Die 10 schlimmsten Datenschutzverletzungen der Geschichte

Microsofts SharePoint-Zusammenarbeitstools sind in den letzten Tagen weit verbreiteten Angriffen ausgesetzt gewesen. in den letzten Tagen weit verbreiteten Angriffen ausgesetzt, die US-amerikanische Bundes- und Landesbehörden, Universitäten, Energieunternehmen und mehr betroffen haben. Es sollte niemanden überraschen: Jedes Jahr werden Tausende von Organisationen Opfer von Cyberangriffen, die sensible Informationen gefährden, den Betrieb stören und das öffentliche Vertrauen untergraben.

Entgegen der landläufigen Meinung sind viele Verstöße nicht das Ergebnis moderner, ausgeklügelter Angriffe, sondern vielmehr vermeidbare Fehler, die auf sehr grundlegende menschliche Fehler zurückzuführen sind.

Laut dem Verizon $VZ Data Breach Investigation Report gab es einen 34% Anstieg bei Angreifern die seit 2024 bestehende Schwachstellen von Unternehmen ausnutzen. Die durchschnittlichen Kosten für eine Datenpanne sind auf etwa 9,36 Millionen Dollar in den USA gestiegen. Diese steigenden Kosten spiegeln nicht nur den technischen Schaden eines Verstoßes wider, sondern auch den langfristigen Rufschaden.

Ob veraltete Infrastruktur, menschliches Versagen oder gezielte Angriffe, die Folgen eines Verstoßes können sowohl für das Unternehmen als auch für seine Benutzer verheerend sein. Hinter jeder Schlagzeile über gestohlene Daten oder kompromittierte Systeme stehen Millionen von Einzelpersonen, deren Privatleben plötzlich offengelegt wird.

Das Cloud-Unternehmen Zmanda hat die 10 teuersten Datenschutzverletzungen aller Zeiten zusammengestellt, basierend auf den Gesamtkosten. Die 10 hier vorgestellten Verstöße sind nur die katastrophalsten dieser Vorfälle und repräsentieren nur einen Bruchteil der Bedrohungen, die in den letzten Jahren beobachtet wurden.

Check Point

Total cost: $10 billion

NotPetya tauchte im Juni 2017 auf, getarnt als Ransomware, aber funktionierte als datenlöschender Angriff. Es verbreitete sich über ein bösartiges Update von M.E.Doc, der in der Ukraine weit verbreiteten Steuer-Software. Die Malware nutzte EternalBlue aus, ein durchgesickertes NSA-Tool, das entfernte Codeausführung über Windows SMBv1 ermöglichte, sowie Mimikatz, das Anmeldeinformationen aus dem Systemspeicher extrahiert. Das Logistikunternehmen Maersk musste 4.000 Server und 45.000 PCs neu aufbauen. weltweit innerhalb von Tagen, nachdem sein Netzwerk gelöscht worden war. Die meisten Infektionen traten in der Ukraine auf und legten kritische Infrastrukturen lahm, darunter Banken, Verkehr und das Überwachungssystem von Tschernobyl. Die US- und britischen Regierungen führten den Angriff auf die russische Militärgeheimdienstagentur GRU zurück.

TJX

Gesamtkosten: 4,5 Milliarden Dollar

Im Jahr 2007 drangen Hacker in die Systeme von TJX ein, indem sie schwache WEP-Verschlüsselung ausnutzten auf einem drahtlosen Netzwerk im Geschäft bei Marshalls in Florida. Über 45,6 Millionen Kredit- und Debitkartennummern wurden über einen Zeitraum von 18 Monaten gestohlen, was zu diesem Zeitpunkt den größten Einzelhandels-Datenverstoß darstellte. Angreifer installierten Sniffer, um unverschlüsselte Transaktionsdaten und Anmeldedaten abzufangen. Ermittler stellten später fest, dass TJX verbotene Track-2-Kartendaten einbehalten und gegen mehrere PCI-DSS-Kontrollen verstoßen hatte, was branchenweite Reformen in der Händlersicherheitsdatenlage veranlasste.

