Datenpanne nach Hackerangriff auf eSignatur-Dienst HelloSign

Am 24. April wurde Dropbox Sign (ehem. HelloSign), ein Dienst zur digitalen Dokumentensignierung) Opfer eines Hackerangriffs. Eine Untersuchung ergab, dass ein Angreifer Zugang zu sensiblen Kundendaten erlangt hatte, einschließlich E-Mail-Adressen, Benutzernamen, Telefonnummern und gehashten Passwörtern sowie zu bestimmten Authentifizierungsinformationen wie API-Schlüsseln und OAuth-Token.

Nachdem der Vorfall bekannt wurde, startete Dropbox Sign eine umfangreiche Untersuchung mit führenden forensischen Experten. Es stellte sich heraus, dass der Angreifer einen automatisierten Systemkonfigurationstool von Dropbox Sign kompromittiert hatte. Der Angreifer nutzte einen Dienstaccount, der innerhalb der Backend-Systeme von Sign zum Ausführen von Anwendungen und automatisierten Diensten verwendet wird, um auf die Kundendatenbank zuzugreifen.

Als Reaktion darauf setzte das Sicherheitsteam von Dropbox die Passwörter der Nutzer zurück, meldete Nutzer von allen Geräten ab, die mit Dropbox Sign verbunden waren, und koordinierte die Rotation aller API-Schlüssel und OAuth-Token. Der Vorfall wurde auch den Datenschutzbehörden und der Polizei gemeldet.

Alle betroffenen Nutzer werden von Dropbox Sign kontaktiert und erhalten detaillierte Anweisungen, wie sie ihre Daten weiter schützen können. Dazu gehört das Zurücksetzen der Passwörter beim nächsten Login und die Neugenerierung von API-Schlüsseln.

Kunden, die ihre Passwörter auf anderen Diensten wiederverwendet haben, wird dringend empfohlen, diese ebenfalls zu ändern und, wenn möglich, Mehrfaktorauthentifizierung zu aktivieren. Für weitere Informationen und Unterstützung im Zusammenhang mit diesem Vorfall können sich Kunden direkt an Dropbox Sign wenden.