Kriminelle erbeuten Nutzerdaten mit fingierten Notfallabfragen

Unter anderem Apple und Google haben sich offenbar von Betrügern dazu veranlassen lassen, persönliche Daten von teils auch minderjährigen Nutzern preiszugeben, die dazu benutzt wurden, diese zu belästigen und sexuell zu erpressen. Diese durchaus schweren Anschuldigungen erhebt das Magazin Bloomberg mit Verweis auf die Aussagen von vier Vollzugsbeamten und zwei privatwirtschaftlich tätigen Ermittlern.

Dem Bericht zufolge waren neben Apple und Google auch weitere große Technologieunternehmen betroffen, darunter die Facebook-Mutter Meta, Twitter, Discord und die Betreiber von Snapchat. Die von diesen Firmen erhaltenen Daten seien dazu verwendet worden, um Frauen und Minderjährige zu belästigen und in einigen Fällen auch dahingehend zu erpressen, sexuell explizites Material zu erstellen und weiterzugeben.

Die Art und Weise, wie die Daten dem Bericht zufolge erlangt wurden, gibt zu denken. So hätten sich die Straftäter erfolgreich als Mitarbeiter einer Ermittlungsbehörde ausgegeben und auf Basis bestehender US-Rechte auf die Herausgabe von Informationen gepocht. Allerdings sei noch zu klären, wie das Ganze im Detail abgelaufen ist, so wären die Anfragen für die Unternehmen zumindest nicht einfach als Betrug erkennbar gewesen und allem Anschein nach zudem zumindest augenscheinlich aus Ermittlerkreisen gekommen.

„Notfallabfragen“ müssen besser abgesichert werden

Die Herausgabe der Daten hat auf einer Notfallanfrage basiert, für die gesonderte Bedingungen gelten. So haben Behörden die Möglichkeit, in lebensbedrohlichen Situationen und sonstigen Notfällen quasi auf dem kurzen Dienstweg entsprechenden Zugriff zu erlangen. Ein von Bloomberg zitierter Sicherheitsexperte sieht die Erfordernis, diesen Prozess mit zusätzlichen Sicherheitsmaßnahmen auszustatten.

Es wird vermutet, dass die Kriminellen die im Rahmen einer Notfallabfrage zunächst relativ harmlos wirkenden Daten – meist sind dies nur Name, Adresse und IP-Adresse – dazu verwendet haben, die Online-Konten der betreffenden Nutzer zu hacken und auf dieser Basis ihrer Erpressungen zu starten. Auch sei den Opfern gegenüber vorgetäuscht worden, dass man im Besitz weiterer Daten sei und diese gemeinsam mit umfassenden Details zur Person veröffentlichen werde.