Sicherheitsverstoß bei Fidelity: Persönliche Daten von 77.000 Kunden wurden preisgegeben - was zu tun ist, wenn Sie betroffen sind

Der Investmentriese bietet den Betroffenen 24 Monate lang kostenlose Kreditüberwachung an, um zu prüfen, ob es zu ungewöhnlichen Aktivitäten gekommen ist.

Wieder ein Tag, wieder ein Datenleck. Dieses Mal sind Kunden eines der größten Investmentunternehmen in den USA betroffen. In einer Mitteilung an mehrere Generalstaatsanwälte am Mittwoch gab Fidelity Investments bekannt, dass es am 17. August zu einem Sicherheitsvorfall gekommen sei; das Unternehmen bemerkte diesen Vorfall erst am 19. August. Ein Brief, der an die 77.099 betroffenen Kunden gesendet wurde, bestätigte, dass die Angreifer persönliche Daten dieser Kunden gestohlen haben.

Wie TechCrunch feststellte, enthielten die Mitteilungen an die drei Generalstaatsanwälte jeweils unterschiedliche Details.

In der Mitteilung, die an den Generalstaatsanwalt von Maine gesendet wurde, wurden das Datum des Datenschutzverstoßes, der Zeitpunkt seiner Entdeckung sowie die Anzahl der betroffenen Personen angegeben. Zudem enthielt die Mitteilung ein Beispiel des Schreibens, das an die Kunden versandt wurde. Laut Fidelity hatte ein Drittpartei Zugriff auf bestimmte Informationen erlangt, indem sie zwei kürzlich von Fidelity eingerichtete Kundenkonten unbefugt nutzte. Nachdem das Unternehmen diese Aktivitäten bemerkt hatte, sperrte es den Zugang zu diesen Konten und leitete mit Hilfe externer Sicherheitsexperten eine Untersuchung ein.

In einer Mitteilung über den Datenverstoß, die an den Generalstaatsanwalt von New Hampshire gesendet wurde, hieß es, dass ein Dritter bestimmte Dokumente, die mit Fidelity-Kunden sowie anderen Personen in Verbindung stehen, erlangt habe, indem er betrügerische Anfragen an eine interne Datenbank einreichte, in der Abbildungen dieser Dokumente gespeichert waren. Laut Fidelity beschränkte sich der Vorfall auf diese eine Datenbank; es wurde weder auf Kundenkonten noch auf Gelder zugegriffen. Das Unternehmen fügte hinzu, dass bestimmte „Abhilfemaßnahmen“ ergriffen wurden, um künftig solche Verstöße zu verhindern.

Anschließend wurde in einer Mitteilung über Datenverstöße, die beim Generalstaatsanwalt von Massachusetts eingereicht wurde, bekannt gegeben, dass die Sozialversicherungsnummern sowie Führerscheine der Kunden von Fidelity im Bundesstaat bei dem Vorfall kompromittiert wurden. In der Mitteilung hieß es außerdem, dass auch Finanzkonten betroffen seien.

„Obwohl die genauen Motive der Angreifer weiterhin unklar sind, war die Informationsbeschaffung vermutlich ein Hauptziel“, sagte Sarah Jones, Forschungsanalystin für Cyber-Bedrohungsinformationen bei der Cybersicherheitsfirma Critical Start, gegenüber Windows-Office.net.

„Diese Informationen könnten für zukünftige Angriffe genutzt werden - beispielsweise zur Identitätsdiebstahl, bei Phishing-Kampagnen oder sogar für Erpressungsversuche mittels Ransomware. Obwohl Fidelity den Kunden versichert, dass auf ihre Konten und Gelder nicht direkt zugegriffen wurde, wirft der Datenschutzverstoß Bedenken hinsichtlich der Sicherheit persönlicher Daten auf und erhöht somit das Risiko von Identitätsdiebstahl, Betrug oder anderen bösartigen Aktivitäten.“

Obwohl Fidelity angibt, keine Kenntnis von einem Missbrauch der bei dem Datenleck gestohlenen Daten zu haben, bietet das Unternehmen den Betroffenen kostenlose Kreditüberwachung an. Kunden können sich für einen kostenlosen Kreditüberwachungs- und Identitätsschutzdienst für 24 Monate anmelden. Dieser Service, der von TransUnion Interactive - einem Tochterunternehmen von TransUnion - bereitgestellt wird, ermöglicht es, die eigenen Kreditberichte auf Anzeichen ungewöhnlicher Aktivitäten zu überprüfen, die auf Betrug hindeuten könnten. Angemeldete Kunden können die Website besuchen und den in dem Schreiben enthaltenen Aktivierungscode verwenden.

Neben dem Testen der kostenlosen Kreditüberwachung sollten Fidelity-Kunden weitere Schritte unternehmen.

1. Überprüfung der Kontoauszüge: Überprüfen Sie jeden Kontoauszug Ihres Fidelity-Kontos sowie anderer Finanzkonten auf Anzeichen von betrügerischen Aktivitäten oder Identitätsdiebstahl. Melden Sie jegliche verdächtige Aktivitäten der jeweiligen Finanzgesellschaft.
2. Betrugswarnung: Erwägen Sie, eine Betrugswarnung in Ihrer Kreditakte zu veranlassen. Diese ist 90 Tage lang gültig und weist Kreditgeber darauf hin, Sie vor der Eröffnung oder Änderung eines Kontos auf Ihren Namen zu kontaktieren. Sie können diese Warnung bei jeder der drei großen Auskunfteien - Equifax, Experian oder TransUnion - beantragen. In dem Schreiben von Fidelity finden Sie weitere Details dazu, wie Sie die Betrugswarnung einrichten können.
3. Passwortänderung: Auch wenn es im Zuge des Datenschutzvorfalls keine Anzeichen dafür gibt, dass Passwörter kompromittiert wurden, sollten Sie vorsichtshalber Ihr Fidelity-Passwort ändern. Achten Sie darauf, dass das neue Passwort komplex ist, damit es nicht geknackt werden kann. Erwägen Sie außerdem die Verwendung eines Passwortmanagers, um starke Passwörter zu erstellen und zu speichern - insbesondere für Ihre Finanzkonten.

Letztendlich liegt es an Unternehmen wie Fidelity, geeignete Sicherheitsmaßnahmen zu ergreifen, um Verstöße zu verhindern, die ihre Kunden direkt betreffen.

„Cyberangriffe auf Finanzinstitute beinhalten oft eine Kombination verschiedener Techniken - wie Phishing, Social Engineering, das Ausnutzen von Schwachstellen sowie Credential Stuffing“, sagte Jones.

„Um diese Risiken zu minimieren, sollten Banken und Finanzinstitute robuste Sicherheitsmaßnahmen in den Vordergrund stellen - darunter Multi-Faktor-Authentifizierung (MFA), Verschlüsselung sowie regelmäßige Schwachstellenanalysen“, fügte Jones hinzu. „Es ist von entscheidender Bedeutung, Mitarbeiter über Cybersecurity-Gefahren und bewährte Vorgehensweisen aufzuklären, um Angriffe mittels Social Engineering zu verhindern.“

Ein umfassender Notfallplan ist unerlässlich, um Sicherheitsverletzungen schnell zu erkennen und zu beheben. Die kontinuierliche Überwachung von Netzwerken und Systemen auf verdächtige Aktivitäten ist von entscheidender Bedeutung. Ebenso wichtig ist die Einhaltung relevanter Branchenvorschriften und Standards, um die Datenschutz- und Sicherheitsanforderungen zu gewährleisten.