Der tschechische Hersteller mit 130-jähriger Geschichte beschäftigt nach eigenen Angaben über 34.000 Mitarbeiter. Für 2025 meldete das Unternehmen einen Umsatz von mehr als 27 Milliarden Euro und einen Gewinn von knapp 2 Milliarden Euro bei mehr als einer Million ausgelieferter Fahrzeuge.
Wie Škoda mitteilte, verschafften sich die Angreifer Zugang, indem sie eine nicht näher benannte Schwachstelle in der Software des E-Commerce-Portals ausnutzten. „Im Rahmen unseres technischen Sicherheitsmonitorings haben wir festgestellt, dass Unbefugte eine Schwachstelle in der Standardsoftware unseres Online-Shops ausgenutzt haben. Dadurch konnten sie sich vorübergehend unberechtigten Zugriff auf das Shop-System verschaffen", erklärte das Unternehmen. Die Schwachstelle sei inzwischen behoben, der Vorfall an ein spezialisiertes IT-Forensik-Team zur technischen Analyse übergeben und der zuständigen Datenschutzaufsichtsbehörde gemeldet worden.
Die abgegriffenen Kundendaten umfassen eine Kombination aus Namen, Adressen, Kontaktdaten wie E-Mail-Adressen, Telefonnummern, Bestellinformationen sowie Zugangsdaten einschließlich E-Mail-Adresse und einem kryptografischen Hash des Passworts. Vollständige Kreditkartendaten würden nicht im Shop-System gespeichert, sondern ausschließlich von den jeweiligen Zahlungsdienstleistern verarbeitet, so Škoda. Nach derzeitigem Kenntnisstand sei ein direkter Zugriff auf vollständige Kreditkartendaten nicht möglich gewesen.
Hinweise auf einen Missbrauch der Zugangsdaten gebe es nicht. Dennoch warnt Škoda die Betroffenen, in den kommenden Wochen besonders wachsam bei E-Mails, Textnachrichten oder Anrufen zu sein, die sich auf ihre Geschäftsbeziehung zu Škoda oder auf Bestellungen im Online-Shop beziehen – insbesondere, wenn zur Eingabe von Zugangsdaten, zur Preisgabe vertraulicher Informationen oder zum Anklicken von Links aufgefordert wird. Zudem empfiehlt das Unternehmen, Kontoauszüge und Kreditkartenabrechnungen wie gewohnt zu prüfen und bei Auffälligkeiten umgehend die Bank oder den Zahlungsdienstleister zu informieren.
Auf Anfrage von BleepingComputer zu weiteren Einzelheiten – darunter die Gesamtzahl der betroffenen Kunden und die Frage, ob das Unternehmen mit den Angreifern über eine Lösegeldzahlung in Kontakt stand – war zunächst kein Sprecher von Škoda erreichbar.
Die Mitteilung folgt auf vergleichbare Vorfälle in der Branche: Die Hersteller Renault und Dacia legten in diesem Monat ein Datenleck offen, das britische Kunden betraf und ein breites Spektrum persönlicher sowie fahrzeugbezogener Daten umfasste, darunter Namen, Adressen sowie Fahrzeug-Identifizierungs- und Zulassungsnummern. Einen Monat zuvor war Jaguar Land Rover von einem Cyberangriff getroffen worden, der die Produktions- und Vertriebsabläufe massiv störte, zu einem Rückgang der Großhandelsmengen im dritten Quartal um 43 Prozent führte und das Unternehmen über 220 Millionen US-Dollar kostete.