Epsilon

Gesamtkosten: $4 Milliarden

Im März 2011 erlitt Epsilon, eines der weltweit größten E-Mail-Marketingunternehmen, einen Datenverlust, nachdem Angreifer unbefugten Zugriff auf sein E-Mail-System erlangt hatten. Die Hacker stahlen Namen und E-Mail-Adressen von Kunden, darunter JPMorgan $JPM Chase, Best Buy $BBY und Walgreens $WBA, und betrafen etwa 60 Millionen Nutzer. Während keine finanziellen Daten offengelegt wurden, befeuerten die gestohlenen Informationen weitverbreitete Phishing-Kampagnen. Der Vorfall hob die Risiken zentralisierter Marketing-Plattformen hervor und führte dazu, dass Unternehmen das Teilen von Daten Dritter neu bewerteten. Die gestaffelten Benachrichtigungen von Epsilon an die Kunden warfen auch Bedenken bezüglich der Koordination der Reaktionsmaßnahmen auf den Vorfall und der Transparenz auf.

Equifax

Gesamtkosten: Mindestens $1,4 Milliarden im Jahr 2017

Angreifer nutzten CVE-2017-5638 aus, eine bekannte Schwachstelle im Apache Struts Web Framework, die Equifax nicht gepatcht hatte über zwei Monate im Jahr 2017, nachdem ein Fix veröffentlicht worden war. Dies ermöglichte unbefugten Zugang zu sensiblen Daten von 147 Millionen Amerikanern, einschließlich Namen, Geburtsdaten, Sozialversicherungsnummern und Führerscheindetails. Der Verstoß blieb für 76 Tage unentdeckt aufgrund eines abgelaufenen SSL-Zertifikats, das die interne Verkehrsüberwachung deaktivierte. Ermittler fanden später heraus, dass Equifax über kein angemessenes Asset-Inventar und Patch-Management verfügte, was zur Schwere des Kompromisses beitrug.

Dima Solomin | Unsplash

Gesamtkosten: 725 Millionen Dollar

2018 wurde bekannt, dass Cambridge Analytica Daten von etwa 87 Millionen Facebook $META-Nutzer durch eine Quiz-App namens This Is Your Digital Life, die nicht nur Benutzerdaten sammelte, sondern auch Daten von ihren Facebook-Freunden aufgrund der API-Berechtigungen von Facebook. Die Daten wurden verwendet, um psychografische Profile für gezielte politische Werbung zu erstellen, auch während der US-Präsidentschaftswahl 2016. Der Verstoß verletzte die 2012 vom FTC verhängte Einwilligungsanordnung von Facebook und führte später zu einer Geldstrafe von 5 Milliarden Dollar und umfassenden Datenschutzreformen. Facebook beschränkte später den Zugriff von Drittanbietern auf Daten und überarbeitete seine Datenschutzinfrastruktur.

U.S. Department of Veterans Affairs

Gesamtkosten: 500 Millionen Dollar

Im Mai 2006 nahm ein VA-Datenanalyst einen Laptop und eine externe Festplatte mit nach Hause, die unverschlüsselte persönliche Daten von 26,5 Millionen Veteranen enthielten. persönliche Daten von 26,5 Millionen Veteranen, darunter Namen, Geburtsdaten, Sozialversicherungsnummern und Invaliditätsbewertungen. Die Geräte wurden bei einem Einbruch gestohlen, und das VA wartete 19 Tage, um die betroffenen Veteranen zu benachrichtigen. Der Vorfall zeigte schwerwiegende Mängel in der internen Sicherheit und Aufsicht auf, was zu Kongressanhörungen und einem landesweiten Vorantreiben von Verschlüsselungs- und Datenschutzrichtlinien führte. Die gestohlenen Geräte wurden später wiedergefunden, und eine forensische Untersuchung ergab keine Hinweise auf einen Datenzugriff.

