Kundendatenbank von e-tec vermutlich geleaked

Ich bekam am sechsten August eine Phishing-Email an eine Emailadresse, die ich am 18. Juli exklusiv für e-tec eingerichtet habe. Der Web-Traffic von mir zu e-tec passierte nach Anlegen meines Accounts verschlüsselt per https. Ich nehme an, dass das Abgreifen der neun legitimen Informations-Emails von e-tec an meine e-tec-Adresse durch die Phisher nicht passierte (Skalierung des Angriffes, Phishing zu wenig personalisiert, ...). Ein Zertifikatsangriff per Man-in-the-middle ist für Phishing wohl auch zu komplex. Deswegen befürchte ich, dass die e-tec-Kundendatenbank gehackt wurde.

Die Meldeadresse vom Innenministerium und die Geschäftsführung von e-tec wurden von mir benachrichtigt.

Das Phishing-Email kam von Bank Austria <kundenservice@unicredit.com> (ich bin dort nicht Kunde), die mich zum Entsperren meiner zuvor sicherheitshalber gesperrten Kreditkarte auffordert: Message-Id: <ZYY1PWG6-Z4XK-NVM-XWWX-D1A372CBI3P3@unicredit.com> und Subject: Ihre Kreditkarte.

Der Phishing-URL im HTML-Body der Email linkt auf www.uniaustriakundendienst.pw/login/bestaetigen/karte/ (wurde von mir klarerweise nicht besucht). WHOIS sagt mir, dass die Domain für Panama angemeldet wurde.

Das BMI bedankte sich und leitete eine Untersuchung gemeinsam mit e-tec ein. Der Geschäftsführer von e-tec bedankte sich auch und meinte, dass das Problem eingegrenzt ist, da sie aus Sicherheitsgründen weder Kreditkarten- noch Bankdaten speichern.

Schindluder kann man mit den Daten trotzdem anstellen.

Also sei gewarnt.

Update 2015-08-28: In der Zwischenzeit habe ich auch ein Email eines anderen Betroffenen bekommen, der auf eine exklusive e-tec-Emailadresse Spam erhalten hat.