Fractal-ID-Datenverstoß betrifft 6.300 Benutzer und deckt KYC-Prüfungen auf

Die Blockchain-Identitätsplattform Fractal ID hat am 14. Juli 2024 einen erheblichen Datenverstoß aufgedeckt. Ursprünglich wurde der Verstoß auf einen Vorfall im Jahr 2022 zurückgeführt, bei dem ein Mitarbeiter ein kompromittiertes Passwort wiederverwendete.

A significant data breach at blockchain identity platform Fractal ID has been traced back to a 2022 incident where an employee reused a compromised password, leading to the theft of user data, the company announced on July 14, 2024.

Ein erheblicher Datenverstoß bei der Blockchain-Identitätsplattform Fractal ID geht auf einen Vorfall im Jahr 2022 zurück, bei dem ein Mitarbeiter ein kompromittiertes Passwort wiederverwendete, was zum Diebstahl von Benutzerdaten führte, gab das Unternehmen am 14. Juli 2024 bekannt.

The compromised account belonged to a long-time operator with admin rights, which allowed the attacker to bypass internal data privacy systems. However, system monitoring helped lock out the attacker within 29 minutes.

Das kompromittierte Konto gehörte einem langjährigen Betreiber mit Administratorrechten, was es dem Angreifer ermöglichte, interne Datenschutzsysteme zu umgehen. Die Systemüberwachung half jedoch, den Angreifer innerhalb von 29 Minuten auszusperren.

“The attacker was able to gain access to a back office system, which contained a database of our users,” Fractal ID stated in a postmortem report.

„Der Angreifer konnte sich Zugang zu einem Backoffice-System verschaffen, das eine Datenbank unserer Benutzer enthielt“, heißt es in einem Obduktionsbericht von Fractal ID.

The company added that the attacker did not gain access to any critical systems or the main user database, and all user funds and crypto assets remained safe.

Das Unternehmen fügte hinzu, dass der Angreifer keinen Zugriff auf kritische Systeme oder die Hauptbenutzerdatenbank erhalten habe und alle Benutzergelder und Krypto-Assets sicher geblieben seien.

The stolen data included proof-of-personhood checks, complete KYC checks, names, email addresses, phone numbers, wallet addresses, physical addresses, and images of uploaded documents. Fractal ID has directly contacted the affected users to inform them of the breach.

Zu den gestohlenen Daten gehörten Personennachweisprüfungen, vollständige KYC-Prüfungen, Namen, E-Mail-Adressen, Telefonnummern, Wallet-Adressen, physische Adressen und Bilder hochgeladener Dokumente. Fractal ID hat die betroffenen Benutzer direkt kontaktiert, um sie über den Verstoß zu informieren.

“We deeply regret this incident and are committed to protecting our users’ data. We will continue to work closely with the authorities and take all necessary steps to ensure the safety and security of our users,” the company stated.

„Wir bedauern diesen Vorfall zutiefst und setzen uns für den Schutz der Daten unserer Nutzer ein. Wir werden weiterhin eng mit den Behörden zusammenarbeiten und alle notwendigen Schritte unternehmen, um die Sicherheit unserer Nutzer zu gewährleisten“, erklärte das Unternehmen.

The incident highlights the importance of following operational security policies and training, as the reuse of credentials from past hacks can lead to devastating consequences. Fractal ID’s failure to adhere to these policies allowed the attacker to exploit the company’s vulnerabilities.

Der Vorfall unterstreicht, wie wichtig es ist, betriebliche Sicherheitsrichtlinien und Schulungen einzuhalten, da die Wiederverwendung von Anmeldeinformationen aus früheren Hacks verheerende Folgen haben kann. Die Nichteinhaltung dieser Richtlinien durch Fractal ID ermöglichte es dem Angreifer, die Schwachstellen des Unternehmens auszunutzen.

Fractal ID Takes Action After Data Breach, Enhances Security

Fractal ID ergreift Maßnahmen nach einer Datenschutzverletzung und erhöht die Sicherheit

Upon detecting unusual activity in its back office, Fractal ID quickly identified it as a malicious attack. This led to data exfiltration affecting approximately 0.5% of its user base. In response, the company disabled all accounts in the compromised system and limited access to senior employees.

Als Fractal ID ungewöhnliche Aktivitäten im Backoffice entdeckte, erkannte es schnell, dass es sich um einen böswilligen Angriff handelte. Dies führte zu einer Datenexfiltration, von der etwa 0,5 % der Nutzerbasis betroffen waren. Als Reaktion darauf deaktivierte das Unternehmen alle Konten im kompromittierten System und beschränkte den Zugriff auf leitende Mitarbeiter.

Fractal ID’s postmortem report highlighted several measures to prevent future incidents. These include implementing request throttling, finer-grained authorization, tighter monitoring of failed authentication attempts, and stricter IP control.

Der Obduktionsbericht von Fractal ID hob mehrere Maßnahmen hervor, um zukünftige Vorfälle zu verhindern. Dazu gehören die Implementierung einer Anforderungsdrosselung, eine detailliertere Autorisierung, eine strengere Überwachung fehlgeschlagener Authentifizierungsversuche und eine strengere IP-Kontrolle.

The company also contacted the pertinent data protection authorities and the cybercrime police division in Berlin.

Darüber hinaus nahm das Unternehmen Kontakt zu den zuständigen Datenschutzbehörden und der Cyberkriminalpolizei in Berlin auf.

Fractal ID Breach Exposes User Data, Affects 6,300 Users

Fractal-ID-Verletzung legt Benutzerdaten offen und betrifft 6.300 Benutzer

The breach impacted around 6,300 users, with stolen data ranging from proof-of-personhood checks to complete KYC checks. This includes names, email addresses, phone numbers, wallet addresses, physical addresses, and images of uploaded documents. Fractal ID has directly contacted affected users to inform them of the breach.

Der Verstoß betraf rund 6.300 Benutzer, wobei die gestohlenen Daten von Personennachweisprüfungen bis hin zu vollständigen KYC-Prüfungen reichten. Dazu gehören Namen, E-Mail-Adressen, Telefonnummern, Wallet-Adressen, physische Adressen und Bilder hochgeladener Dokumente. Fractal ID hat betroffene Benutzer direkt kontaktiert, um sie über den Verstoß zu informieren.

Fractal ID co-founders Julian, Julio, Lluis, and Anna expressed regret over the incident. They emphasized their commitment to protecting user data and moving toward a self-custody storage system for enhanced security.

Die Mitbegründer von Fractal ID, Julian, Julio, Lluis und Anna, drückten ihr Bedauern über den Vorfall aus. Sie betonten ihr Engagement für den Schutz von Benutzerdaten und den Übergang zu einem selbstverwalteten Speichersystem für mehr Sicherheit.

“We are deeply sorry for the inconvenience and distress this may have caused. We are committed to learning from this incident and making our platform even more secure,” the co-founders said in a joint statement.

„Wir bedauern die Unannehmlichkeiten und den Kummer, die dadurch entstanden sein könnten, zutiefst. Wir sind entschlossen, aus diesem Vorfall zu lernen und unsere Plattform noch sicherer zu machen“, sagten die Mitbegründer in einer gemeinsamen Erklärung.

Autix10, another crypto ID provider, revealed on June 27 that their online administrative login details were exposed. However, the attacker in that case did not gain access to any customer data.

Autix10, ein weiterer Krypto-ID-Anbieter, gab am 27. Juni bekannt, dass seine Online-Administrator-Anmeldedaten offengelegt wurden. Allerdings erlangte der Angreifer in diesem Fall keinen Zugriff auf Kundendaten.