Konkret geht es um zwei Einträge, die laut der Generalstaatsanwaltschaft von Maine Falschmeldungen waren. Betroffen waren die Plattform für virtuelle Online-Welten VRChat und der Kommunikationsdienst Discord. Die Behörde bezeichnete beide Berichte bei der Abschaltung des Portals ausdrücklich als Fälschungen.
VRChat veröffentlichte dazu einen Blogeintrag und stellte klar, dass die in seinem Namen eingereichte Meldung nicht echt war. In der Einreichung war behauptet worden, 2,4 Millionen Nutzer der Plattform seien betroffen. VRChat erklärte dazu, man habe „keinen Grund zu der Annahme, dass unsere Daten und Systeme kompromittiert wurden, und wir haben keine offizielle Meldung über eine Datenschutzverletzung eingereicht“.
Weiter teilte das Unternehmen mit, die eingereichte Mitteilung stamme offenbar von einer unbekannten dritten Partei. Sie sei auf gefälschtem VRChat-Briefpapier verfasst worden und habe Namen sowie Kontaktdaten einer Person enthalten, die nicht existiere.
Auch im Fall von Discord wurde bei der Behörde in Maine eine Meldung eingereicht, wonach eine Datenschutzverletzung 10 Millionen Nutzer der Plattform betroffen habe. Dem Bericht zufolge enthielt diese Einreichung mehrere Warnzeichen, die darauf hindeuteten, dass sie wahrscheinlich gefälscht war.
Discord hatte im vergangenen Jahr zwar tatsächlich eine Datenschutzverletzung offengelegt, doch laut dem Bericht gibt es keine Hinweise darauf, dass 10 Millionen Personen betroffen waren. Das Unternehmen bestätigte damals, dass Kopien staatlich ausgestellter Ausweisdokumente von rund 70.000 Menschen kompromittiert worden waren.
Die Datenbank des Bundesstaats Maine war bis zur Abschaltung eine wichtige öffentliche Quelle zu gemeldeten Datenschutzverletzungen. Sie listete nahezu 6.000 Vorfälle auf, die seit Mitte 2020 gemeldet worden waren. In den meisten Einträgen fanden sich die Gesamtzahl der betroffenen Personen sowie wesentliche Informationen über Auswirkungen und Ausmaß eines Vorfalls.
Besonders relevant ist das, weil Maine zu einer kleinen Zahl von US-Bundesstaaten gehört, deren Generalstaatsanwalt von meldenden Organisationen die Gesamtzahl der landesweit Betroffenen verlangt — nicht nur die Zahl der betroffenen Einwohner des eigenen Bundesstaats.
Die Generalstaatsanwaltschaft erklärte, man überprüfe nun die Verfahren, „um diesen Missbrauch in Zukunft weniger wahrscheinlich zu machen und zugleich die öffentliche Verfügbarkeit solcher Informationen zu erhalten“. Die öffentlich zugängliche Datenbank bleibe bis dahin offline. Organisationen können Datenschutzverletzungen der Behörde in der Zwischenzeit weiterhin melden.