Die Woche in den Nachrichten zu Datenschutzverletzungen 3. Juni 2026

Das FBI hat Microsoft 365-Nutzer vor einer „Phishing-as-a-Service“-Plattform (PhaaS) gewarnt, die es Angreifern ermöglicht, Zugriff auf Microsoft 365-Konten zu erlangen und die Multi-Faktor-Authentifizierung (MFA) zu umgehen, ohne dass sie die Anmeldedaten des Nutzers benötigen.

Die als „Kali365“ bekannte Plattform wird von unerfahrenen Angreifern genutzt, um ausgeklügelte Phishing-Angriffe zu starten. Die Opfer erhalten E-Mails, die den Anschein erwecken, von vertrauenswürdigen Cloud-Diensten für Produktivität und Dokumentenaustausch zu stammen, und werden darin aufgefordert, eine gefälschte Microsoft-Verifizierungsseite aufzurufen und einen Gerätecode einzugeben. Auf diese Weise können sich die Angreifer OAuth-Zugriffs- und Aktualisierungstoken verschaffen, die ihnen den Zugriff auf Microsoft 365-Dienste wie Teams, Outlook und OneDrive ermöglichen.

Plattformen wie Kali365 senken weiterhin die Einstiegshürden für Cyberkriminelle, indem sie KI-generierte Phishing-Köder, Dashboards zur Opferverfolgung, automatisierte Vorlagen und andere Tools bereitstellen, die die Durchführung ausgefeilter Phishing-Kampagnen erleichtern.

Wie sich nun herausgestellt hat, waren von dem Angriff der Ransomware-Gruppe „ShinyHunters“ auf die Carnival Corporation, über den wir bereits berichtet hatten, fast 6 Millionen Kunden betroffen.

Carnival teilte mit, dass sein IT-Sicherheitsteam den Datenverstoß erstmals am 14. April entdeckt habe. Nach Angaben des Unternehmens nutzte ein Angreifer Social-Engineering-Techniken, um einen Mitarbeiter zu täuschen und sich Zugang zu den IT-Systemen des Unternehmens zu verschaffen. Zu den offengelegten Daten gehören Namen, Adressen, E-Mail-Adressen, Telefonnummern, Geburtsdaten sowie amtliche Identifikationsnummern, wie beispielsweise Führerschein- und Reisepassdaten.

Zwar hat Carnival die Gesamtzahl der betroffenen Personen nicht öffentlich bekannt gegeben, doch geht aus einem bei der Generalstaatsanwaltschaft von Maine eingereichten Dokument hervor, dass möglicherweise fast 6 Millionen Menschen betroffen sind.

Eine kritische Sicherheitslücke im Content-Management-System (CMS) „Ghost“, die bereits Anfang dieses Jahres behoben wurde, wird derzeit im Rahmen einer groß angelegten Kampagne aktiv ausgenutzt, von der Hunderte von Websites großer Organisationen betroffen sind.

Ghost ist ein weit verbreitetes Open-Source-CMS, das für Blogs, Newsletter und Veröffentlichungen entwickelt wurde. Angreifer nutzen eine kritische SQL-Injection-Sicherheitslücke in Ghost aus, die unter der Kennung CVE-2026-26980 erfasst ist und bereits im Februar behoben wurde. Durch eine erfolgreiche Ausnutzung dieser Schwachstelle können Angreifer Datenbankabfragen manipulieren und sich unbefugten Zugriff auf Backend-Systeme verschaffen. Berichten zufolge kombinieren Angreifer den Exploit zudem mit „ClickFix“-Social-Engineering-Techniken, wodurch die Wirksamkeit der Angriffe erhöht wird.

Sicherheitsforscher haben im Rahmen dieser Kampagne mehr als 700 kompromittierte Websites identifiziert, darunter auch solche, die zu großen Universitäten und Technologieunternehmen gehören.

Der jüngste Cyberangriff, der das öffentliche Nahverkehrssystem von Los Angeles lahmgelegt hat, wurde von Sicherheitsforschern mit der iranischen Regierung in Verbindung gebracht.

Die Los Angeles County Metropolitan Transportation Authority (LA Metro) stellte den Sicherheitsverstoß Mitte März fest. Zwar waren der Bahn- und Busverkehr nicht betroffen, doch führte der Vorfall zu internen Betriebsstörungen. Anfang April erklärten Vertreter der LA Metro, dass Hunderte von Servern auf Anzeichen einer Kompromittierung überprüft werden müssten, bevor sie sicher wieder in Betrieb genommen werden könnten.

Sicherheitsforschern zufolge weisen forensische Beweise darauf hin, dass die Operation mit der Infrastruktur und den Aktivitäten von „Black Shadow“ in Verbindung steht, einer Hackergruppe, von der angenommen wird, dass sie Verbindungen zum Iran unterhält.

Der Stadtrat von Mosman, eine Kommunalbehörde in Sydney, untersucht derzeit einen Cybervorfall, bei dem es zu einer Sicherheitsverletzung bei einer digitalen Plattform eines Drittanbieters gekommen ist, die zur Verwaltung und Erbringung einiger seiner kommunalen Dienstleistungen genutzt wird.

Laut einer Erklärung des Rates vom 26. Mai scheint der Vorfall Teil einer umfassenderen Sicherheitsverletzung zu sein, von der mehrere Kunden des Drittanbieters betroffen sind. Der Rat teilte mit, dass das betroffene System extern betrieben wird und man derzeit daran arbeite, das Ausmaß des Vorfalls zu ermitteln.

Art und Umfang der abgerufenen Daten sowie etwaige personenbezogene Daten, die möglicherweise kompromittiert wurden, werden derzeit noch untersucht.