Hacker knacken Schweizer Online-Magazin

«Republik» warnt Abonnenten vor Phishing-Attacken

Hacker knacken Schweizer Online-Magazin

Die Schweizer «Republik» ist Opfer eines Hackerangriffs geworden: Unbekannte konnten wegen eines verpassten Updates zwei Monate lang auf Kundendaten zugreifen. Betroffen sind Kontaktdaten und rund 2300 anonyme Kommentare.

Publiziert: vor 9 Minuten

• Unbekannte erlangten zwei Monate lang Zugriff auf eine Kopie der «Republik»-Kundendatenbank
• Grund war ein verpasstes Update für eine bekannte Lücke in einem internen Analyse-Tool des Magazins
• Betroffen sind Kontaktdaten, Abo-Details und rund 2300 Verknüpfungen anonymer Kommentare mit Konten

Das Schweizer Online-Magazin «Republik» ist Opfer eines Hackerangriffs geworden. Wie das Medium selbst öffentlich machte, nutzten Unbekannte zwischen August und Anfang Oktober eine bekannte Sicherheitslücke in einem internen Analyse-Tool, um Zugriff auf eine Kopie der Kundendatenbank zu erlangen.

Bemerkt wurde der Einbruch erst am 14. Oktober – nicht durch ein Sicherheitssystem, sondern weil eine Fehlermeldung das Tool blockierte.

Auslöser war eine Schwachstelle im Passwort-Vergessen-Formular des Analyse-Werkzeugs. Dadurch konnten sich die Angreifer ohne Passwort Administrator-Rechte verschaffen. Zwar hatte der Software-Hersteller bereits am 6. August ein Sicherheits-Update bereitgestellt, doch die «Republik» versäumte es, die Warnung zu verfolgen und das Update einzuspielen.

Anonymität von Kommentatoren gefährdet

Laut dem Magazin handelte es sich nicht um einen gezielten Angriff auf die Redaktion, sondern um eine automatisierte, weltweite Angriffswelle, bei der Bots nach verwertbaren Zugangsdaten und KI-Schlüsseln suchten.

Die Angreifer riefen systematisch die Benutzerdaten aller aktiven und ehemaligen Abonnenten, Genossenschafter sowie reiner Newsletter-Empfänger ab. Entwendet wurden Stammdaten wie Namen, E-Mail-Adressen sowie – falls angegeben – Telefonnummern, Geburtsjahre, Geschlecht und Postadressen.

Die Angreifer luden zudem stichprobenartig Daten zu Abos, Zahlungsvermerken, Umfragen und Genossenschafts-Abstimmungen herunter. Besonders brisant: Bei rund 2300 anonym verfassten Foren-Kommentaren hatten die Angreifer Zugriff auf die Verknüpfung zwischen dem Text und dem Nutzerkonto. Die Anonymität dieser Kommentare ist damit potenziell aufgehoben.

Vorsicht Phishing!

Sensible Finanzdaten sind laut «Republik» vom Leck nicht betroffen: Kreditkarten- und Zahlungsinformationen werden nicht bei der «Republik», sondern beim externen Zahlungsdienstleister Stripe verwaltet. Auch Passwörter konnten nicht gestohlen werden, da sich Nutzer bei der Plattform passwortlos per E-Mail-Bestätigung einloggen.

Die «Republik» hat den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet und das betroffene Tool komplett abgeschaltet

Da die Angreifer nun im Besitz von Kontaktdaten und Abo-Details sind, besteht die Gefahr von Phishing-Angriffen. Betroffene sollten bei gefälschten E-Mails, Anrufen oder SMS aufpassen. Das Magazin betont, dass es Kundinnen und Kunden niemals per Telefon oder E-Mail nach Zahlungsdaten fragt. Betroffene Leser können ihre gespeicherten Daten auf Wunsch löschen lassen.