Datenleck bei Adobe: Mehr als sieben Millionen Accounts waren öffentlich zugänglich
Jetzt hat es auch Adobe erwischt: Schätzungsweise eine ganze Woche lang war eine Nutzerdatenbank der Creative Cloud frei im Internet verfügbar. Betroffen sind rund 7,5 Millionen Konten, auf diese konnte mit einem beliebigen Browser zugegriffen werden.
Datenbank ohne PasswortschutzBereits am 19. Oktober entdeckte der Sicherheitsforscher Bob Diachenko das Datenleck in Adobes Cloud-Dienst. Er stellte fest, dass die vom Softwarehersteller für seine Creative Cloud eingesetzte NoSQL-Datenbank Elasticsearch ohne Passwortschutz öffentlich zugänglich war. Angreifer hätten so an persönliche Daten von etwa 7,5 Millionen Nutzern gelangen können. Allerdings enthielt die Datenbank einem
Bericht von Comparitech zufolge weder die Passwörter der Kunden noch Zahlungsinformationen wie etwa Kreditkartendaten.
E-Mail-Adressen frei zugänglichDiachenko erhielt unter anderem Zugriff auf E-Mail-Adressen, den Status der CC-Abonnements und die Mitgliedsnummern der Kunden. Darüber hinaus enthielt die Datenbank Informationen über das Datum des letzten Logins, die verwendeten Adobe-Produkte und den Zahlungsstatus. Derart detaillierte Angaben könnten beispielsweise von Phishern genutzt werden, um Nutzern der Creative Cloud E-Mails im Namen von Adobe zu schicken und so etwa an Zugangspasswörter zu gelangen. Nutzer der Creative Cloud sollten daher in dieser Hinsicht in nächster Zeit besonders wachsam sein. Es besteht allerdings keine Notwendigkeit, das Account-Passwort zu ändern, da dieses nicht abgegriffen werden konnte.
Ursache bislang nicht bekanntWie es zu diesem Datenleck bei Adobe kommen konnte, ist bislang nicht bekannt. Diachenko informierte den Softwarehersteller noch am Tag der Entdeckung über die Sicherheitslücke, das Unternehmen schloss diese daraufhin umgehend. Darüber hinaus teilte Adobe mit, man werde die hauseigenen Prozesse einer Überprüfung unterziehen, um derartige Vorfälle für die Zukunft auszuschließen. Bei der betroffenen Datenbank habe es sich um eine "Prototyp-Umgebung" gehandelt, andere Dienste oder Produkte seien von dem Datenleck nicht beeinträchtigt worden.