auch nicht festzustellen", sagte ein VW-Sprecher. "Wir untersuchen die vorliegenden Hinweise weiter, um jeglichen Schaden für die Volkswagen AG oder unsere Kunden auszuschließen. Sofern es sich für eine weitere umfassende Aufklärung als hilfreich erweisen sollte, werden wir selbstverständlich die zuständigen Behörden in die Untersuchung einbeziehen."
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare