DeepSeek: Millionen sensibler Datensätze geleakt

Ein schwerwiegendes Sicherheitsproblem wurde bei DeepSeek, einem chinesischen KI-Startup, entdeckt. Das Sicherheitsteam von Wiz Research fand eine öffentlich zugängliche ClickHouse-Datenbank, die ohne Authentifizierung abrufbar war. Diese Sicherheitslücke ermöglichte uneingeschränkten Zugriff auf interne Daten, einschließlich Chatverläufe, API-Schlüssel, Backend-Informationen und Betriebslogs. Insgesamt wurden über eine Million sensible Log-Einträge offengelegt.

DeepSeek hat mit seinem DeepSeek-R1-Modell, das als Alternative zu OpenAIs neuesten Systemen gilt, erhebliche Aufmerksamkeit erregt. Wiz Research untersuchte daraufhin die externe Sicherheitslage des Unternehmens und fand innerhalb weniger Minuten eine offene ClickHouse-Datenbank auf den Subdomains oauth2callback.deepseek.com und dev.deepseek.com. Die Zugriffswege über Ports 8123 und 9000 ermöglichten direkte SQL-Abfragen ohne jegliche Authentifizierung.

Die Einträge aus den Logs enthielten:

  • Eindeutige Zeitstempel ab dem 6. Januar 2025
  • Verweise auf interne DeepSeek-API-Endpunkte
  • Klartext-Logs mit Chatverläufen, API-Keys und Backend-Metadaten
  • Dateipfade und Service-Zuordnungen der KI-Infrastruktur

Ein Angreifer hätte mit einfachen SQL-Befehlen nicht nur gespeicherte Chatverläufe auslesen, sondern möglicherweise auch sensible Informationen wie Passwörter oder interne Dateistrukturen exfiltrieren können.

Tags :

Related Posts

Deutscher Cloud Provider: Massive Datenpanne betrifft gesamte Bevölkerung Georgiens

Am 4. Oktober 2024 wurde eine schwerwiegende Datenpanne in der Republik Georgien entdeckt. Eine ungeschützte Elasticsearch-Datenbank, gehostet von einem deutschen Cloud-Service-Anbieter, enthielt Millionen sensibler Datensätze georgischer Bürger. Die Datenbank wurde wenige Tage später, am 7. Oktober 2024, offline genommen, aber die potenziellen Risiken bleiben bestehen. Die Daten scheinen aus mehreren Quellen, möglicherweise staatlichen oder kommerziellen Datenbanken, zusammengeführt worden zu sein. Teile der Daten stammen offenbar aus einem bereits 2020 bekannten Leck, wurden aber mit neuen Datensätzen kombiniert. Das Datenvolumen umfasst mit mehr als 7 Mio Datensätze, wobei Georgien nur eine Bevölkerung von ca. 4 Mio Menschen aufweist. Es sind somit auch Dubletten und möglicherweise verstorbene Personen in den Datensätzen enthalten. Laut einem Bericht von Cybernews.com ist das Leck auf eine offen zugängliche ElasticSearch Instanz zurückzuführen.

Read More

Datenleck bei Hotelmanagement Plattform Otelier: Millionen persönliche Daten von Hotelgästen gestohlen

Cyberkriminelle haben bei einem Angriff auf die amerikanische Hotelmanagement-Plattform Otelier (ehemals Mydigitaloffice) persönliche Daten von Millionen Hotelgästen entwendet. Die Angreifer nutzten gestohlene Anmeldedaten eines Mitarbeiters, um in den Amazon-S3-Cloudspeicher von Otelier einzudringen. Zwischen Juli und September 2024 konnten sie nahezu acht Terabyte an sensiblen Kundendaten stehlen.

Read More

Datenleck beim LKA Brandenburg: BKA kappt Datenaustausch

Am 4. Dezember 2024 wurde bekannt, dass beim Landeskriminalamt (LKA) Brandenburg ein schwerwiegender IT-Sicherheitsvorfall aufgetreten ist. Das Bundeskriminalamt (BKA) unterbrach den Datenaustausch mit dem Staatsschutz des LKA aufgrund der Sorge, dass geheime Daten durch ein Leck abfließen könnten. Unzureichend gesicherte Netzwerkspeicher und W-LAN, die unter anderem Passwörter zum BKA-Server beinhalteten, stehen im Mittelpunkt der Ermittlungen. Das Innenministerium prüft derzeit auch mögliche Verstöße gegen die Dienst- und Fachaufsicht. Weitere Maßnahmen zur Verbesserung der IT-Sicherheit sind angekündigt.

Read More