Die Sicherheitsverletzung ereignete sich Anfang April, als die ShinyHunters-Gruppe am 1. April 2024 die Systeme von Charter Communications über einen sogenannten Voice-Phishing-Angriff (Vishing) durchdrangen. Die Angreifer kompromitierten ein Microsoft-Entra-Konto eines Mitarbeiters und gewannen damit Zugang zu kritischen Unternehmensressourcen.
Nach Angaben der Cyberkriminellen gelang es ihnen, 42 Millionen Datensätze aus einer Salesforce-Instanz des Unternehmens zu entwenden. Die gestohlenen Informationen umfassen Namen von Kunden, E-Mail-Adressen, physische Adressen, Telefonnummern, Tarifpläne und Support-Ticket-Daten. Have I Been Pwned bestätigte nach Analyse der veröffentlichten Daten, dass insgesamt 4,9 Millionen eindeutige E-Mail-Adressen zusammen mit Namen, Telefonnummern und Wohnadressen offengelegt wurden. Zusätzlich waren etwa 85.000 Datensätze aus einem internen Mitarbeiterverzeichnis mit Jobbezeichnungen enthalten.
Charter Communications bestritt zunächst, dass sensitive Kundendaten oder Kundenproprietär-Netzwerk-Informationen (CPNI) entwendet wurden. Der Telekomkonzern zeigte sich jedoch unkooperativ bezüglich weiterer Details und verweigerte eine präzise Stellungnahme zu den Behauptungen der ShinyHunters.
Nachdem Charter Communications die Lösegeldforderung der Angreifer ablehnte, veröffentlichte die Cyberkriminellen-Gruppe die gestohlenen Daten auf ihrem Dark-Web-Portal. Dies ist Teil eines größeren Angriffsmusters: ShinyHunters hat sich im vergangenen Jahr gezielt auf Salesforce-Kunden konzentriert und Hunderte von Unternehmen weltweit kompromittiert.
Das FBI warnte Opfer von ShinyHunters davor, Lösegeldforderungen nachzugeben, da dies nicht garantiert, dass die Daten nicht an andere Cyberkriminelle verkauft oder als Basis für weitere Erpressungsversuche genutzt werden.
Dieser Vorfall reiht sich in eine Serie von Telekommunikations-Sicherheitsverletzungen ein. Charter Communications wurde parallel auch durch die chinesische staatliche Hacker-Gruppe Salt Typhoon kompromittiert, die ebenfalls AT&T, Verizon und weitere Anbieter angegriffen hat. Diese Häufung unterstreicht die Notwendigkeit verstärkter Cybersicherheitsmaßnahmen in kritischen Infrastrukturbereichen.