Der niederländische Kosmetikkonzern Rituals hat offiziell eine Sicherheitsverletzung bestätigt, die im frühen Teil dieses Monats stattgefunden hat. Nach eigenen Angaben ermöglichten Hackerintrusen den unbefugten Zugriff auf und das Herunterladen von Daten aus der My-Rituals-Kundendatenbank. Das Unternehmen reagierte schnell und stoppte den Zugriff, konnte die Sicherheitslücke jedoch nicht verhindern, bevor Angreifer zuschlagen konnten.
Die potenziell betroffenen Daten umfassen eine Reihe sensibler persönlicher Informationen: Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten und Geschlechtsangaben. Rituals betont jedoch explizit, dass Passwörter und Zahlungsinformationen nicht in die Hände der Angreifer geraten sind – ein wichtiger Punkt für die Kundensicherheit.
Obwohl Rituals über 40 Millionen My-Rituals-Mitglieder weltweit hat, konnte das Unternehmen bislang keine genaue Angabe zur Zahl der betroffenen Personen machen. Ein Sprecher berief sich auf Sicherheitsbedenken und wollte auch nicht bestätigen, ob die Angreifer Erpressungsversuche unternommen haben.
Das Unternehmen hat eine umfassende forensische Untersuchung eingeleitet und die zuständigen Behörden informiert. Bisher gibt es keine bekannten Ransomware- oder Erpressungsgruppen, die Verantwortung für den Angriff übernommen haben, und Rituals teilt mit, dass gestohlene Daten bislang nicht öffentlich verfügbar sind.
Rituals rät seinen Kunden, wachsam gegenüber Phishing-Meldungen zu sein und versichert, dass keine weiteren Maßnahmen erforderlich seien. Das Unternehmen hat über 1.170 physische Filialen und 4.200 Shop-in-Shops in mehr als zwei Dutzend Ländern – eine massive globale Präsenz, die die Reichweite dieser Sicherheitsverletzung unterstreicht.
Die Datenpanne reiht sich in eine wachsende Liste von Sicherheitsvorfällen bei großen Einzelhandelsketten und Lifestyle-Marken ein. Für deutsche Verbraucher, die regelmäßig bei Rituals einkaufen oder Mitglieder des My-Rituals-Programms sind, besteht das Risiko, dass ihre persönlichen Daten nun in den Händen Unbefugter sind – ein Szenario, das zu Identitätsdiebstahl oder gezielten Phishing-Angriffen führen kann.