Die von den Angreifern verwendete Cyberangriffsmethode nennt sich „Credential Stuffing“. Bei diesem Angriff werden Zugangsdaten, die durch Datenschutzverletzungen bei anderen Diensten erlangt wurden, genutzt, um in Konten eines anderen Dienstes einzudringen. Was „Credential Stuffing“ so effektiv macht, ist, dass zu viele Menschen denselben Benutzernamen und dasselbe Passwort für verschiedene Konten auf verschiedenen Plattformen verwenden. Roku stellte fest, dass seine Systeme nicht die Ursache dieser Datenschutzverletzung waren.
Roku-Hardware kann sehr teuer sein
Kaum hatte Roku die Untersuchung des ersten Vorfalls abgeschlossen, wurde ein zweiter Vorfall entdeckt, der 576.000 Roku-Konten betraf. Erneut sagt Roku, dass es keine Anzeichen dafür gibt, dass es sich bei den beiden Angriffen um die Quelle der Kontoanmeldeinformationen handelte. Auch Rokus Systeme wurden bei beiden Angriffen nicht beeinträchtigt. Der zweite Vorfall hört sich an, als sei erneut „Credential Stuffing“ eingesetzt worden.
Roku sagte: „Es ist vielmehr wahrscheinlich, dass die bei diesen Angriffen verwendeten Anmeldeinformationen von einer anderen Quelle stammen, beispielsweise einem anderen Online-Konto, bei dem die betroffenen Benutzer möglicherweise dieselben Anmeldeinformationen verwendet haben.“ Darüber hinaus stellt Roku fest, dass in weniger als 400 Fällen ein böswilliger Angreifer in das Konto eines Roku-Abonnenten eingedrungen ist und einen unbefugten Kauf eines Streaming-Dienstabonnements und/oder von Roku-Hardware getätigt hat. In diesen 400 Fällen hatten die Angreifer immer noch keinen Zugriff auf wichtige und sensible Kundendaten wie vollständige Kreditkartennummern und andere Zahlungsinformationen.
Das Unternehmen gibt an, dass die Anzahl der betroffenen Konten nur einen kleinen Prozentsatz der 80 Millionen Konten des Unternehmens ausmacht (0,0072 %). Trotzdem werden die Passwörter aller betroffenen Konten zurückgesetzt und diese Kunden über die Situation informiert. Roku erstattet oder storniert außerdem Gebühren für die kleine Anzahl von Konten, bei denen Roku festgestellt hat, dass ein Streaming-Abonnementdienst oder Roku-Hardware mit einer in diesen Konten gespeicherten Zahlungsmethode gekauft wurde. Erneut sagt Roku, dass die böswilligen Akteure nicht in der Lage waren, vertrauliche Benutzerinformationen und vollständige Kreditkarteninformationen einzusehen.
Roku hat die Zwei-Faktor-Authentifizierung (2FA) für alle Konten aktiviert. Obwohl es einen zusätzlichen Schritt zum Anmeldevorgang hinzufügt, sagt Roku, dass es ihn so einfach wie möglich gemacht hat. Das Unternehmen hat auch einige Tipps für Roku-Kontoinhaber:
Erstellen Sie ein sicheres, einzigartiges Passwort für Ihr Roku-Konto. Verwenden Sie eine Mischung aus Groß-/Kleinbuchstaben, Zahlen und Symbolen. Ihr Passwort sollte aus mindestens acht Zeichen bestehen.
Wachsam bleiben. Achten Sie auf Mitteilungen von Roku, in denen Sie aufgefordert werden, Ihre Zahlungsdaten zu aktualisieren, Ihren Benutzernamen oder Ihr Passwort weiterzugeben oder auf Links zu klicken. Wenn Sie nicht sicher sind, ob eine E-Mail, ein Tweet oder ein Anruf von Roku legitim ist, rufen Sie den Kundendienst an. Überprüfen Sie abschließend weiterhin die Blog-Beiträge von Roku und achten Sie auf seriöse Mitteilungen des Unternehmens. Überprüfen Sie Ihr Konto von Zeit zu Zeit auf der Website von Roku.
Roku gibt an, dass es sich für den Schutz Ihres Kontos einsetzt.