ANZEIGE
Hallo in die Runde!
Heute möchte ich von meinen Erfahrungen mit Payback berichten, da laut Selbstdarstellung des Unternehmens Datenschutz "an oberster Stelle steht" - ich aber das Gegenteil erlebe. Aber der Reihe nach, was ist passiert?
Die Angreifergruppierung Cl0P hat nach eigenen Angaben erfolgreich Daten von Payback abgegriffen und listet die "Payback Group" seit dem 26.07. als Opfer ihrer Erpressungskampangne im Zusammenhang mit einer Softwareschwachstelle. Es handelt sich laut Cl0P um 53GB an Daten + Archivierte Dateien. Die von Cl0P veröffentlichten Dateien sollen ihre Behauptung unterlegen und sehen nach meiner Einschätzung authentisch aus. Die bisher veröffentlichten Daten zeigen Excel Tabellen mit Gehaltsinformationen der Mitarbeiter und interner Abrechnungen, keine Daten von Payback Kunden.
Technisch möchte ich hier nicht weiter auf den Angriff eingehen, jedoch der Fairness halber erwähnen, dass die Schwachstelle zum Zeitpunkt des Angriffs nicht bekannt war. Aus meiner Sicht wesentlich Entscheidender ist der Umgang des Unternehmens mit dem Sicherheitsvorfall. Ich habe mich daher am 30.07. an Payback (datenschutz@payback.com) gewand:
Bis auf eine automatische Antwort, dass man sich schnellstmöglich bei mir melden werde, bekam ich keine Rückmeldung. Daher fragte ich am 03.08. erneut nach - leider bis heute ohne Antwort. Aus diesem Grund habe ich heute ein Auskunftsersuchen nach Art. 15 DSGVO gestellt und hoffe, dass man sich bei Payback wenigstens an geltendes Recht hält.
Die Frist von Cl0P für die Veröffentlichung aller Daten läuft morgen aus, daher werden betroffene wohl zuerst im Internet davon erfahren, bevor Payback dazu Stellung nimmt.
Payback Nutzer teilen eine Menge an personenbezogenen und sensiblen Daten mit dem Unternehmen, daher finde ich den Umgang mit dem Datenschutz an dieser Stelle äußerst problematisch. Möglicherweise zahlt Payback einfach die "Lösegeldsumme" und wir erfahren nie, welche Daten abgeflossen sind. Möglicherweise werden Datenschutzangelegenheiten grundsätzlich so gehandhabt.
Wer möchte, kann natürlich gern sein Glück versuchen und datenschutz@payback.com um Stellungnahme bitten.
Mich würde durchaus interessieren, ob morgen die Daten veröffentlicht werden und wenn ja, ob sich die Kunden dort wiederfinden.
/kernelmode
Heute möchte ich von meinen Erfahrungen mit Payback berichten, da laut Selbstdarstellung des Unternehmens Datenschutz "an oberster Stelle steht" - ich aber das Gegenteil erlebe. Aber der Reihe nach, was ist passiert?
Die Angreifergruppierung Cl0P hat nach eigenen Angaben erfolgreich Daten von Payback abgegriffen und listet die "Payback Group" seit dem 26.07. als Opfer ihrer Erpressungskampangne im Zusammenhang mit einer Softwareschwachstelle. Es handelt sich laut Cl0P um 53GB an Daten + Archivierte Dateien. Die von Cl0P veröffentlichten Dateien sollen ihre Behauptung unterlegen und sehen nach meiner Einschätzung authentisch aus. Die bisher veröffentlichten Daten zeigen Excel Tabellen mit Gehaltsinformationen der Mitarbeiter und interner Abrechnungen, keine Daten von Payback Kunden.
Technisch möchte ich hier nicht weiter auf den Angriff eingehen, jedoch der Fairness halber erwähnen, dass die Schwachstelle zum Zeitpunkt des Angriffs nicht bekannt war. Aus meiner Sicht wesentlich Entscheidender ist der Umgang des Unternehmens mit dem Sicherheitsvorfall. Ich habe mich daher am 30.07. an Payback (datenschutz@payback.com) gewand:
Bis auf eine automatische Antwort, dass man sich schnellstmöglich bei mir melden werde, bekam ich keine Rückmeldung. Daher fragte ich am 03.08. erneut nach - leider bis heute ohne Antwort. Aus diesem Grund habe ich heute ein Auskunftsersuchen nach Art. 15 DSGVO gestellt und hoffe, dass man sich bei Payback wenigstens an geltendes Recht hält.
Die Frist von Cl0P für die Veröffentlichung aller Daten läuft morgen aus, daher werden betroffene wohl zuerst im Internet davon erfahren, bevor Payback dazu Stellung nimmt.
Payback Nutzer teilen eine Menge an personenbezogenen und sensiblen Daten mit dem Unternehmen, daher finde ich den Umgang mit dem Datenschutz an dieser Stelle äußerst problematisch. Möglicherweise zahlt Payback einfach die "Lösegeldsumme" und wir erfahren nie, welche Daten abgeflossen sind. Möglicherweise werden Datenschutzangelegenheiten grundsätzlich so gehandhabt.
Wer möchte, kann natürlich gern sein Glück versuchen und datenschutz@payback.com um Stellungnahme bitten.
Mich würde durchaus interessieren, ob morgen die Daten veröffentlicht werden und wenn ja, ob sich die Kunden dort wiederfinden.
/kernelmode
