AT&T räumt ein, dass ein Datenleck 73 Millionen aktive und wiederkehrende Abonnenten betroffen hat.

Die Meldung von AT&T vom März 2024 ist ein Fall der Offenlegung von Kundenkontodaten eines Telekommunikationsunternehmens und nicht nur eine pauschale Schlagzeile über die Anzahl von Sicherheitsverletzungen. Das Unternehmen erklärte, dass ein im Dark Web veröffentlichter Datensatz offenbar aus dem Jahr 2019 oder früher stamme und etwa 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kontoinhaber betreffe. Der praktische Kern ist die Ebene der Kontosicherheit: AT&T setzte die Zugangscodes der aktuellen Nutzer zurück, begann mit der Benachrichtigung der betroffenen Kontoinhaber und sah sich mit staatlichen Meldepflichten zu Datenschutzverletzungen im Zusammenhang mit der Offenlegung von Sozialversicherungsnummern konfrontiert. Die Datenquelle blieb in den öffentlichen Aufzeichnungen ungeklärt, sodass die stärkste Lesart sich auf Kundenidentitätsdaten, das Zurücksetzen von Zugangscodes, Betrugsrisiken und die Verantwortlichkeit für den Vorfall konzentriert, nicht auf die Zuschreibung zu einem Angreifer.

Die Offenlegung von AT&T vom 30. März 2024 verwandelte einen lange umstrittenen Datensatz in einen Sicherheitsvorfall für Kundenkonten. AT&T erklärte, dass eine vorläufige Analyse zeigte, dass die Datensätze aus dem Jahr 2019 oder früher zu stammen schienen und etwa 73 Millionen aktuelle und ehemalige Kontoinhaber betrafen: rund 7,6 Millionen aktuelle Konten und 65,4 Millionen frühere Konten. Das Unternehmen gab an, keine Hinweise auf unbefugten Zugriff auf seine Systeme zu haben, und prüfe noch, ob die Daten von AT&T selbst oder einem seiner Anbieter stammten.

Das Risiko für die Kontosicherheit liegt in den Datenkategorien. AP berichtete, dass die offengelegten Informationen Sozialversicherungsnummern, Zugangscodes, E-Mail- und Postadressen, Telefonnummern und Geburtsdaten umfassen könnten, während AT&T mitteilte, dass die Daten offenbar keine Finanzinformationen oder Anruflisten enthielten. Die Zugangscodes sind wichtig, da es sich um Konto-PINs handelt, die für den Kundendienst, die Kontoverwaltung im Einzelhandel und den Online-Kontozugriff verwendet werden. AT&T erklärte, die Zugangscodes für die 7,6 Millionen aktuellen Kunden, deren Codes kompromittiert wurden, zurückgesetzt zu haben.

Die staatliche Benachrichtigung unterstreicht den Verbraucherschutzaspekt. Die Mitteilung des Generalstaatsanwalts von Maine listet die AT&T-Einreichung mit 51.226.382 insgesamt betroffenen Personen für diese Meldung, 89.842 betroffenen Einwohnern von Maine, dem 26. März 2024 als Datum des Vorfalls und der Entdeckung, dem 10. April 2024 als Datum der schriftlichen Benachrichtigung der Verbraucher, der Sozialversicherungsnummer als Kategorie der erlangten Daten und 12 Monaten Experian IdentityWorks als Angebot auf.

Diese Einreichung ersetzt nicht die Schätzung von AT&T von 73 Millionen Kontoinhabern; sie zeigt die regulatorische Meldefläche im Zusammenhang mit sensiblen personenbezogenen Daten.

Die Unsicherheit muss sichtbar bleiben. BleepingComputer berichtete, dass die Daten einem älteren Datensatz ähnelten, der bereits 2021 angekündigt worden war, während Reuters die Position von AT&T meldete, dass der Vorfall keine wesentlichen Auswirkungen auf den Betrieb gehabt habe. Die öffentlichen Aufzeichnungen stützen den Umfang der betroffenen Kontoinhaber, das Zurücksetzen der Zugangscodes, das Risiko sensibler Daten und die Benachrichtigungsmaßnahmen.

Sie belegen jedoch keinen bestimmten Bedrohungsakteur, den genauen Weg des ursprünglichen Zugriffs, die Verantwortung eines Anbieters, das endgültige Ausmaß des Missbrauchs oder das Ergebnis einer behördlichen Durchsetzung.