Server mit Daten der Steuerkanzlei Rockerbox legte 286 GB an Datensätzen offen

Bei Rockerbox, einer Steuerberatungsfirma mit Sitz in Texas, USA, ist ein Datenleck ans Licht gekommen. Der Cybersicherheitsforscher Jeremiah Fowler entdeckte kürzlich eine nicht passwortgeschützte Datenbank, die eine erhebliche Sicherheitslücke aufwies. Die Ergebnisse wurden von vpnMentor gemeldet und mit HackRead.com geteilt.

Rockerbox ist ein Beratungsunternehmen für Steuergutschriften und unterstützt Unternehmen in den gesamten Vereinigten Staaten bei der Identifizierung und Verwaltung arbeitgeberorientierter Steueranreize durch Programme wie den Work Opportunity Tax Credit (WOTC), den Employee Retention Tax Credit (ERTC), F&E-Gutschriften und Empowerment Zone-Gutschriften.

Die Offenlegung umfasste alarmierende 245.949 Datensätze mit insgesamt 286,9 GB Daten. Dieser umfangreiche Datensatz enthielt verschiedene Formen personenbezogener Daten (PII), darunter vollständige Namen, Geburtsdaten (DOB), Sozialversicherungsnummern (SSN) und Postadressen.

Zu Ihrer Information: PII sind Informationen, die eine Person direkt oder indirekt identifizieren können, während die SSN eine eindeutige neunstellige Kennung ist, die zur Nachverfolgung von Einkünften und für verschiedene staatliche Zwecke in den USA verwendet wird.

Laut Fowlers Bericht enthielten die offengelegten Aufzeichnungen auch sensible Ausweisdokumente wie Führerscheine und Formulare vom Typ DD214. Dabei handelt es sich um Entlassungs- oder Entlassungsbescheinigungen des US-Verteidigungsministeriums, die als offizielle Dokumentation des Militärdienstes eines Veteranen dienen.

Darüber hinaus wurden zahlreiche arbeits- und steuerbezogene Unterlagen kompromittiert. Dazu gehörten Anträge auf Steuergutschriften sowie offizielle Zulassungs- oder Ablehnungsbescheide, die oft komplexe finanzielle und persönliche Daten enthielten. Während der Zugriff auf einige Dateien gesperrt war, waren viele Dokumente für jeden mit Internetzugang leicht zugänglich.

Sogar bei bestimmten passwortgeschützten PDF-Dateien wurden die Dateinamen offengelegt, wodurch personenbezogene Daten wie die Namen von Arbeitgebern und Bewerbern preisgegeben wurden. Fowler wies auf das theoretische Risiko hin, dass numerische Teile dieser Dateinamen Passwörter enthalten könnten, und riet von der Einbettung solcher Daten ab.

Rockerbox, bekannt dafür, Unternehmen in den USA mit Steueranreizen in Branchen wie Gastronomie, Gesundheitswesen, Fertigung, Lebensmittelverarbeitung und Handwerk zu unterstützen, steht nun wegen seines Datenumgangs unter Beobachtung. Die umfassende Offenlegung birgt erhebliches Potenzial für gezielte Phishing-Angriffe , Identitätsdiebstahl und Finanzbetrug , da böswillige Akteure diese Fülle an persönlichen und finanziellen Informationen für illegale Zwecke nutzen könnten.

Fowler benachrichtigte Rockerbox umgehend, woraufhin die Datenbank einige Tage später gesichert und der öffentliche Zugriff gesperrt wurde. Auf seine Aufforderung zur Offenlegung erhielt er jedoch keine Antwort. Es ist auch weiterhin nicht bekannt, ob die Datenbank direkt von Rockerbox oder einem Drittanbieter verwaltet wurde, wie lange sie vor ihrer Entdeckung zugänglich war oder ob andere Unbefugte Zugriff erlangten.

„Für Unternehmen und Organisationen, die potenziell sensible personenbezogene Daten in Cloud-Speichern sammeln und speichern, ist es wichtig, geeignete Sicherheitsmaßnahmen zum Schutz dieser Informationen zu ergreifen. Dies beginnt mit Zugriffskontrollen und der Einschränkung, wer (sowohl innerhalb als auch außerhalb der Organisation) welche Informationen sehen und bearbeiten kann“, so Fowler abschließend.