Sicherheitslücke bei Opensubtitles: Millionen Nutzerdaten zugänglich

Wer auf der Suche nach passenden Untertiteln für Serien und/oder Filme ist, kommt um die umfangreiche Datenbank von „Opensubtitles“ häufig nicht herum. Dementsprechend erfreut sich die Webseite auch einer riesigen Zahl an aktiven Usern. Selbige dürften nun jedoch ein wenig Bauchweh bekommen. Schließlich wurde nun von den Verantwortlichen höchstpersönlich kommuniziert, dass teils empfindliche Daten von knapp 7 Millionen Nutzern offen zugänglich waren und gestohlen wurden. Grund hierfür war ein massives Datenleck.

Massenhafter Datenklau

Mit Opensubtitles ist die nächste Webseite Opfer eines Cyberangriffs geworden. Dabei scheinen es die Zuständigen der beliebten Internetseite, den Angreifern nicht wirklich schwer gemacht zu haben. Aufgrund eines Datenlecks konnten die Kriminellen nämlich kurzerhand die Daten von etwa 7 Millionen Usern erbeuten. Die Betreiber reagierten schnell und zahlten ein saftiges Lösegeld in Form von Bitcoins – ein Fehler, wie sich nun herausstellt. Schließlich haben die Angreifer die gestohlenen Daten trotzdem ins Netz gestellt. Ganz offen kommuniziert die Webseite dieses Problem im Rahmen eines Eintrags im hauseigenen Forum:

„Im August 2021 erhielten wir eine Nachricht auf Telegram von einem Hacker, der uns bewies, dass er sich Zugang zur Benutzertabelle von Opensubtitles.org verschaffen konnte und einen SQL-Dump davon heruntergeladen hat“

Veröffentlichung trotz Lösegeld-Zahlung

Der Vorfall rund um Opensubtitles ist ein weiteres Beispiel dafür,  dass eine Lösegeld-Zahlung keineswegs für Befreiung sorgen muss. Dies gilt bei Entführungsfällen in der „realen Welt“ genauso wie in der Cyberkriminalität im Netz. Allerdings machen Möglichkeiten wie anonyme Bitcoin-Zahlungen es den Tätern häufig noch leichter, mit dem Lösegeld durchzubrennen und dem Versprechen nicht nachzukommen. Auch Opensubtitles zahlte den Erpressern eine empfindliche Geldsumme in Form von Bitcoins. Im Gegenzug sollen die Entwickler seitens der Angreifer sogar Hilfe gekommen haben, die Probleme zu beheben.

Die augenscheinliche Unterstützung der Angreifer stellte sich jedoch im Anschluss als fadenscheinig heraus. Stattdessen haben die Hacker die ergaunerten Daten kurzerhand im Netz veröffentlicht. Penibel aufgereiht in einer Datenbank konnten Interessenten auf die Nutzerdaten zugreifen. Wäre die Lösegeldzahlung nicht „schiefgegangen“, hätten wir von dem Angriff wohl gar nichts mitbekommen. Schließlich hat Opensubtitles seine User erst dann informiert, als man über die Veröffentlichung durch die Angreifer bescheid wusste.

Zu schwaches Passwort als Einfallstor

Doch wie konnten sich die Angreifer überhaupt Zugang zu der Webseite verschaffen? Hier gingen die Kriminellen einen eher klassischen Weg. So ist es ihnen offenbar gelungen, das Passwort eines „Super-Admins“ herauszufinden. Damit standen ihnen natürlich auch die erforderlichen Admin-Rechte zu. Sie führten ein Skript aus und konnten millionenfach Nutzerdaten herunterladen.

Empfindliche Daten betroffen

Laut Opensubtitels konnten der oder die Kriminellen auf alle Nutzerdaten der angemeldeten User zugreifen. Von den 7 Millionen betroffenen Personen konnten die Angreifer dann Daten wie Mail-Adresse, IP-Adressen und sogar Passwörter abrufen. Hieraus resultiert vor allem dann eine Gefahr für die Nutzer, wenn sie bei Opensubtitles das gleiche Passwort verwenden wie bei einem anderen Service. Aufgrund der Verschlossenheit der Webseiten-Betreiber ist dieses Risiko nicht allzu gering. Schließlich waren die Passwörter nun seit einem knappen halben Jahr offen zugänglich. Eine offene Kommunikation wäre hier durchaus ratsam und vor allem fair gewesen.

Opensubtitles gelobt Besserung

Natürlich stehen die Webseitenbetreiber jetzt mehr als dumm da. Opfer eines Cyberangriffes zu werden ist die eine Sache. Der Versuch diese zu vertuschen hingegen die weitaus problematischere. Opensubtitles sieht den Cyberangriff jedoch als Fehler aus dem man lernen kann und auch möchte. Eigenen Angaben entsprechend habe man sich nach dieser „harten Lektion“ um Besserung bemüht. In Sachen Sicherheit sei viel Geld investiert worden, um zukünftig besser gewappnet zu sein.