Nach zwei gefälschten Einträgen hat Maine den öffentlichen Zugriff auf sein Portal für Meldungen über Datenschutzverletzungen gestoppt. Das Büro des Generalstaatsanwalts teilte mit, die falschen Meldungen seien entfernt worden. Zugleich betonte die Behörde, ihr lägen keine Erkenntnisse über aktuelle legitime Meldungen von Datenpannen bei VRChat oder Discord vor.
Einer der fingierten Einträge erschien am Donnerstag unter dem Namen eines nicht existierenden VRChat-Mitarbeiters. Darin wurde laut Bericht behauptet, 2,4 Millionen Kunden der sozialen Virtual-Reality-Plattform seien betroffen. VRChat erklärte, die Meldung sei auf gefälschtem Firmenbriefpapier eingereicht worden.
In ihrer Pressemitteilung bezeichnete die Behörde die Einträge als Scherze. Sie kündigte an, die eigenen Verfahren zu überprüfen, um einen solchen Missbrauch künftig weniger wahrscheinlich zu machen und zugleich die öffentliche Verfügbarkeit dieser Informationen zu erhalten. Bis dahin bleibe die öffentlich zugängliche Datenbank offline. Wer sich nach bereits vorliegenden Meldungen erkundigen wolle, könne sich direkt an die Behörde wenden.
Unternehmen können Vorfälle weiterhin über das System melden. Der öffentliche Zugang soll jedoch erst nach Abschluss einer Prüfung der Abläufe wieder einfacher möglich sein. Der Hintergrund: Das Portal ließ es in der Vergangenheit zu, dass Unternehmen Meldungen ohne vorherige Prüfung auf der Website einstellen konnten, was den Missbrauch erleichterte.
Dass die Abschaltung Folgen über den Einzelfall hinaus haben könnte, liegt an der Bedeutung des Portals für mehrere Fachgruppen. Laut Bericht war die Datenbank eine wertvolle Ressource für Sicherheitsforscher, Journalisten und Unternehmen, die im Bereich Threat Intelligence arbeiten.
Maine nannte öffentlich nur VRChat und Discord als betroffene Namen, schloss aber nicht aus, dass weitere betrügerische Meldungen eingestellt worden sein könnten. VRChat kritisierte in einer Stellungnahme zudem die Reaktionsgeschwindigkeit der Behörden. Trotz aller Bemühungen des Unternehmens sei der falsche Hinweis mehrere Stunden lang online geblieben.
VRChat stellte zugleich klar, es gebe keinen Grund zu der Annahme, dass Daten oder Systeme des Unternehmens kompromittiert worden seien. Außerdem habe das Unternehmen keine offizielle Meldung über eine Datenschutzverletzung eingereicht. Auf Anfragen zur Stellungnahme reagierten VRChat und Discord laut Bericht nicht. Zuerst über die gefälschte Veröffentlichung berichtet hatte Bleeping Computer.