Cyberangriff auf E-Signaturdienst: Dropbox bestätigt Abfluss von Kundendaten
Der Cloudspeicherdienst Dropbox hat bestätigt, Ziel eines Cyberangriffs geworden zu sein, bei dem Kundendaten abgeflossen sind. Wie aus einem neuen Blogbeitrag des Unternehmens(öffnet im neuen Fenster) hervorgeht, sind von dem Vorfall, den Dropbox am 24. April entdeckt hat, vor allem Daten von Dropbox Sign betroffen – einem Dienst für elektronische Unterschriften (E-Signaturen).
Konkret benennt Dropbox in diesem Zusammenhang Kundendaten wie E-Mail-Adressen, Benutzernamen, Telefonnummern, gehashte Passwörter sowie allgemeine Kontoeinstellungen und Authentifizierungsinformationen wie API-Schlüssel, OAuth-Tokens und Multi-Faktor-Authentifizierungen.
Selbst E-Mail-Adressen und Namen von nicht bei Dropbox Sign registrierten Nutzern sollen abgeflossen sein, sofern diese in der Vergangenheit über den Dienst ein Dokument empfingen oder unterzeichneten. Hinweise auf einen unbefugten Zugriff auf Inhalte wie Verträge oder andere Dokumente sowie auf Zahlungsinformationen der Kunden gebe es jedoch nicht.
Dropbox-Sign-Dienstkonto kompromittiert
Dropbox gibt an, ein unbefugter Dritter habe ein Dienstkonto des Sign-Backends kompromittiert und sich Zugang zu einem automatisierten Systemkonfigurationstool des Dienstes verschafft. Das infiltrierte Konto sei mit Berechtigungen für eine Vielzahl von Aktionen innerhalb der Produktionsumgebung von Dropbox Sign ausgestattet gewesen. Dies habe es dem Angreifer ermöglicht, auf die Kundendatenbank zuzugreifen.
"Wir glauben, dass dieser Vorfall auf die Dropbox-Sign-Infrastruktur beschränkt war und keine anderen Dropbox-Produkte betroffen sind" , erklärt das Unternehmen. Die Infrastruktur sei weitgehend von jener der anderen Dropbox-Dienste getrennt.
Die Passwörter der betroffenen Anwender seien bereits zurückgesetzt und die Benutzer von allen mit Dropbox Sign verbundenen Geräten abgemeldet worden. Darüber hinaus sei das Dropbox-Sicherheitsteam derzeit dabei, die Rotation aller API-Schlüssel und OAuth-Tokens zu koordinieren. Betroffene Nutzer will das Unternehmen mit weiterführenden Informationen darüber versorgen, wie sie ihre Daten weiterhin schützen können.
Datenschutz- und den Strafverfolgungsbehörden seien bereits über den Vorfall informiert, erklärt Dropbox weiter. Einer Mitteilung an die US-Börsenaufsicht(öffnet im neuen Fenster) zufolge erwartet der Anbieter durch den Vorfall keine wesentlichen Auswirkungen auf seinen Geschäftsbetrieb oder seine Finanzlage.