Laut dem US-amerikanischen Mitarbeiter-Screening-Giganten DISA haben Hacker auf Daten von mehr als 3 Millionen Personen zugegriffen

DISA Global Solutions, ein in den USA ansässiger Anbieter von Mitarbeiter-Screening-Diensten, gab bekannt, dass es bei ihm zu einem Datenverstoß gekommen sei, der mehr als 3,3 Millionen Menschen betreffe.

DISA, das für mehr als 55.000 Unternehmen und ein Drittel der Fortune 500-Unternehmen Dienstleistungen wie Drogen- und Alkoholtests sowie Hintergrundüberprüfungen anbietet, bestätigte den Datenverstoß am Montag in einer Mitteilung an den Generalstaatsanwalt des Staates Maine.

DISA erklärte, es habe am 22. April 2024 entdeckt, dass es Opfer eines „Cyber-Vorfalls“ geworden sei, der einen „begrenzten Teil“ seines Netzwerks betraf. Eine interne Untersuchung ergab, dass ein Hacker am 9. Februar 2024 in das Netzwerk des Unternehmens eingedrungen war, wo er über zwei Monate lang unbemerkt blieb.

In einem Brief an die von der Datenpanne Betroffenen, zu denen auch Personen gehören, die sich den Mitarbeiter-Screening-Tests unterzogen haben, erklärte DISA, der Angreifer habe sich „einige Informationen“ aus seinen Systemen beschafft.

In einem separaten Antrag beim Generalstaatsanwalt von Massachusetts bestätigte DISA, dass die gestohlenen Informationen Sozialversicherungsnummern, Bankkontoinformationen einschließlich Kreditkartennummern und von der Regierung ausgestellte Ausweisdokumente umfassten. Dieser Antrag bestätigte, dass mehr als 360.000 Einwohner von Massachusetts von dem Datendiebstahl betroffen waren.

In seinem Benachrichtigungsschreiben über die Datenpanne hieß es jedoch, dass DISA „nicht definitiv feststellen könne, um welche spezifischen Daten es sich handelte“. Dies deutet darauf hin, dass das Unternehmen nicht über die technischen Mittel wie etwa Protokolle verfügt, um genau festzustellen, auf welche internen Daten zugegriffen wurde oder welche exfiltriert wurden.

Der Website zufolge sammelt DISA eine breite Palette persönlicher und vertraulicher Informationen, darunter Einzelheiten zum beruflichen Werdegang, zum Bildungshintergrund, zu Vorstrafen und zur Kredithistorie eines Bewerbers.

Es ist noch nicht bekannt, wer hinter dem Cyberangriff steckt oder wie die Organisation kompromittiert wurde. Es ist auch unklar, warum DISA so lange gebraucht hat, um die betroffenen Personen über den Verstoß zu informieren.

DISA antwortete nicht sofort auf die Fragen von TechCrunch.