Pathao bestätigt Diebstahl personenbezogener Daten, während unbestätigte Behauptungen von 19 Millionen betroffenen Konten sprechen

Datendiebstahl bestätigt, Ausmaß aber weiterhin unklar

Pathao hat bestätigt, dass Angreifer beim Cybersecurity-Vorfall am 4. Oktober, der den Betrieb des Unternehmens in Bangladesch und Nepal störte, an die Namen, E-Mail-Adressen und Telefonnummern einiger Nutzer gelangten. Eine deutlich weitergehende Behauptung, Kriminelle hätten 133 Gigabyte an Informationen zu 19.063.918 Konten gestohlen und 400.000 USDT für die Nichtveröffentlichung gefordert, hat das Unternehmen nicht bestätigt.

Der Unterschied ist wichtig: Pathao räumt den Diebstahl einiger personenbezogener Daten ein. Die mutmaßliche Offenlegung von Identitätsnachweisen, Finanztransaktionen, Passwörtern und Standortdaten ist dagegen weiterhin unbestätigt. Das Unternehmen hat weder mitgeteilt, wie viele Menschen betroffen sind, noch wie die Angreifer in seine Systeme eindrangen oder wie lange sie Zugriff hatten.

In einer Erklärung vom 7. Oktober auf seiner verifizierten Facebook-Seite bestätigte Pathao erstmals öffentlich, dass personenbezogene Daten erlangt worden waren. Das Unternehmen beschrieb die Informationen, die nach seinem Kenntnisstand in die Hände der Angreifer gelangt waren:

Unseren Erkenntnissen zufolge gelangten böswillige Akteure an bestimmte personenbezogene Daten, darunter Namen, E-Mail-Adressen und Telefonnummern.

Pathao erklärte, nach Entdeckung des Vorfalls vorübergehend wichtige Systeme vom Netz genommen, die Dienste kurz darauf wiederhergestellt und externe Cybersicherheitsspezialisten hinzugezogen zu haben. Während die Arbeiten zur Stabilisierung der Plattform andauerten, könnten bei einigen Nutzern weiterhin zeitweise Probleme auftreten.

Der Vorfall betrifft mehr als einen einzelnen Dienst. Pathao bietet Transport- und Lieferdienste sowie Finanzprodukte an, darunter die digitale Geldbörse Pathao Pay und den Dienst Pathao Pay Later. Deshalb ist es entscheidend festzustellen, welche Systeme und Datensätze betroffen waren. Dass es Finanzprodukte gibt, belegt jedoch nicht, dass Zahlungsinformationen gestohlen wurden.

Am 9. Oktober untersuchte das Unternehmen die Behauptungen zu dem größeren Datensatz weiterhin. Es hatte Störungen in beiden Ländern bestätigt, aber keine Aufschlüsselung der betroffenen Nutzer oder Datensätze nach Ländern vorgelegt.

Wie sich der Vorfall entwickelte

Die öffentlichen Angaben umfassen die anfänglichen Störungen, die Bestätigung des Unternehmens und spätere Stellungnahmen zu dem mutmaßlichen Datensatz. Die Daten geben an, wann der Vorfall entdeckt und öffentlich thematisiert wurde, nicht aber die gesamte Dauer des Zugriffs durch die Angreifer.

• 4. Oktober: Pathao entdeckte einen Cybersecurity-Vorfall, verzeichnete Betriebsstörungen und nahm vorsorglich vorübergehend wichtige Systeme vom Netz.
• 7. Oktober: Pathao bestätigte öffentlich, dass einige personenbezogene Daten erlangt worden waren. Auf X verbreitete sich außerdem ein Screenshot eines mutmaßlichen Beitrags in einem Kriminellenforum, in dem von einem deutlich größeren Datendiebstahl und einer Lösegeldforderung die Rede war.
• 9. Oktober: Weitere Stellungnahmen des Unternehmens bestätigten, dass der Betrieb in Bangladesch und Nepal betroffen war. Die mutmaßliche Datenmenge, die Zahl der Datensätze und die Angaben zu sensiblen Informationen wurden weiterhin untersucht.

Pathao zufolge wurden die Dienste kurz nach der Abschaltung wieder aufgenommen. Das Unternehmen hat weder die genaue Dauer der Unterbrechung veröffentlicht noch den Wiederherstellungsprozess technisch erläutert. Den Zugang zu einer App wiederherzustellen und eine Untersuchung eines Datendiebstahls abzuschließen, sind zwei verschiedene Aufgaben: Die Dienste können wieder verfügbar sein, während Ermittler noch feststellen, welche Informationen entwendet wurden.

