Cyberattack auf TFG London: Phase Eight, Hobbs und Whistles betroffen

Ein IT-Vorfall bei drei Modeketten

Die britische Tochter des südafrikanischen Retail-Konzerns The Foschini Group hat am Sonntag, 11. Oktober, einen Sicherheitsvorfall in ihrer IT festgestellt. Betroffen sind laut Unternehmen ausdrücklich die Marken Phase Eight, Hobbs und Whistles. TFG London erklärte, man untersuche den Vorfall und arbeite dafür mit externen Sicherheitsspezialisten zusammen.

Tatsächlich handelt es sich um den zweiten Angriff auf einen britischen Modehändler innerhalb einer Woche. Eine Woche zuvor hatte Asos Kunden mitgeteilt, dass eine nicht autorisierte Partei auf einige personenbezogene Daten wie Namen und Kontaktdaten zugegriffen hatte. Die Kunden wurden per Push-Nachricht auf ihren Smartphones darüber informiert – nach Angaben von Sicherheitsforschern ein bislang ungewöhnlicher Schritt, bei dem ein Benachrichtigungssystem faktisch als Lösegeldforderung genutzt wurde. Asos hatte den Umfang zunächst als „grundlegende Kontaktdaten“ beschrieben, nach Rückfragen der BBC aber ein Update nachgeschoben. Der Datenspeicheranbieter Snowflake erklärte, die Lücke sei nicht auf eine Schwachstelle seiner Plattform zurückzuführen.

Welche Systeme betroffen sind

TFG London spricht von „bestimmten IT-Systemen“; welche Systeme konkret betroffen sind, wird nicht erläutert. Die Läden öffnen wie gewohnt, einzelne Funktionen der Marken-Websites können während der Untersuchung ausfallen. Nicht betroffen sind nach Unternehmensangaben die britischen Schwestermarken Inside Story und White Stuff sowie die Gesellschaften TFG Africa und TFG Australia. Der Konzern hat den Vorfall den zuständigen britischen Behörden gemeldet.

Daten, Zahlungen und Kundenkonten

In einer E-Mail an Kunden heißt es, es gebe „keinen Grund anzunehmen, dass Zahlungsinformationen gefährdet sind“. Gleichzeitig kündigt TFG an, weiter zu prüfen, ob sensible Kundeninformationen betroffen waren. Wer betroffen ist, solle direkt informiert werden. Ein Wechsel der Login-Daten sei derzeit nicht notwendig. Wie viele Kundenkonten und welche Datenarten betroffen sind, bleibt damit offen.

Was Kunden jetzt wissen sollten

Bestellungen, die vor dem Sonntag aufgegeben wurden, werden normal bearbeitet und geliefert. Bei Bestellungen nach dem 11. Oktober kann es zu Verzögerungen kommen; ein erneutes Auslösen der Bestellung ist nicht nötig. Rückgaben sind in den Filialen möglich, für Rücksendungen per Post arbeitet TFG London an einer Lösung.

Einordnung und Einordnungssicherheit

Beverley Griffiths, Senior Lecturer für Sicherheit und Resilienz an der Bucks New University, sagte gegenüber der Nachrichtenagentur PA (sinngemäß übersetzt), dies sei „ein klares Zeichen dafür, dass große Marken fest im Fokuszyklus von Cyberangreifern stehen". Keine Organisation sei immun, und der eigentliche Test der Resilienz liege darin, wie schnell ein Unternehmen einen Vorfall erkennt, reagiert, sich erholt und seine Kunden informiert. Kunden sollten wachsam bleiben und verdächtige Nachrichten prüfen.

Parallel prüft H&M eine separate Meldung der Gruppe ShinyHunters, die zuvor unter anderem mit Angriffen auf das FBI, Rockstar Games und Ticketmaster in Verbindung gebracht wurde. Der schwedische Konzern teilte mit, bislang keine Anzeichen dafür gefunden zu haben, dass seine Datenumgebung kompromittiert sei.

Was noch unklar ist

• Ob es sich um Ransomware mit Datenabfluss oder um eine reine IT-Störung handelt, geht aus den Quellen nicht hervor; genannt wird nur ein „Cybersecurity-Incident“.
• Die Zahl betroffener Kundenkonten sowie Art und Umfang möglicher Datenabflüsse sind unbekannt.
• Wie lange die Untersuchung dauert und ob Zahlungsdaten später doch als betroffen gelten, ist offen.

Wie es weitergeht

TFG London will die Untersuchung mit externen Spezialisten fortsetzen, Kunden mit betroffenen personenbezogenen Daten direkt kontaktieren und „bei Bedarf“ weitere Updates veröffentlichen. Für Rücksendungen per Post ist eine Lösung in Arbeit.