Target

Gesamtkosten: $292 Millionen

Ende 2013 drangen Angreifer mithilfe gestohlener Zugangsdaten ihres HVAC-Dienstleisters Fazio Mechanical Services in das Netzwerk von Target $TGT ein. Sobald sie sich im Netzwerk befanden, bewegten sie sich seitlich und installierten Malware auf den Kassensystemen, um 40 Millionen Zahlungskartendaten zu erfassen und während der Feiertage 70 Millionen Kundenprofile zu erfassen. Die Malware sammelte Kartendaten aus dem Systemspeicher während Live-Transaktionen. Targets Versäumnis, ihr Netzwerk zu segmentieren, ermöglichte es den Angreifern, über ein Anbieterportal auf sensible Systeme zuzugreifen. Der Vorfall führte zu umfangreichen Reformen im Management von Drittanbieterrisiken und beschleunigte die Einführung der Chip-und-PIN-Technologie bei US-Einzelhändlern.

WRBC Inc.

Gesamtkosten: $252 Millionen

Zwischen dem 7. Dezember 2007 und dem 10. März 2008 wurde Malware auf Servern bei fast 300 Hannaford Bros. Filialen installiert, die Kredit- und Debitkartendaten während des Bezahlvorgangs abfing und 4,2 Millionen Kartennummern aussetzte. Die bösartige Software erfasste Daten während der Übertragung und nicht aus gespeicherten Datenbanken, was einen der ersten großangelegten Verstöße gegen Live-Transaktionsdaten darstellt. Mindestens 1.800 Betrugsfälle wurden auf die Verletzung zurückgeführt. Hannaford war zu diesem Zeitpunkt PCI-konform, was Bedenken hinsichtlich der Angemessenheit der bestehenden Sicherheitsstandards aufwarf und Forderungen nach einer stärkeren Verschlüsselung von Zahlungsdaten während der Übertragung laut werden ließ.

Sony Interactive Entertainment

Gesamtkosten: $171 Millionen

Sonys PlayStation Network erlitt einen Einbruch, bei dem persönliche Daten von Nutzern offengelegt wurden 77 Millionen Benutzerkonten, darunter Namen, E-Mail-Adressen, Geburtstage und Anmeldedaten. Sony $SONY bestätigte, dass Kreditkartendaten verschlüsselt seien, gab jedoch zu, dass ein Diebstahl nicht ausgeschlossen werden könne. Der Ausfall begann am 20. April 2011 und dauerte 23 Tage, was ihn zu einem der längsten in der Geschichte des Gamings macht. Sony sah sich Kritik ausgesetzt, weil es die Benachrichtigung der Benutzer verzögerte und später kostenlose Spiele und Identitätsschutz anbot. Der Einbruch führte zu wesentlichen Verbesserungen der Netzwerksicherheit und der Protokolle zur Reaktion auf Vorfälle.

Yahoo Inc.

Gesamtkosten: 152,5 Millionen US-Dollar

Ende 2014 erlitt Yahoo einen Einbruch, bei dem persönliche Daten von Nutzern offengelegt wurden 500 Millionen Benutzerkonten, darunter Namen, E-Mail-Adressen, Geburtstage, Telefonnummern und gehashte Passwörter. Yahoo schrieb den Angriff einem staatlich geförderten Akteur zu, obwohl die spezifische Nation nie bestätigt wurde. Der Einbruch wurde erst im September 2016 bekannt gegeben, was Kritik an Yahoos verzögerter Reaktion hervorrief. Obwohl die meisten Passwörter mit bcrypt verschlüsselt waren, enthielten einige Konten unverschlüsselte Sicherheitsfragen und -antworten. Der Vorfall beeinträchtigte Yahoos Übernahme durch Verizon $VZ und führte zu behördlicher Überprüfung und mehreren Klagen.