Was der mutmaßliche Datensatz enthält

Der kriminellen Behauptung zufolge umfasst der Datensatz rund 250 Millionen Datenbankzeilen in 591 Tabellen. Ein zentraler Datensatz zu Nutzerkonten soll 19.063.918 Einträge enthalten. Eine Datenbankzeile ist ein einzelner Eintrag, während eine Tabelle Einträge eines bestimmten Typs bündelt. Mehrere Zeilen können sich auf dieselbe Person beziehen. 250 Millionen Zeilen bedeuten daher nicht, dass 250 Millionen Nutzer betroffen wären.

Die mutmaßlichen Kontoinformationen umfassen Namen, Telefonnummern, E-Mail-Adressen, Passwortdaten, GPS-Informationen, Facebook-Kennungen und Zugriffstoken. Ein Zugriffstoken ist ein digitaler Berechtigungsnachweis, mit dem eine Anwendung auf ein Konto oder einen Dienst zugreifen kann, ohne wiederholt ein Passwort abzufragen.

Die Berichte beschreiben Teile der Behauptung unterschiedlich. In einem ist von gehashten Passwörtern die Rede, in einem anderen schlicht von Passwörtern. Beim Hashing wird ein Passwort in eine gespeicherte Darstellung umgewandelt, statt es im Klartext abzulegen. Je nach Schutzmaßnahmen kann eine Offenlegung dennoch Risiken bergen. Pathao hat nicht bestätigt, dass eine der beiden Varianten gestohlen wurde.

Auch die Struktur wird unterschiedlich beschrieben: Einige Berichte bezeichnen die 591 Einheiten als Datenbanktabellen, ein anderer als Datenbanken oder Datenspeicher. Diese Begriffe sind nicht austauschbar. Ohne einen authentifizierten Datensatz oder einen technischen Befund lässt sich die genaue Struktur nicht feststellen.

Die mutmaßlichen Identitätsdaten umfassen 19.059.387 nationale Identitätskartennummern und 19.046.583 Führerscheineinträge. Den Behauptungen zufolge sind außerdem rund 5,7 Millionen Wohnadressen und, laut einigen Berichten, etwa 19 Millionen Nutzerfotos enthalten. Pathao hat keine dieser Kategorien bestätigt.

Auch die genaue Zahl der Konten gibt keinen Aufschluss darüber, wie viele verschiedene Personen betroffen sind. Bevor sie als Zahl betroffener Nutzer gelten kann, müssen Ermittler klären, ob die Datensätze echt, aktuell oder doppelt vorhanden sind.

Auch Mitarbeiter-, Händler- und Transaktionsdaten sollen betroffen sein

Der mutmaßliche Diebstahl soll über Kundenprofile hinausgehen. Der Datensatz soll Angaben zu 549 Beschäftigten enthalten, darunter nationale Identitätsdaten, Gehälter, Religionszugehörigkeiten und Notfallkontaktnummern. Weitere Behauptungen beziehen sich auf Verwaltungszugänge, Lieferorte und Fahrtaufzeichnungen von Fahrern.

Zu den Behauptungen über Finanzdaten zählen 17.943 Bankkonto- und Bankleitzahldatensätze von Händlern sowie 845.872 Lastschrift-Transaktionsdatensätze. Bankleitzahlangaben benennen das an einer Zahlung beteiligte Institut oder dessen Filiale. Ein Transaktionsdatensatz dokumentiert einen Zahlungsvorgang. Sein Vorhandensein würde für sich genommen jedoch nicht belegen, dass ein Angreifer Geld bewegen konnte.

Diese Zahlen beziehen sich auf unterschiedliche Arten von Datensätzen und ergeben keine einzelne Zahl, die sich addieren ließe, um die Zahl der Opfer zu ermitteln. Mitarbeiterdaten, Händlerkonten und wiederholte Transaktionen können sich mit anderen Einträgen des mutmaßlichen Datensatzes überschneiden.

Md. Foyej, Pathaos Manager für Partnerschaften und Öffentlichkeitsarbeit, erklärte, das Unternehmen habe die Behauptungen zu sensiblen Datenkategorien nicht bestätigt. In einer Antwort per E-Mail schrieb er:

Die Behauptungen zu nationalen Identitätskarten, Führerscheinen, Standort-, Adress- oder Finanzdaten sind derzeit nicht bestätigt. Weitere verifizierte Informationen wird Pathao über seine offiziellen Kanäle mitteilen.

Lösegeldforderung weiterhin unbestätigt

Der mutmaßliche Beitrag der Kriminellen forderte 400.000 USDT, was Berichten zufolge etwa 400.000 US-Dollar entspricht. USDT, auch Tether genannt, ist eine Kryptowährung, die den Wert des US-Dollars abbilden soll. Die Gruppe soll Pathao 24 Stunden zur Zahlung gegeben und mit einer schrittweisen Veröffentlichung der Informationen gedroht haben.

