Das US-amerikanische Sicherheitsunternehmen Aura muss sich einer erneuten Datenpanne stellen. Die Identitätsschutz-Firma bestätigte, dass eine unbefugte Person Zugriff auf knapp 900.000 Kundendatensätze erhielt. Laut Unternehmen war der Angriff das Ergebnis eines Social-Engineering-Angriffs mittels Voice-Phishing, bei dem ein Mitarbeiter manipuliert wurde.
Die gestohlenen Daten stammen von einer Marketing-Software, die Aura nach der Übernahme eines Unternehmens 2021 geerbt hatte. Aus dieser Datenbank waren 35.000 aktuelle und frühere Kunden betroffen. Die kompromittierten Informationen umfassen vollständige Namen, E-Mail-Adressen, Privatanschriften und Telefonnummern. Aura betont, dass kritische Daten wie Sozialversicherungsnummern, Passwörter und Finanzinformationen nicht gefährdet wurden.
Die Cyberkriminellen-Gruppe ShinyHunters übernahm Verantwortung für den Angriff und veröffentlichte 12 Gigabyte erbeuteter Dateien auf ihrer Erpressungsplattform im Dark Web. Die Hacker begründeten das Leak damit, dass Aura trotz mehrfacher Angebote keine Einigung mit ihnen erreicht habe – ein klassisches Muster bei Ransomware- und Erpressungsangriffen.
Die Analyse-Plattform “Have I Been Pwned” (HIBP) dokumentierte 901.000 betroffene Konten und ergänzte sie in ihre Datenbank. Bemerkenswert ist, dass 90 Prozent der exponierten E-Mail-Adressen bereits aus früheren Sicherheitsvorfällen in der HIBP-Datenbank vorhanden waren – ein warnendes Zeichen für Mehrfachbetroffene.
Aura führt derzeit eine umfassende interne Sicherheitsüberprüfung in Zusammenarbeit mit externen Cybersecurity-Experten durch. Das Unternehmen hat auch Strafverfolgungsbehörden eingeschaltet. In Kürze sollen alle betroffenen Personen personalisierte Benachrichtigungen erhalten.
Dieser Vorfall ist besonders bedeutsam, da Aura sich selbst als Schutzschild gegen digitale Bedrohungen vermarktet. Das Unternehmen bietet Identitätsdiebstahl-Schutz, Kreditüberwachung und Betrugsschutz-Tools an. Die erfolgreiche Kompromittierung durch einen klassischen Social-Engineering-Angriff zeigt: Selbst spezialisierte Sicherheitsfirmen sind nicht immun gegen menschliche Faktoren als Schwachstelle. Der Fall unterstreicht die wachsende Gefährlichkeit von Voice-Phishing und gezielten Mitarbeiter-Manipulationen.