Carhartts geleakte Kundenliste war zur Hälfte erfunden. Die andere Hälfte ist echt.
Runde Zahlen bei einem Datenleck sind meist die Schätzung von irgendjemandem. Diese wurde geprüft, und sie schrumpfte um die Hälfte.
Die Erpressergruppe ShinyHunters veröffentlichte am 13. August rund 50 GB Kundendaten von Carhartt, nachdem der Arbeitskleidungshersteller Verhandlungen über eine Forderung von 3,3 Millionen Dollar abgelehnt hatte. Der Datensatz sah aus, als umfasse er mehr als 25 Millionen Menschen. Troy Hunt, der Have I Been Pwned betreibt, arbeitete sich durch und stellte fest, dass Millionen Einträge einfach erfunden waren, um die Zahl aufzublähen. Manche Hinweise sind fast komisch: Adressen wie michelle.larue@lkvb06fkzsjv.org, ein auffälliger Haufen .edu- und .org-Domains, Geburtsdaten geballt aus den frühen 1900er-Jahren und mehr Kunden in Montenegro als in den USA. Nach dem Aussortieren der Fiktion blieben 12.933.413 echte E-Mail-Adressen, am 25. August zu HIBP hinzugefügt.
Was übrig bleibt, ist real genug. Namen, E-Mail-Adressen, Telefonnummern und Postadressen von knapp 13 Millionen Kunden, nach Hunts Analyse aus Carhartts Kundenanalyse-Datenlager auf Databricks. Passwörter und Kartennummern kommen in den veröffentlichten Daten nicht vor. Etwa 83 % der Adressen waren bereits in früheren Leaks aufgetaucht, was zeigt, wie sich solche Listen über die Jahre aufschichten: verkauft, zusammengelegt, weiterverkauft und am Ende mit erfundenen Zeilen aufgepolstert, damit sie bedrohlicher wirken, als sie sind.
Es gibt hier also nichts zurückzusetzen, was die Sache zu einem Phishing-Problem statt zu einem Konto-Problem macht. Wer Ihren Namen, Ihre Handynummer und Ihre Anschrift hat, kann eine sehr glaubwürdige SMS über eine verpasste Lieferung oder eine Rückerstattungs-E-Mail schreiben, und genau dafür werden diese Daten benutzt. Ob Ihre Adresse dabei ist, können Sie auf haveibeenpwned.com prüfen. Weil ein erfolgreicher Phishing-Versuch am Ende immer bei einem Konto landet, gibt Ihnen die Privatsphäre- und Kontenprüfung von Tendvane eine schlichte Übersicht, wie jedes Konto auf Ihrem PC angemeldet ist und was es öffnet.