Das Datenleck betrifft einen externen Dienstleister, über den das Texas Parks and Wildlife Department Jagd- und Fischereilizenzen sowie Genehmigungen verkauft. TPWD ist die texanische Behörde für Wildtiere und Fischerei, State Parks, Naturschutzprogramme, Jagd- und Fischereiregeln, Bootsregistrierung sowie die Durchsetzung durch Texas Game Wardens.

Den unbefugten Zugriff entdeckte das Texas Cyber Command. Die staatliche Stelle leitete anschließend eine Untersuchung ein, um Reichweite und Folgen des Vorfalls zu bestimmen. Nach Angaben von TPWD sind Sozialversicherungsnummern, Geburtsdaten und Finanzdaten, darunter Kreditkarteninformationen, nicht betroffen.

Gleichzeitig teilte die Behörde mit, dass der Bedrohungsakteur möglicherweise personenbezogene Informationen von 3.087.721 texanischen Jagd- und Fischereilizenzkunden erlangt hat. Welche konkreten Datentypen betroffen sind, führt der vorliegende Text nicht aus, verweist aber ausdrücklich auf personenbezogene Informationen.

In der Benachrichtigung zum Vorfall erklärte TPWD: „Es gibt keine Hinweise darauf, dass Kunden unter 18 Jahren betroffen waren oder dass eine bestimmte Gruppe gezielt angegriffen wurde.“ Die offengelegten Daten reichen dem Text zufolge aus, damit Angreifer Betroffene mit Phishing- und Social-Engineering-Angriffen ansprechen können, die auf Webseiten mit Schadsoftware führen oder auf die Preisgabe weiterer sensibler Informationen abzielen.

TPWD erklärte außerdem, man arbeite „eng mit dem Anbieter des Lizenzsystems zusammen, um neue Schutzmaßnahmen und erweiterte Überwachungsdienste umzusetzen“. Den Namen des Drittanbieters nennt der Text nicht. BleepingComputer habe TPWD um weitere Informationen und um die Nennung des Dienstleisters gebeten, bislang aber keine Stellungnahme erhalten.

Betroffenen Kunden rät die Behörde, ihre Kreditauskünfte und Finanzunterlagen zu überwachen. Anspruchsberechtigte erhalten ein Jahr lang eine kostenlose Kreditüberwachung. Zusätzlich sollten Betroffene erwägen, bei großen Auskunfteien eine Kreditsperre oder einen Betrugswarnhinweis einrichten, um sich besser gegen Identitätsdiebstahl zu schützen.

Zugleich empfiehlt TPWD erhöhte Vorsicht bei Phishing- und Betrugsversuchen durch Identitätsvortäuschung. Nach Einschätzung der Behörde könnten Angreifer Nachrichten versenden, die sich als Unternehmen oder offizielle Stelle ausgeben.