Vertrauliche Daten von Millionen Facebook-Benutzern sind in einem Forum für Cyberkriminelle aufgetaucht. Sie stammen aus einem Leak im Jahr 2019.

Telefonnummern, E-Mail-Adressen und andere Daten von hunderten Millionen Facebook-Nutzern sind am Wochenende erneut in einem Forum für Cyberkriminelle entdeckt worden. „Das sind alte Daten, über die bereits 2019 berichtet wurde. Wir haben das Problem im August 2019 entdeckt und behoben“, schrieb eine Sprecherin des Online-Netzwerks daraufhin am Samstag (Ortszeit) bei Twitter. Zuvor hatte die IT-Sicherheitsfirma Hudson Rock Daten von 533 Millionen Facebook-Nutzern im Netz entdeckt, wie die Nachrichtenseite Business Insider berichtete.

Viele persönliche Informationen geleakt
Wenn persönliche Informationen wie E-Mail-Adressen und Telefonnummern im Umlauf sind, steigt die Gefahr, dass Menschen auf gefälschte E-Mails hereinfallen, weil sie authentischer gestaltet werden können. Facebook hat nach jüngsten Angaben 2,8 Milliarden Nutzer, die mindestens einmal im Monat aktiv sind.

Die geleakten Daten umfassen den Facebook-Nutzernamen sowie den vollständigen Namen, die Telefonnummer, Geburtsdatum, Ort, biografische Angaben und in einigen Fällen auch die E-Mail-Adresse, heißt es in dem Bericht von Business Insider. Die mehr als 533 Millionen Nutzer stammen aus 106 Ländern und konnten anhand von Stichproben verifiziert werden, schreibt das Magazin. Auch wenn einige Informationen inzwischen veraltet sein dürften, enthält ein Datensatz dieser Größe dennoch genug aktuelles Material, um massenhaftes Phishing zu einer realen Gefahr werden zu lassen.

Immer wieder Probleme mit Scraping
Schon 2019 waren Telefonnummern von 420 Millionen Nutzern im Netz aufgetaucht, nachdem eine Funktion zur Freundessuche für den Datenabgriff missbraucht worden war. Die Telefonnummern waren zwar nicht offen sichtbar, konnten jedoch über automatisierte Anfragen – sogenanntes "Scraping" – in großem Stil abgerufen werden. Das verstieß gegen die Facebook-Regeln, war aber technisch möglich, bis das Online-Netzwerk die Funktion schließlich abschaltete. Sind solche Daten erst einmal im Umlauf, kann ihre Verbreitung im Netz kaum noch gestoppt werden.

Scraping wurde für Facebook immer wieder zum Problem. So musste das Online-Netzwerk 2018 einräumen, dass vermutlich alle öffentlich zugänglichen Daten der damals bereits mehr als zwei Milliarden Nutzer durch automatische Abrufe systematisch eingesammelt wurden. Die Zugriffe hatte Facebooks Entwickler-API gestattet, bis das Unternehmen diese Möglichkeit 2018 im Zuge des Cambridge-Analytica-Skandals unterband (auch Hunderttausende deutsche Facebook-Nutzer waren betroffen). Allerdings gab es auch danach noch Lücken bei der Zugriffsbeschränkung, die sich einige Entwickler zunutze machten.

Später gab es Datenschutz-Debatten um die Firma Clearview AI, die öffentlich sichtbare Bilder unter anderem von Facebooks Foto-Plattform Instagram sammelte und auf dieser Basis eine Datenbank zur Gesichtserkennung zusammenstellte. Unter den Kunden von Clearview AI sind unter anderem US-Polizeibehörden.

[Update 5.4.2021 11:14 Uhr:]
Betroffene können Facebook-Konto prüfen
Die bekannte Leak-Website haveibeenpwned hat die Daten dieses Facebook-Lecks bereits durchforstet und gut 2,5 Millionen Datensätze übernommen, in denen eine E-Mail-Adresse enthalten ist. Auf dieser Website können Benutzer anhand ihrer E-Mail-Adresse prüfen, ob ihre Daten in einem bekannt gewordenen Leak enthalten sind.

heise online-Leser Freddy Greve hat sich ebenfalls mit diesem Leak beschäftigt und eigens eine Website eingerichtet, auf der Facebook-Nutzer prüfen können, ob ihr Nutzerkonto von dem Leck betroffen ist. Nach eigener Aussage hat Freddy Greve sämtliche Daten für Deutschland, Österreich und die Schweiz aus dem Leak eingepflegt – weitere Länder sollen folgen. Ist das eigene Facebook-Profil betroffen, zeigt die Website außerdem zu diesem Account die letzten fünf Ziffern der geleakten Mobilfunknummer an.

