Bei der Medienwerkstatt in Sulgen TG, einem Medien- und Produktionsdienstleister, wurden am 9. Oktober ungewöhnliche Aktivitäten entdeckt. Laut eigener Mitteilung haben Angreifer geschäftliche Kontaktdaten, Produktions- und Auftragsdaten sowie Bilddateien kopiert. Die Firma hat den Datenschutzbeauftragten und die Polizei informiert, die Systeme sind wiederhergestellt, und betroffene Kunden werden direkt benachrichtigt.
Die Erpressergruppe Akira hat sich zu dem Angriff bekannt und behauptet, 130 Gigabyte erbeutet zu haben. Das ist ihre Angabe, bestätigt ist sie nicht. Es ist dieselbe Gruppe, die sich auch zum Angriff auf den Softwarelieferanten der Pensionskassen bekannt hat.
Was Twint dazu sagt
In der Mitteilung der Medienwerkstatt kommt Twint nicht vor. Gegenüber nau.ch hat Twint aber bestätigt, dass es um den Dienstleister geht, der die QR-Code-Sticker und Registrierungsbriefe für Twint-Händler herstellt. Händler wurden am 22. Oktober per Mail informiert.
Abgeflossen sind laut Twint die Briefe der letzten zwölf Monate mit Firmennamen und Geschäftsadressen, in einigen Fällen auch Telefonnummern und Mailadressen. Zahlungs-, Zugangs- und Finanzdaten seien nicht betroffen, ebenso wenig Privatkunden. Betroffen sei eine kleine einstellige Prozentzahl der Händler. Handlungsbedarf bestehe nicht, man solle aber bei unerwarteten Mails, Anrufen, SMS oder WhatsApp-Nachrichten besonders vorsichtig sein.
Nicht die Adresse ist das Wertvolle
Die Adresse eines Ladens, eines Restaurants oder einer Praxis ist ohnehin öffentlich. Was nicht öffentlich ist: dass genau dieses Geschäft mit Twint kassiert und in den letzten Monaten Post von Twint bekommen hat, mit Stickern oder einem Registrierungsbrief.
Das ist der Stoff, aus dem ein glaubwürdiger Anruf gemacht wird. Wer sich «im Namen von Twint» meldet und dabei auf die neuen Sticker oder den letzten Brief von Twint Bezug nimmt, spricht über etwas, das tatsächlich passiert ist. Die übliche Prüfung im Kopf, «kenne ich diesen Vorgang überhaupt?», fällt dann positiv aus.
Ob solche Anrufe in diesem Fall schon vorkommen, wissen wir nicht. Die Mechanik kennen wir aber. Das Bundesamt für Cybersicherheit hat im September vor falschen Rückrufaufforderungen gewarnt, unter anderem im Namen von Twint. Und beim Ricardo-Datenabfluss waren es genau solche korrekten Angaben, die gefälschte Nachrichten echt wirken liessen.
Die Druckerei auf der Lieferantenliste
Gestern haben wir vier Fragen beschrieben, die jeder Betrieb seinen Lieferanten stellen kann. Die Druckerei steht auf kaum einer solchen Liste. Dabei weiss sie oft mehr, als man denkt.
Wer einen Versand an Kunden über eine Druckerei oder einen Lettershop abwickelt, gibt dafür die Adressliste aus der Hand. Für Visitenkarten und Briefpapier liegen Namen, Funktionen und Durchwahlen dort. Und in den Auftragsdaten steht, wer wann was bestellt hat. Die Frage von gestern gilt hier genauso: Was geschieht mit der Adressliste, wenn der Versand erledigt ist?
Was Händler jetzt tun können
Mit Anrufen rechnen, die korrekt klingen. Wer mit Twint kassiert, sollte damit rechnen, dass Anrufer den eigenen Firmennamen, die Adresse und vielleicht den letzten Brief von Twint kennen. Das macht sie nicht echt.
Nichts bestätigen, nichts herausgeben. Keine Login-Daten, keine Sicherheitsmerkmale, keine Bestätigungscodes, keine Links. Das sagt auch Twint selbst.
Über den bekannten Weg zurückfragen. Wer unsicher ist, legt auf und meldet sich über die Kontaktangaben, die man selbst kennt, etwa aus dem Händlerportal oder von der offiziellen Website. Nie über eine Nummer oder einen Link aus der Nachricht.
Das Team einweihen. Am Telefon und an der Kasse stehen selten die Inhaber. Ein kurzer Hinweis heute ist mehr wert als eine Schulung in drei Monaten.