Mehr als 5,1 Millionen Datensätze mit persönlichen Daten von Salvadorianern seien im Dark Web aufgetaucht, wie Biometric Update unter Berufung auf ein Unternehmen für Cybersicherheit berichtet. Von dem Datenabfluss wären demnach fast 80 Prozent der Einwohner des zentralamerikanischen Landes betroffen.

Zu den veröffentlichten Informationen zählten auch biometrische Daten wie hochauflösende Gesichtsfotos in Verbindung mit den Nummern des nationalen Ausweises von El Salvador. Somit können einzelne Personen anhand des Materials identifiziert werden.

Die Anzahl und Art der Datensätze habe zu Spekulationen geführt, dass es sich bei der Datenquelle um die nationale digitale Brieftasche «Chivo» handele, so das Portal. Der Autor der Entwendung und der Veröffentlichung sei unbekannt. Es gebe Hinweise auf eine mögliche Verbindung zur Hackergruppe Guacamaya, die bereits Regierungen und Unternehmen in mehreren lateinamerikanischen Ländern angegriffen habe.

Das Datenpaket sei von einem Nutzer mit dem Alias «CiberinteligenciaSV» in einem Hackerforum veröffentlicht worden. Er scheine zunächst versucht zu haben, die brisanten persönlichen Informationen zu verkaufen. Letztlich habe er sie aber kostenlos im Dark Web zur Verfügung gestellt.

Das Material sei offenbar in der Datenquelle nicht «ordnungsgemäß» gespeichert worden, vermutet Biometric Update. Organisationen, die Referenzdaten für biometrische Gesichtsabgleiche speichern, sollten diese Daten nicht unverschlüsselt ablegen. Diese grundlegende Anforderung an bewährte Praktiken scheine jedoch vielen Organisationen entgangen zu sein.

Wenn das Verknüpfen der Ausweisnummer mit anderen persönlichen Informationen durch die Art der Speicherung ermöglicht werde, könne dies den Schaden indes noch erheblich vergrößern. Viele Gesichtsbilder von Menschen seien möglicherweise verfügbar und mit den zugehörigen Namen auf Konten in sozialen Netzwerken verknüpft worden.

Diese Sicherheitsverletzung könne Salvadorianer zu relativ leichten Zielen für Cyberkriminelle machen, die Konten unter angenommenen Namen eröffnen wollen. Normalerweise würde dies erfordern, dass die Angreifer weitere Informationen aus einer Datenbank wie der jetzt durchgesickerten sammeln. Diese Hürde gebe es in diesem Fall jedoch nicht mehr.

Es sei allerdings unwahrscheinlich, dass die Daten einem Hacker helfen könnten, ein Zugangskontrollsystem zu überwinden, das durch gängige Abwehrmethoden geschützt sei. Aber sie könnten nützlich sein, um Systeme zu bezwingen, die so nachlässig mit den besten Praktiken der Cybersicherheit umgingen, wie die Quelle der salvadorianischen Daten.

Anmerkung von Transition News:

Persönliche und biometrische Daten sind ein zunehmend interessantes Feld für Betrüger, worauf wir bereits früher aufmerksam gemacht haben. Schwachstellen gibt es viele. Gefälschte Medieninhalte wie Deepfakes sind ebenso real wie Injektions- oder Präsentationsangriffe.

Kaum jemand wird wohl glauben, dass derartige Sicherheitslücken nur in digitalen Systemen lateinamerikanischer Länder bestünden. Die Bedenken von Bürgern und Datenschützern bezüglich des aktuellen, massiven Vorantreibens einer europäischen digitalen ID sind daher keinesfalls von der Hand zu weisen. Die ebenso schlichte wie gewagte Behauptung «bequem und sicher» ist eigentlich leicht als gefährliche Propaganda zu erkennen.