Nach Angaben von ADT beschränkten sich die betroffenen Informationen auf Namen, Telefonnummern und Anschriften. In einem kleinen Teil der Fälle seien zusätzlich Geburtsdaten sowie die letzten vier Ziffern von Sozialversicherungsnummern oder Steuer-Identifikationsnummern enthalten gewesen. Entscheidend sei, betonte das Unternehmen gegenüber BleepingComputer, dass keine Zahlungsdaten – weder Bankkonten noch Kreditkarten – abgeflossen seien und die Sicherheitssysteme der Kunden in keiner Weise betroffen oder kompromittiert worden seien.
ADT selbst hat bislang keine Gesamtzahl der Betroffenen genannt. Have I Been Pwned wertete die gestohlenen Daten aus und kam auf 5,5 Millionen Personen. Offengelegt wurden demnach unter anderem eindeutige E-Mail-Adressen, Namen, Geburtsdaten, Telefonnummern, Anschriften sowie Teile staatlicher Ausweisdokumente.
ShinyHunters hatte vergangene Woche behauptet, mehr als zehn Millionen Datensätze mit personenbezogenen Daten und Firmenunterlagen erbeutet zu haben. Nachdem der Erpressungsversuch gegenüber ADT scheiterte, veröffentlichte die Gruppe ein 11 GB großes Datenarchiv auf ihrer Leak-Seite im Darknet.
Den Einbruch führte die Gruppe gegenüber BleepingComputer auf einen Vishing-Angriff zurück: Über einen kompromittierten Okta-Single-Sign-on-Zugang eines Mitarbeiters hätten sich die Angreifer Zugriff verschafft und Daten aus der Salesforce-Instanz des Unternehmens entwendet.
Dieses Muster zieht sich durch zahlreiche Kampagnen von ShinyHunters, die im vergangenen Jahr begannen. Die Gruppe nimmt dabei die SSO-Konten von Beschäftigten und von Mitarbeitern im Business Process Outsourcing bei Microsoft Entra, Okta und Google ins Visier. Nach der Übernahme solcher Firmenzugänge greift sie Daten aus angebundenen SaaS-Anwendungen ab, darunter Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk und Dropbox.
ADT ist nicht das einzige Ziel: Vergangene Woche gab ShinyHunters an, mehr als neun Millionen Datensätze beim Medizintechnikkonzern Medtronic gestohlen zu haben. Zu den weiteren Unternehmen, deren Einbruch die Gruppe in jüngster Zeit für sich reklamierte, zählen die Europäische Kommission, Rockstar Games, der Bildungskonzern McGraw Hill, die Handelskette 7-Eleven, der Kreuzfahrtbetreiber Carnival, der Modehändler Zara sowie die Lernplattform Udemy.