Easyjet-Hack macht Kunden zu einfachen Opfern für Cyberkriminelle

Die Billigfluglinie Easyjet ist Opfer einer Cyberattacke geworden. Die Angreifer stahlen E-Mail-Adressen und Reiseinformationen. Rund 9 Millionen Kunden sind betroffen, wie die britische Fluggesellschaft auf seiner Website mitteilt. Von 2208 weiteren Kunden wurden zudem noch Kreditkarteninformationen entwendet – inklusive der CVV-Nummer.

Die Fluglinie beschreibt den Angriff als einen "äusserst fortgeschrittenen Cyberangriff". Mehr teilte das Unternehmen dazu nicht mit. Der Angriff wird nun von der Datenschutzbehörde des Vereinigten Königreichs (dem Information Commissioner's Office - ICO) untersucht.

Anderes Ziel im Visier

Gemäss einem Bericht der BBC deuten erste Untersuchungsergebnisse darauf hin, dass

Die Hacker es eigentlich auf geistiges Eigentum von Easyjet abgesehen hatten und nicht auf Informationen, die für Identitätsdiebstahl verwendet werden könnten.

Ferner berichtet BBC, dass Easyjet bereits im Januar von der Attacke erfahren hat. Es habe aber bis jetzt gedauert, das volle Ausmass des Angriffs zu verstehen und die betroffenen Kunden zu identifizieren, zitiert der Bericht einen Mediensprecher. Das Unternehmen will alle Betroffenen bis zum 26. Mai informieren.

Nicht nur die Kreditkartendetails, auch die gestohlenen Informationen der 9 Millionen Kunden könnten von Cyberkriminellen nun als Angriffsvektor ausgenutzt werden. So könnten sie die E-Mail-Adressen und Reiseinformationen etwa für zielgerichtete Phishing-Angriffe verwenden. Easyjet-Kunden sollten daher künftig ein waches Auge auf E-Mails haben, die vermeintlich von der Fluggesellschaft kommen.

Millionenstrafe mit bösem Timing

Die Cyberattacke kommt für Easyjet zu einem denkbar schlechten Zeitpunkt. Mit aller Wahrscheinlichkeit leidet das Unternehmen ohnehin bereits unter der Coronakrise und den damit verbundenen Reisebeschränkungen.

Dieser Datenverlust könnte zusätzlich zu einer hohen Busse führen. Dies war etwa auch beim Hackerangriff auf den Marktbegleiter British Airways in 2018 der Fall. Damals wurden die Daten von mehr als einer halben Million Kunden entwendet. Die ICO verhängte später eine Strafe von 183 Millionen Pfund – die deutlich höheren Entschädigungszahlungen für die betroffenen Kunden sind darin nicht enthalten.

Wird Easyjet gemäss der EU-DSGVO gebüsst, droht eine Strafe von bis zu 4 Prozent des jährlichen Umsatzes. 2019 lag der Jahresumsatz bei knapp 6,4 Milliarden Pfund – was eine Geldstrafe von über 250 Millionen Pfund zur Folge hätte.

Wer mehr zum Thema Cybercrime und IT-Sicherheit lesen will, kann dies im IT-Security-Blog von IT-Markt auf www.it-markt.ch/Security tun. Der Blog wird laufend aktualisiert.

Zum Nachschlagen:

Das IT-Security-Glossar verschafft einen schnellen Überblick über die gängigsten Begriffe rund um Cybercrime und IT-Security.

Das Who’s who der Malware gibt einen schnellen Überblick darüber, was hinter den Namen der einzelnen Schadprogrammen steckt. Mehr auf www.it-markt.ch/MalwareABC.