Good Smile Company: Kartendaten von 2.800 Kunden gefährdet

Good Smile Company warnt vor einem Datenabfluss im offiziellen Online-Shop: Die Kreditkartendaten von bis zu 2.800 Kunden könnten gestohlen worden sein. Im dritten Update zum Vorfall erklärt das Unternehmen, dass auf der Seite für die Kartenzahlung ein schädliches Programm installiert war.

Ablauf des Angriffs

Zwischen dem 19. und 22. Oktober verschaffte sich ein Dritter unbefugten Zugriff und rief mehrfach Nutzerdaten ab. Vom 21. Oktober, 13:55 Uhr, bis zur Schließung der Seite am 23. Oktober um 7:00 Uhr (Ortszeit) lief die Schadsoftware auf der Bezahlseite. Entdeckt wurde sie erst am 28. Oktober. Der Shop ist seit dem 23. Oktober offline.

Die ausgenutzte Schwachstelle, die laut Unternehmen nicht PHP betrifft, wurde behoben, die Sicherheitsmaßnahmen wurden verschärft. Der Fall ging an die japanische Datenschutzbehörde; Kreditkartenfirmen und Zahlungsdienstleister sollen folgen. Einen Termin für die Wiedereröffnung nennt Good Smile nicht.

Wer betroffen ist

Bei den bis zu 2.800 Nutzern sind Name des Karteninhabers, die vollständige 16-stellige Kartennummer, das Ablaufdatum und der Sicherheitscode gefährdet. Nur 384 von ihnen schlossen tatsächlich eine Bestellung per Karte ab. Die übrigen versuchten eine Zahlung ohne Abschluss, legten nach dem Login Artikel in den Warenkorb oder änderten nach einer Reservierung ihre Kartendaten (185 Nutzer). Für Kunden ohne Zahlungsvorgang hält das Unternehmen einen Abfluss für unwahrscheinlich, kann sie aber technisch nicht eingrenzen, weil das System Aktionen nicht protokolliert. Alle wurden einzeln informiert. Auch wer nach einer Bestellung eine Kartenänderung erfolglos versuchte, könnte betroffen sein.

Zudem könnten die letzten vier Ziffern und das Ablaufdatum von bis zu 402.466 hinterlegten Karten abgeflossen sein. Namen, Sicherheitscodes und verknüpfte Mitgliedsdaten seien laut Unternehmen nicht betroffen.

Bestelldaten von bis zu 7.673 Kunden, die am 22. Oktober zwischen 22:20 und etwa 23:00 Uhr bestellten, könnten ebenfalls eingesehen worden sein; bestätigt sind 202 Bestellungen. Betroffen sind Name, Adresse, Telefonnummer, E-Mail, Bestellinhalt, Betrag und Zahlungsart.