Die Woche in den Nachrichten zu Datenschutzverletzungen 10. September 2025

Der japanische Reifenhersteller Bridgestone bestätigte, dass er einen Cyberangriff untersucht, der den Betrieb in einigen seiner nordamerikanischen Produktionsstätten beeinträchtigt hat.

Am Dienstag, dem 2. September 2025, tauchten Berichte über einen Cybersicherheitsvorfall auf, von dem zwei Produktionsstätten der BSA in Aiken County, South Carolina, betroffen waren. Bis Mittwoch hatte sich das Problem auf das kanadische Werk von Bridgestone in Joliette, Quebec, ausgeweitet.

Das Unternehmen teilte mit, dass sein Notfallteam den Angriff bereits in einem frühen Stadium eindämmen konnte und so den Diebstahl von Kundendaten sowie eine weitergehende Kompromittierung des Netzwerks verhindert habe. Bridgestone fügte hinzu, dass es zwar zu einigen Betriebsstörungen, darunter auch Verzögerungen in der Produktion, gekommen sei, der Betrieb nun aber wieder normal laufe.

Bridgestone wurde zwar gefragt, ob Ransomware im Spiel war, das Unternehmen gab jedoch keine Antwort, und zum Zeitpunkt der Veröffentlichung hatte noch keine Gruppe die Verantwortung für den Angriff übernommen.

Sicherheitsforscher haben einen ungesicherten und falsch konfigurierten Server der Navy Federal Credit Union (NFCU) aufgedeckt, über den 378 GB an internen Dateien zugänglich waren. Der Datenschatz umfasste Betriebsdaten aus Tableau, interne Benutzernamen, E-Mail-Adressen, Angaben zu Benutzerrollen sowie möglicherweise gehashte Passwörter und Schlüssel.

Es wurden keine Kundendaten im Klartext gefunden, und die Daten der NFCU-Mitglieder scheinen nicht kompromittiert worden zu sein. Bei den offengelegten Dateien handelte es sich größtenteils um Tableau-Arbeitsmappen und andere interne Dokumente.

Die Forscher meldeten den Vorfall der NFCU, und die Datenbank wurde innerhalb weniger Stunden gesichert.

Jaguar Land Rover (JLR) hat die Produktion an mehreren Standorten nach einem Cyberangriff, der in die internen IT-Systeme des Unternehmens eingedrungen ist, eingestellt; die Betriebsstörungen werden voraussichtlich bis in den Oktober hinein andauern. Tausende Mitarbeiter in den JLR-Werken in Halewood, Solihull und Wolverhampton in Großbritannien wurden angewiesen, zu Hause zu bleiben, bis das Problem behoben ist; sie erhalten jedoch weiterhin ihr Gehalt. Ähnliche Produktionsunterbrechungen betreffen auch die JLR-Standorte in der Slowakei, in Brasilien und in Indien.

Zwar bleiben Autohäuser und Werkstätten geöffnet, doch auch Zulieferer wie WHS Plastics, Evtec, OPmobility und SurTec sind von den Auswirkungen betroffen.

Ein Telegram-Kanal, der mit den Hackergruppen „Scattered Spider“, „Lapsus$“ und „ShinyHunters“ in Verbindung steht, hat Screenshots veröffentlicht, die offenbar JLRs interne Systeme zeigen. „Scattered Spider“, das zuvor mit Angriffen auf M&S, Co-op und Harrods in Verbindung gebracht wurde, steht im Verdacht, daran beteiligt zu sein.

Cloudflare, Zscaler und Palo Alto Networks bestätigten diese Woche, dass sie von einer Hackerattacke betroffen waren, bei der die Integrationen mit Salesloft Drift, einer mit Salesforce-Systemen verbundenen KI-Plattform, ausgenutzt wurden. Die Attacke, die dem Cyberkriminellen UNC6395 zugeschrieben wird, fand zwischen dem 8. und 18. August statt und könnte mehr als 700 Unternehmen betroffen haben.

Laut Salesloft nutzten die Angreifer gestohlene Zugangsdaten, um Kundendaten über das im vergangenen Jahr übernommene Chatbot-Tool „Drift“ zu entwenden. Salesforce hat Salesloft zwar vorsorglich vom System getrennt, doch das Unternehmen gab an, keine Anzeichen für böswillige Aktivitäten innerhalb der Plattform selbst festgestellt zu haben.

Cloudflare bezeichnete den Vorfall als einen ausgeklügelten Supply-Chain-Angriff auf B2B-Integrationen. Das Unternehmen fand unter den gestohlenen Daten 104 API-Token, die inzwischen alle ausgetauscht wurden, und warnte, dass Kundeninformationen, die in Support-Tickets weitergegeben wurden – darunter Protokolle, Token oder Passwörter –, als kompromittiert gelten sollten.

Google wies darauf hin, dass der Umfang der Kampagne über die Integration von Salesforce und Salesloft hinausgeht, und riet allen Salesloft-Drift-Kunden, Authentifizierungstoken als potenziell kompromittiert zu betrachten.

Es wird davon ausgegangen, dass dieser Vorfall in keinem Zusammenhang mit dem derzeitigen Hackerangriff auf Salesforce steht, von dem viele große Unternehmen betroffen sind.

Der Möbelhändler Lovesac hat einen Datenverstoß bestätigt, nachdem am 30. Mai 2025 verdächtige Aktivitäten in seinem internen E-Mail-System festgestellt wurden. Eine Untersuchung ergab, dass sich ein Unbefugter zwischen dem 27. und 30. Mai 2025 Zugang zum E-Mail-Konto eines Mitarbeiters verschafft hatte, wodurch sensible Daten in E-Mails und Anhängen offengelegt wurden, darunter Namen und Sozialversicherungsnummern.

Die Ransomware-Gruppe RansomHub bekannte sich zu dem Angriff und gab an, 40 GB an Unternehmensdaten gestohlen zu haben, und drohte, diese im Dark Web zu veröffentlichen. Lovesac begann am 4. September 2025 damit, die betroffenen Personen per Post zu benachrichtigen, und meldete den Vorfall zudem mehreren Generalstaatsanwälten. Das Unternehmen hat nicht bekannt gegeben, wie viele Personen betroffen sind, doch die Zahl könnte in die Tausende gehen.

Die in Toronto ansässige Online-Bank und Investmentgesellschaft Wealthsimple gab einen Verstoß gegen die Cybersicherheit bekannt, der mit einem kompromittierten Softwarepaket eines Drittanbieters in Zusammenhang steht. Wealthsimple teilte mit, dass der Verstoß am 30. August 2025 entdeckt wurde. Durch den Vorfall wurden sensible Kundendaten offengelegt, darunter Sozialversicherungsnummern, Kontonummern, Kontaktdaten, IP-Adressen und Geburtsdaten.

Weniger als 1 % der Wealthsimple-Kunden waren davon betroffen; alle wurden direkt benachrichtigt. Das Unternehmen teilte mit, dass der Vorfall innerhalb weniger Stunden unter Kontrolle gebracht worden sei, dass kein Zugriff auf Geldmittel erfolgt sei, dass keine Passwörter kompromittiert worden seien und dass die Konten weiterhin sicher seien.

Wealthsimple hat weder den betroffenen Anbieter namentlich genannt noch weitere technische Details zu dem Hackerangriff bekannt gegeben.