In einer Stellungnahme erklärte Vimeo, man habe festgestellt, dass infolge des Anodot-Einbruchs ein unbefugter Akteur auf bestimmte Nutzer- und Kundendaten zugegriffen habe. Erste Erkenntnisse deuteten darauf hin, dass die betroffenen Datenbanken in erster Linie technische Daten, Videotitel und Metadaten und in einigen Fällen Kunden-E-Mail-Adressen enthielten.
Verantwortlich für den Angriff auf Vimeo ist nach eigenen Angaben die Erpressergruppe ShinyHunters. Sie listete Vimeo auf ihrem Erpressungsportal und behauptet, Daten aus den Snowflake- und BigQuery-Instanzen des Unternehmens erbeutet zu haben. Neben der Drohung, die Daten zu veröffentlichen, kündigte die Gruppe an, die Plattform solle mit „mehreren lästigen digitalen Problemen" rechnen.
Der Ausgangspunkt war der Vorfall bei Anodot: Dort stahlen die Angreifer Authentifizierungs-Token und nutzten diese, um auf Kundenumgebungen – vor allem auf Snowflake – zuzugreifen und Daten mehrerer Organisationen abzuziehen. Die Aktivität wird ebenfalls ShinyHunters zugeschrieben, die nun versucht, den Einbruch durch Erpressung und die angedrohte Veröffentlichung der gestohlenen Daten verschiedener nachgelagerter Opfer zu Geld zu machen.
Eines dieser Opfer war das Spielestudio Rockstar Games; hier behauptet ShinyHunters, mehr als 78,6 Millionen Datensätze entwendet zu haben. Im Fall Vimeo bleibt das Ausmaß dagegen offen, da die Gruppe keine Angaben zur Menge der gestohlenen Daten machte.
Vimeo betont, dass die betroffenen Daten weder die von Nutzern hochgeladenen Videoinhalte noch Zugangsdaten oder Zahlungskartendaten umfassen und der Betrieb der Plattform nicht beeinträchtigt war. Das Unternehmen hat sämtliche Anodot-Zugangsdaten deaktiviert und die Integration des Dienstes aus seinen Systemen entfernt.
Den Vorfall untersucht Vimeo nun mit Unterstützung externer Sicherheitsexperten und hat zudem die Strafverfolgungsbehörden informiert. Sollte die Untersuchung wesentliche neue Erkenntnisse liefern, will das Unternehmen weitere Informationen nachreichen.