Zu den angedrohten Veröffentlichungen sollten Berichten zufolge Identitäts-, Bank-, Mitarbeiter- und Verwaltungsdaten gehören. Die Behauptung und die Frist ließen sich nicht unabhängig überprüfen. Aus den Berichten geht weder ein bestätigter Beginn der Frist noch eine Entscheidung über eine Zahlung oder eine spätere Veröffentlichung hervor.

Foyej wollte die mutmaßliche Forderung im Namen von Pathao nicht bestätigen:

Pathao möchte sich nicht zu unbestätigten Behauptungen über Lösegeldforderungen äußern.

Die Drohung, gestohlene Informationen zu veröffentlichen, ist eine Form der Datenerpressung. Sie bedeutet nicht zwangsläufig, dass Angreifer Systeme verschlüsselt oder das Unternehmen am Zugriff auf seine eigenen Dateien gehindert haben. Pathao hat keine Hinweise auf eine Verschlüsselung offengelegt und den technischen Hintergrund der Störung nicht erläutert.

Was Pathao nach eigenen Angaben unternommen hat

Die angekündigte Reaktion von Pathao umfasst im Wesentlichen drei Maßnahmen: wichtige Systeme vom Netz zu nehmen, externe Cybersicherheitsspezialisten hinzuzuziehen und die zuständigen Behörden zu informieren. Das Unternehmen erklärte, die Meldungen seien gemäß den geltenden Vorschriften an Strafverfolgungs- oder Regierungsstellen gegangen. Welche Behörden und konkreten Rechtsvorschriften gemeint sind, teilte es nicht mit.

In seiner öffentlichen Erklärung beschrieb Pathao die unmittelbaren Maßnahmen und die Rolle der Spezialisten:

Es wurden unverzüglich Maßnahmen zur Eindämmung ergriffen. Zudem wurden externe Cybersicherheitsexperten hinzugezogen, um die Sicherheitsvorkehrungen zu verstärken und dazu beizutragen, die Sicherheit und Stabilität der Pathao-Systeme zu gewährleisten.

Das Unternehmen erklärte, während der laufenden Untersuchung mit den Behörden zusammenzuarbeiten. Es entschuldigte sich bei Nutzern, Fahrern, Händlern und Partnern für den Vorfall und die Störungen und erkannte seine Verantwortung für den Schutz der ihm anvertrauten Informationen an.

Foyej sagte außerdem, vorsorgliche Maßnahmen könnten dazu geführt haben, dass einige Nutzer automatisch abgemeldet wurden. Sie könnten sich erneut anmelden, um den Dienst zu nutzen. Eine automatische Abmeldung ist für sich genommen kein Beleg dafür, dass die Daten einer bestimmten Person gestohlen wurden.

Warum auch Kontaktdaten Risiken bergen

Die bestätigte Offenlegung von Namen, E-Mail-Adressen und Telefonnummern liefert Angreifern Informationen, mit denen sich betrügerische Kontaktversuche glaubwürdig gestalten lassen. Eine Nachricht, die jemanden mit Namen anspricht und einen von der Person genutzten Dienst erwähnt, kann überzeugender wirken als eine anonyme Anfrage.

Beim Phishing geben sich Angreifer als vertrauenswürdige Organisation oder Person aus, um jemanden dazu zu bringen, Informationen preiszugeben, einem schädlichen Link zu folgen oder eine Handlung zu genehmigen. Pathao warnte vor dieser Möglichkeit, erklärte aber nicht, dass es bereits Phishing- oder Identitätsbetrugsversuche im Zusammenhang mit dem Datendiebstahl gegeben habe.

Der IT-Spezialist Suman Ahmed Sabir nannte Identitätsdiebstahl, Bankbetrug, Phishing, Erpressung und die Übernahme von Social-Media-Konten als mögliche Risiken, falls sich die weitergehenden Behauptungen bewahrheiten. Seine Einschätzung betrifft mögliche Folgen, keine bestätigten Straftaten gegen Pathao-Nutzer.

Welche Informationen offengelegt werden, beeinflusst das Risiko. Kontaktdaten können gezielte Täuschungsversuche erleichtern; Identitätsdokumente können für Betrugsversuche genutzt werden; Standort- und Fahrtaufzeichnungen können private Bewegungen offenbaren. Zugriffstoken können je nach Berechtigungen und Gültigkeit ein Risiko für die Kontosicherheit darstellen. Pathao hat eine Offenlegung dieser sensibleren Datenkategorien nicht bestätigt.

Was Nutzern empfohlen wurde

Pathao rät vor allem zu Vorsicht bei unerwarteten Nachrichten, Anrufen und Links von Personen, die behaupten, das Unternehmen zu vertreten. Nutzer sollten Passwörter, PINs oder Einmalpasswörter als Antwort auf solche Kontaktversuche nicht weitergeben.

