Tile: Hacker erbeutet interne Tracking-Tools und Kundendaten

Das Unternehmen Tile, bekannt für Bluetooth-Ortungsgeräte, war auch bei uns im Blog schon mehrfach Teil unserer Berichterstattung. Laut eines Berichts von 404 Media wurde Tile kürzlich gehackt. Ein Hacker konnte sich Zugang zu den internen Tools von Tile verschaffen, die für die Bearbeitung von Standortdaten-Anfragen für Strafverfolgungsbehörden verwendet werden. Dies gab dem Hacker Kundennamen, Adressen, E-Mail-Adressen und Telefonnummern an die Hand.

Auch wenn Datenschutzverletzungen heutzutage keine Seltenheit mehr sind, hat Tile sich zu dem Angriff nicht geäußert und ihn erst erwähnt, als man von 404 Media kontaktiert wurde. Die Website erfuhr von der Verletzung durch den Hacker. Die Muttergesellschaft von Tile, Life360, veröffentlichte eine Erklärung über den Angriff auf ihrer Website, nachdem sie von 404 Media dazu aufgefordert wurde. Darin heißt es:

„Wie viele andere Unternehmen wurde auch Life360 kürzlich Opfer eines kriminellen Erpressungsversuchs. Wir erhielten E-Mails von einem unbekannten Akteur, der behauptete, im Besitz von Tile-Kundendaten zu sein. Wir haben sofort eine Untersuchung des potenziellen Vorfalls eingeleitet und einen unbefugten Zugriff auf eine Tile-Kundensupportplattform (jedoch nicht auf unsere Tile-Serviceplattform) festgestellt. Bei den potenziell betroffenen Daten handelt es sich um Informationen wie Namen, Adressen, E-Mail-Adressen, Telefonnummern und Identifikationsnummern von Tile-Geräten. Es handelt sich nicht um sensiblere Informationen wie Kreditkartennummern, Passwörter oder Anmeldedaten, Standortdaten oder von der Regierung ausgestellte Identifikationsnummern, da die Tile-Kundensupportplattform diese Informationstypen nicht enthielt.

Wir glauben, dass dieser Vorfall auf die oben beschriebenen spezifischen Tile-Kundensupportdaten beschränkt war und nicht weiter verbreitet ist. Wir nehmen diesen Vorfall und die Sicherheit von Kundendaten sehr ernst. Wir haben Maßnahmen ergriffen und werden diese auch weiterhin ergreifen, um unsere Systeme vor bösartigen Akteuren zu schützen, und wir haben diesen Vorfall und den Erpressungsversuch den Strafverfolgungsbehörden gemeldet. Wir setzen uns weiterhin dafür ein, dass Familien online und in der realen Welt sicher sind.“

Zwar wurden keine Standortinformationen erlangt, doch ist der Vorfall aufgrund der Art des Tools, auf das der Hacker zugreifen konnte, alarmierend. Der Angreifer konnte mit den Zugangsdaten eines ehemaligen Tile-Angestellten in das System von Tile eindringen und sich Zugang zu einem Tool verschaffen, mit dem die Tile-Kundschaft anhand ihrer Telefonnummer gesucht werden können. Ein Teil dieses Tools ermöglichte die Suche nach dem Standortverlauf.

Tile erklärte gegenüber 404 Media, dass der Hacker nicht in der Lage gewesen wäre, auf die Standortdaten der angegriffenen Plattform zuzugreifen. Man bestätigte aber nicht, ob der Hacker beim Zugriff auf das interne Tool über die entsprechende Authentifizierung verfügte, um eine Standortabfrage durchzuführen. Tile ist einer der Hauptkonkurrenten von Apple im Bereich der Ortung von Gegenständen: Die Tracker von Tile gelten als Alternative zu Apples AirTags.