AT&T gibt zu, dass ein Datenleck 73 Millionen aktive und wiederkehrende Abonnenten betroffen hat

Die Offenlegung von AT&T im März 2024 ist ein Fall von Telekommunikationskundenkonten-Exposition und keine allgemeine Schlagzeile über eine Datenpanne. Das Unternehmen erklärte, dass ein im Dark Web veröffentlichter Datensatz aus dem Jahr 2019 oder früher zu stammen schien und etwa 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kontoinhaber betraf. Das praktische Problem ist die Kontrollebene der Konten: AT&T setzte die Zugangscodes der aktuellen Benutzer zurück, begann mit der Benachrichtigung der betroffenen Kontoinhaber und sah sich staatlicher Prüfung der Meldepflicht aufgrund der Offenlegung von Sozialversicherungsnummern ausgesetzt. Die Quelle der Daten blieb in den öffentlichen Aufzeichnungen ungeklärt, daher liegt der stärkste Fokus auf Kundendaten, Zugangscode-Zurücksetzungen, Betrugsrisiko und Verantwortlichkeit für den Vorfall, nicht auf der Angreiferattribution.

Die Offenlegung von AT&T vom 30. März 2024 machte einen lange umstrittenen Datensatz zu einem Sicherheitsvorfall für Kundenkonten. AT&T erklärte, dass die vorläufige Analyse ergeben habe, dass die Aufzeichnungen aus dem Jahr 2019 oder früher stammten und etwa 73 Millionen aktuelle und ehemalige Kontoinhaber betrafen: rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Konten. Das Unternehmen gab an, keine Hinweise auf unbefugten Zugriff auf seine Systeme zu haben, und prüfe noch, ob die Daten von AT&T oder einem seiner Anbieter stammten.

Das Risiko der Kontokontrolle liegt in den Datenkategorien. AP berichtete, dass die offengelegten Informationen Sozialversicherungsnummern, Zugangscodes, E-Mail- und Postadressen, Telefonnummern und Geburtsdaten umfassen könnten, während AT&T erklärte, dass die Daten keine Finanzinformationen oder Anrufhistorie zu enthalten schienen. Die Zugangscodes sind wichtig, da es sich um Kontonummern (PINs) handelt, die für den Kundendienst, die Filialverwaltung und den Online-Kontozugriff verwendet werden. AT&T gab an, die Zugangscodes für die 7,6 Millionen aktuellen Kunden, deren Codes kompromittiert wurden, zurückgesetzt zu haben.

Die staatliche Meldebehörde stellt den Verbraucherschutzaspekt in den Vordergrund. Die Mitteilung der Generalstaatsanwaltschaft von Maine listet die Meldung von AT&T mit insgesamt 51.226.382 betroffenen Personen für diese Meldung auf, darunter 89.842 Einwohner von Maine, der 26. März 2024 als gemeldetes Ereignis- und Entdeckungsdatum, der 10. April 2024 als Datum der schriftlichen Benachrichtigung der Verbraucher, die Sozialversicherungsnummer als erworbene Datenkategorie und 12 Monate Experian IdentityWorks als Angebot.

Diese Meldung ersetzt nicht die Schätzung von AT&T von 73 Millionen Kontoinhabern; sie zeigt die regulatorische Meldefläche im Zusammenhang mit sensiblen persönlichen Daten.

Die Unsicherheit muss sichtbar bleiben. BleepingComputer berichtete, dass die Daten einem älteren, bereits 2021 angekündigten Datensatz ähnelten, während Reuters die Position von AT&T zitierte, dass der Vorfall keine wesentlichen Auswirkungen auf den Betrieb gehabt habe. Die öffentliche Akte stützt den Umfang der Kontoinhaber, die Zurücksetzung der Zugangscodes, das Risiko sensibler Daten und die Benachrichtigungsreaktion. Sie belegt keinen bestimmten Bedrohungsakteur, den genauen Erstzugriffspfad, die Verantwortlichkeit des Anbieters, das endgültige Ausmaß des Missbrauchs oder ein behördliches Durchsetzungsergebnis.