Der Sicherheitsvorfall bei Nordstrom offenbarte eine Kompromittierung durch die Angreifer über das Okta-SSO-System, das mit der Salesforce Marketing Cloud verbunden ist. Dies ermöglichte es den Betrügern, massenhaft E-Mails über das legitime Versandsystem des Unternehmens zu distribuieren.
Die betrügerischen E-Mails versprachen Nordstrom-Kunden eine spektakuläre Rendite: “Senden Sie Kryptowährung an eine der unten angegebenen Adressen, und wir schicken Ihnen 200 Prozent des gesendeten Betrags zurück.” Die Dringlichkeit war bewusst eingeplant – nur zwei Stunden Zeit zur Teilnahme. Diese psychologische Manipulation sollte Kunden dazu treiben, nicht zu hinterfragen, ob beispielsweise der Firmennamen fehlerhaft als “Normstorm” geschrieben war.
Besonders bemerkenswert: Einige Empfänger gaben an, dass die E-Mail-Adresse, an die sie das Schreiben erhielten, noch nie öffentlich bekannt gemacht oder geleakt worden war. Dies deutet darauf hin, dass die Angreifer direkten Zugriff auf interne Kundendatenbanken hatten oder hatten.
Nordstrom, mit über 55.000 Mitarbeitern, einem Jahresumsatz von über 15 Milliarden Dollar und Millionen von Kunden weltweit, reagierte schnell mit einer Warnung: Das Unternehmen teilte mit, dass es niemals Kunden auffordert, Kryptowährungen zu transferieren. “Wir ergreifen sofortige Maßnahmen, um das Problem zu untersuchen und zu beheben,” hieß es in einer Mitteilung des Unternehmens.
Finanzielle Verluste sind bereits dokumentiert. Die Krypto-Wallets, die in dem Scam verwendet wurden, zeigen Einnahmen von über 5.600 Dollar – Geld, das tatsächlich von getäuschten Nordstrom-Kunden transferiert wurde.
Dieser Vorfall reiht sich in eine wachsende Serie ähnlicher Angriffe ein. Betterment und GrubHub erlebten vergleichbare Kompromittierungen ihrer Marketing-Infrastrukturen für Krypto-Scams. Der gemeinsame Nenner: Zugang zu Unternehmens-Kommunikationssystemen über schwache Authentifizierungsmechanismen oder SSO-Lücken.
Für Verbraucher gilt die klare Warnung: Kryptowährungs-Angebote sind per Definition unsicher, wenn sie von Banken oder Einzelhandelsketten kommen. Selbst wenn eine E-Mail von einer offiziellen Adresse stammt, sollten verdächtige Promotionen über offizielle Kanäle oder die Website des Unternehmens verifiziert werden. Eine persönliche oder telefonische Bestätigung kann Gewissheit bringen – und 5.600 Dollar ersparen.