Ein Einmalpasswort (OTP) ist ein zeitlich begrenzter Code, mit dem eine Anmeldung oder Transaktion bestätigt wird. Wer ihn weitergibt, kann anderen ermöglichen, die damit geschützte Handlung auszuführen, selbst wenn diese das reguläre Kontopasswort nicht kennen.

Das Unternehmen empfahl Nutzern, sich für bestätigte Informationen an seine offiziellen Kommunikationskanäle zu halten. Zu den im Zusammenhang mit dem Vorfall besprochenen Sicherheitsempfehlungen gehörten außerdem, unbekannte Links zu meiden und für Facebook sowie andere Konten die Zwei-Faktor-Authentifizierung zu aktivieren. Dabei ist zusätzlich zum Passwort ein weiterer Bestätigungsschritt erforderlich.

Diese Vorsichtsmaßnahmen sollen einer möglichen missbräuchlichen Nutzung von Informationen vorbeugen, ohne davon auszugehen, dass alle Behauptungen zutreffen. Es gibt keine bestätigte Zahl kompromittierter Facebook-Konten, betrügerischer Transaktionen oder Identitätsdiebstähle infolge dieses Vorfalls.

Was die Untersuchung noch klären muss

Der Cybersicherheitsspezialist Tanvir Hassan Zoha empfahl eine unabhängige digitale forensische Untersuchung, die Sicherung relevanter Server und Zugriffsprotokolle sowie die Benachrichtigung von Aufsichts- und Strafverfolgungsbehörden gemäß geltendem Recht. Die digitale Forensik nutzt technische Belege, um den Ablauf eines Vorfalls zu rekonstruieren, darunter die aufgerufenen Systeme und die ausgeführten Aktionen.

Die Sicherung der Protokolle ist wichtig, weil sie dabei helfen kann, den Zugriffsweg, den Zeitraum des unbefugten Zugriffs und die vom Angreifer erreichten Datensätze festzustellen. Pathao hat den Einsatz externer Spezialisten angekündigt, aber nicht mitgeteilt, ob es sich um eine unabhängige forensische Untersuchung handelt, und auch keine Ergebnisse veröffentlicht.

Sabir erklärte zudem, die Cybersicherheitsaufsicht in Bangladesch sei mit personellen und finanziellen Engpässen konfrontiert, auch in den für die Reaktion auf Vorfälle zuständigen Institutionen. Er forderte einen Rechtsrahmen, der Entschädigungen für Kunden ermöglicht, die Verluste erleiden. Dabei handelt es sich um seine Einschätzungen und Empfehlungen, nicht um Feststellungen einer Behörde, die den Vorfall bei Pathao untersucht.

Die unmittelbar offenen Fragen sind konkreter: Wie viele Nutzer waren betroffen? Welche Datenkategorien wurden entwendet? Wurden Datensätze aus beiden Ländern offengelegt? Sind mutmaßliche Finanz- oder Zugangsdaten echt? Pathao hat weder einen Termin für den Abschluss der Untersuchung noch für die Veröffentlichung von Ergebnissen oder die nächste Mitteilung bekannt gegeben.

Das Versprechen des Unternehmens, bestätigte Informationen mitzuteilen, macht einen Unterschied deutlich, den Nutzer im Blick behalten sollten: Der Diebstahl einiger personenbezogener Daten ist bestätigt. Nicht bestätigt ist dagegen die Behauptung über einen 133 Gigabyte großen Datensatz mit mehr als 19 Millionen Konten sowie umfangreichen Identitäts- und Finanzdaten.

Die wichtigsten Punkte

• Pathao bestätigte, dass Angreifer beim Vorfall am 4. Oktober an die Namen, E-Mail-Adressen und Telefonnummern einiger Nutzer gelangten.
• Der Betrieb in Bangladesch und Nepal wurde gestört. Während der Stabilisierungsarbeiten könnten bei einigen Nutzern zeitweise Probleme auftreten.
• Die Behauptungen über 133 Gigabyte, 19.063.918 Konten und rund 250 Millionen Datenbankzeilen sind weiterhin unbestätigt.
• Pathao hat die mutmaßliche Offenlegung von Passwörtern, Identitätsdaten, Standortdaten oder Finanzinformationen nicht bestätigt.
• Eine gemeldete Forderung über 400.000 USDT mit einer Frist von 24 Stunden wurde vom Unternehmen nicht bestätigt.
• Externe Cybersicherheitsspezialisten sind eingebunden, die zuständigen Behörden wurden informiert. Ein Termin für den Abschluss der Untersuchung wurde nicht genannt.
• Nutzer wurden vor unaufgeforderten Kontaktversuchen gewarnt und aufgefordert, niemals Passwörter, PINs oder Einmalpasswörter weiterzugeben.