ApplyNow: Datenleck betrifft 396.920 Menschen in Japan
Der japanische Recruiting-Dienstleister ApplyNow bestätigt das Leck von 396.920 Datensätzen. Angreifer nutzten eine bekannte, nicht geschlossene Lücke in einem Analysetool.
SUMO· das Zahlenrätsel
Dialo· Sprachen lernen durch Sprechen
ediviewer· EDI-Dateien wie Dokumente lesen
giftdetect· das passende Geschenk in MinutenDer in Tokio ansässige Recruiting-Dienstleister ApplyNow hat am 4. November mitgeteilt, dass bei dem am 9. September öffentlich gemachten unbefugten Zugriff die persönlichen Daten von 396.920 Menschen abgeflossen sind. Am 9. Oktober hatte das Unternehmen noch von rund 390.000 Betroffenen gesprochen; die Untersuchung hat die Zahl nun präzisiert. Bei einem Teil der Betroffenen sind auch My-Number-Kennungen, Rentennummern und Kontodaten betroffen.
Welche Daten betroffen sind
Das Leck betrifft die Interview-Plattform Interview Cloud, den Videoauswahldienst ApplyNow und den elektronischen Arbeitsvertragsdienst ApplyNow Sign. Betroffen sind Bewerber, Vertragspartner und Firmennutzer. 30.067 der Personen haben über ApplyNow Sign einen Arbeitsvertrag geschlossen.
Bei allen drei Diensten wurden Namen, E-Mail-Adressen, gehashte Passwörter und Berechtigungsdaten von Firmennutzern abgegriffen. Bei Interview Cloud kamen Namen, Lesungen der Namen, Telefonnummern und E-Mail-Adressen von Bewerbern hinzu, teils auch Bewerbungs- und Gesprächstermine, Geburtsdatum, Geschlecht und Beruf. Bei ApplyNow Sign flossen Namen, Telefonnummern und E-Mail-Adressen ab, bei einigen zusätzlich My Number, Bank- und Kontodaten, Grundrentennummer, Aufenthaltskartennummer, Beschäftigungsversicherungsnummer, Angaben zu Unterhaltsfreibeträgen und Adressen.
Kreditkartendaten, Bilder von Ausweisdokumenten und Interviewvideos sind nicht betroffen. Stand 4. November gibt es keine Hinweise auf Folgeschäden wie den Missbrauch der Daten.
Ablauf des Angriffs
Laut ApplyNow nutzte der Angreifer eine Schwachstelle in einem intern eingesetzten Datenanalysetool und drang am 9. August in das System ein. Nach dem Erlangen von Administratorrechten sah er am 23. und 26. August Teile der Datenbank ein und kopierte am 7. September die Daten in einem Zug. Das Unternehmen bemerkte die Auffälligkeit am selben Tag, als das Tool ausfiel, deaktivierte unbefugte Konten und sperrte den Zugangsweg.
Als Ursache nennt ApplyNow, die vom Hersteller veröffentlichten Informationen zur Lücke nicht bemerkt und das Update zu spät eingespielt zu haben. Da Verbindungen nicht nach Herkunft beschränkt waren, dauerte auch das Erkennen der Angriffe länger. Zudem konnten über das Analysetool personenbezogene Daten abgerufen werden, es gab keine Speicherfristen, und Daten beendeter Kundenverträge blieben erhalten.
Maßnahmen
Das Update ist eingespielt, der Zugriff auf das Analysetool ist auf bestimmte IP-Adressen beschränkt. Künftig will das Unternehmen Daten nach Vertragsende löschen, verdächtige Vorgänge automatisch melden und Speicherfristen festlegen.
Apps, die sich lohnen
SUMO: das ZahlenrätselTippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.
Dialo: Sprachen lernen durch SprechenSprich mit einem KI-Gesprächspartner; jeder Satz kommt korrigiert und in deiner Sprache erklärt zurück. 9 Sprachen, A1 bis C2.
ediviewer: EDI-Dateien wie Dokumente lesenEDIFACT- und X12-Nachrichten öffnen, jedes Segment verständlich erklärt, in JSON/XML umwandeln, als PDF und Excel exportieren. Läuft lokal, kein Upload.
giftdetect: das passende Geschenk in MinutenWähle, für wen es ist, den Anlass und die Persönlichkeit. Die Suchmaschine liest Produktbeschreibungen lokaler Shops und sortiert, was passt. Kostenlos, ohne Anmeldung.
Mehr von diesem Tag
Alle anzeigen →
Tilon bringt VDI-Lösung DstationX mit sicherem KI-Zugang
Hyundai AutoEver gründet GPUaaS-Joint-Venture HMG AI Factory
Neuralink: ALS-Patient steuert Matic-Saugroboter per Gedanken
