Hacker attackieren US-Telekom-Tochter – Daten von 37 Millionen Kunden über Wochen gestohlen

New York Die Telekom-Tochter T-Mobile US ist Ziel eines Cyberangriffs geworden. Am 5. Januar sei festgestellt worden, dass ein Dritter Daten ohne Genehmigung abgreife, teilte T-Mobile US am Donnerstag nach US-Börsenschluss mit. Mithilfe externer Experten sei die Quelle des Angriffs gefunden und dieser binnen eines Tages nach Bekanntwerden gestoppt worden.

Die Untersuchungen liefen noch. Es sei nicht ausgeschlossen, dass durch den Angriff, der am oder um den 25. November begonnen habe, hohe Kosten entstanden seien.

Demnach konnten die Hacker auf die Daten von etwa 37 Millionen Kunden zugreifen und Namen, Rechnungs- und E-Mail-Adressen, Telefonnummern, Geburtsdaten und Kontonummern einsehen. Auf andere sensible Daten habe der Angreifer auf Basis aktueller Erkenntnisse nicht zugreifen können, hieß es weiter.

Der erfolgreiche Angriff stellt das zweite größere IT-Sicherheitsleck bei T-Mobile US innerhalb von zwei Jahren dar, wie das „Wall Street Journal“ meldet. Die Aktien fielen im nachbörslichen US-Handel um gut zwei Prozent.

Bekannt wurde das Leck am Donnerstag durch einen Bericht an die US-Telekommunikationsaufseher. Das Unternehmen erklärte, mit den Strafverfolgungsbehörden und Cybersicherheits-Beratern zusammenzuarbeiten.

Angriff über Schnittstelle

Die betroffenen Kunden würden derzeit benachrichtigt. Kreditkarten-, Sozialversicherungsnummern und Kontopasswörter seien Stand jetzt nicht kompromittiert worden. T-Mobile US hat mehr als 110 Millionen Kunden. Offengelegt wurden demnach vermutlich die Daten von 37 Millionen Postpaid- und Prepaid-Kundenkonten.

„Es wurden einige grundlegende Kundeninformationen erlangt“, so T-Mobile US in einer Erklärung. Diese seien fast vollständig „in Marketing-Datenbanken oder -Verzeichnissen weithin verfügbar.“

Das Unternehmen gab an, dass der oder die Hacker unrechtmäßig Daten über eine sogenannte API-Schnittstelle abgerufen hätten. T-Mobile US erklärte, es habe die Aktivitäten innerhalb von 24 Stunden nach ihrer Entdeckung eingestellt.