Vimeo bestätigt Datenleck nach Angriff auf Anodot
KI-generiert mit ChatGPT
Die Videoplattform Vimeo hat ein Datenleck nach dem erfolgreichen Angriff auf den Analyseanbieter Anodot bestätigt. Laut Vimeo erfolgte ein nicht autorisierter Zugriff auf diverse Datenbanken. Betroffen sind technische Daten, Videotitel, Metadaten und in einigen Fällen E-Mail-Adressen. Videoinhalte, gültige Login-Daten und Zahlungsinformationen sind nach Unternehmensangaben nicht abgeflossen.
Was Vimeo selbst sagt
Vimeo hat alle Anodot-Zugangsdaten deaktiviert und die Integration aus den eigenen Systemen entfernt. Externe Sicherheitsexperten unterstützen die Untersuchung. Die Behörden sind informiert. Ein erzwungener Passwort-Reset ist nicht nötig, da keine Authentifizierungsdaten betroffen sind.
Nach Angaben von SecurityWeek hat die Erpressergruppe ShinyHunters Vimeo eine Frist bis zum 30. April 2026 gesetzt. Bei Nichtzahlung sollen die Daten veröffentlicht werden. Vimeo hat öffentlich erklärt, der Forderung nicht nachzukommen.
AnzeigeAnodot als Einfallstor
Auf der Leak-Seite der Hackergruppe stehen neben Vimeo auch Rockstar Games und die Modemarke Zara. Bei Rockstar Games hat ShinyHunters die Anodot-Attribution selbst bestätigt. Bei Zara steht eine offizielle Stellungnahme aus. ShinyHunters ist es laut eigenen Angaben gelungen, Authentifizierungs-Token zu erbeuten. Damit griff die Gruppe auf Snowflake- und BigQuery-Instanzen mehrerer Anodot-Kunden zu.
Drittanbieter werden zur kritischen Schwachstelle
Der Fall zeigt das wachsende Risiko durch Drittanbieter-Integrationen. Anodot fungiert als Analyse-Schicht für viele Cloud-Plattformen. Vimeo betont, dass der eigene Betrieb nicht beeinträchtigt war. Für betroffene Nutzer besteht trotzdem ein erhöhtes Phishing-Risiko durch den Abfluss der E-Mail-Adressen.
Das Muster ist nicht neu. Wir haben den ShinyHunters-Angriff auf die EU-Kommission bereits dokumentiert. Auch der Sicherheitsvorfall bei Meta zeigte, wie weitreichend die Folgen einer einzigen Schwachstelle in einer SaaS-Integration sein können.
ShinyHunters ist seit 2020 aktiv. Bevorzugte Ziele sind Salesforce- und Snowflake-Umgebungen. Unternehmen sollten die Berechtigungen ihrer Analyse-Integrationen regelmäßig auditieren. Drittanbieter-Token mit weitreichenden Rechten reduzieren die Sicherheit der gesamten Datenpipeline erheblich.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