Quelle: Daten hunderter Millionen Facebook-Nutzer erneut im Netz entdeckt | heise online

SMS-Spam nach Datenleck: Facebook will Betroffene nicht informieren

Tage nachdem eine neue riesige Datenbank mit Facebook-Nutzerdaten online gelandet ist, geht jetzt eine Spamwelle los. Facebook will nichts unternehmen.

Offenbar in Zusammenhang mit dem jüngsten Datenleck mit mehr als 500 Millionen betroffenen Facebook-Nutzern und -nutzerinnen gibt es nun eine Welle von gefährlichem SMS-Spam. Darauf weisen Betroffene in sozialen Netzwerken hin und auch in der Redaktion von heise online gibt es Fälle. Facebook, wo die Daten des jüngsten großen Lecks abgegriffen wurden, hat derweil mitgeteilt, die Betroffenen nicht selbst informieren zu wollen. Der Nachrichtenagentur Reuters sagte ein Konzernsprecher, dass man selbst gar nicht genau wisse, wer alles betroffen ist und dass die Opfer sowieso nichts unternehmen könnten, da die Daten nun einmal öffentlich seien. Die Möglichkeit zum Abgreifen der Daten sei längst geschlossen.

Facebook will nichts unternehmen
Hintergrund ist eine Datenbank mit Einträgen von mehr als 500 Millionen Facebook-Nutzernamen inklusive der vollständigen Namen, Telefonnummern, Geburtsdaten, Orten, biografischen Angaben und E-Mail-Adressen, die am Wochenende online entdeckt wurde. Betroffen waren Facebook-Nutzer:innen in aller Welt, sogar Unternehmensgründer Mark Zuckerberg. Die für Europa zuständige irische Datenschutzbehörde hatte eine Untersuchung angekündigt und zugesichert, Betroffene gegebenenfalls zu informieren. Facebook selbst hatte darauf bestanden, dass die Daten nicht durch einen Hack entwendet wurden und schon älter seien. Damit versucht der Konzern wohl, Verpflichtungen aus der DSGVO und einer Einigung mit der US-amerikanischen FTC zu entgehen. Gleichzeitig gibt es Zweifel an der vorgelegten Chronologie.

Wer herausfinden möchte, ob die eigenen Daten in dem Leak enthalten sind, kann dies auf verschiedenen Onlineangeboten überprüfen. Inzwischen hat auch der renommierte Onlinedienst Have I Been Pwned die Möglichkeit ergänzt, die eigene Telefonnummer zu überprüfen. heise online-Leser Freddy Greve hat sich ebenfalls mit diesem Leak beschäftigt und eine deutschsprachige Website eingerichtet, auf der jeder überprüfen kann, ob ein Nutzerkonto von dem Leck betroffen ist. Eingepflegt sind demnach sämtliche Daten aus dem Datenleck aus den Ländern Deutschland, Österreich und der Schweiz.

Vorsicht bei SMS
Wer betroffen ist, dürfte das aber bereits an den SMS gemerkt haben, die seit Tagen massenhaft ankommen, was den Zusammenhang nahelegt. Die Masche erinnert an ältere, vor denen beispielsweise das Landeskriminalamt Niedersachsen schon seit geraumer Zeit warnt. Die SMS kommen demnach von einer unbekannten Telefonnummer und enthalten einen Link, über den nach einem Klick Schadsoftware geladen wird. Wem das passiert ist, der solle Anzeige bei der örtlichen Polizeidienststelle erstatten. Andernfalls solle man einen Screenshot machen und die Nachricht löschen. Besondere Vorsicht ist bei SMS geboten, bei denen es vorgeblich um Paketzustellungen geht. Wenn nicht bereits geschehen, sollte außerdem eine Drittanbietersperre eingerichtet werden.

Quelle: SMS-Spam nach Datenleck: Facebook will Betroffene nicht informieren | heise online