Die Japanische Digitalbehörde gab gestern bekannt: Einige ihrer Websites, die mit der KI-Website-Erstellungsplattform Studio erstellt wurden, wurden von Hackern angegriffen, wodurch 13323 Datensätze mit privaten Informationen abgeflossen sind.
Abgeflossen sind die verschiedenen Anfragen, die Bürgerinnen und Bürger zwischen Monat 5 des Jahres 2021 und Monat 3 des Jahres 2023 über Webformulare eingereicht hatten. Im Einzelnen: etwa 8833 allgemeine Meinungen und Vorschläge, etwa 3661 Anfragen im Zusammenhang mit Impfnachweisen, etwa 462 Informationen zu Workshop-Veranstaltungen, etwa 250 Anfragen zu Stellenangeboten und sogar etwa 117 Anfragen zur Ausleihe des Maskottchen-Kostüms „Maina-chan“.
Problematischer sind noch die Datenfelder. Die Digitalbehörde bestätigte, dass Name, E-Mail-Adresse und Textinhalt der Anfragenden abgeflossen sind; bei einigen Anfragekanälen könnten auch Zugehörigkeit zu einer Institution, Zustelladresse und Telefonnummer betroffen sein. Nicht nur die Nachrichten selbst, sondern vielfältige Hinweise zur Identifizierung konkreter Personen wurden abgeschöpft.
Noch keine Sekundärschäden sichtbar
Die gute Nachricht: Bis zum 22. Oktober hat die Behörde noch keinen Missbrauch dieser Informationen oder daraus resultierende Sekundärschäden festgestellt. Dennoch hat die Digitalbehörde Alarm geschlagen: Man solle wachsam sein gegenüber verdächtigen E-Mails, Anrufen und SMS, die sich als die Behörde oder verwandte Institutionen ausgeben; Links und Anhänge unbekannter Herkunft nicht einfach öffnen und Passwörter oder Kreditkartendaten keinesfalls leichtfertig eingeben. Sobald jemand mit den abgeflossenen Informationen gezielt Phishing betreibt, wird aus einem „möglichen“ Risiko eines, das „gerade geschieht“. Die Behörde betonte ausdrücklich, dass sie niemals per E-Mail oder Telefon Passwörter oder andere Authentifizierungsdaten anfordern wird.
Die Bequemlichkeit der KI-gestützten Website-Erstellung wurde diesmal zum Sicherheitsmanko. Wenn niedrigschwellige Tools den öffentlichen Dienst nach außen tragen, dürfen die damit verbundenen Daten- und Schutzverantwortungen offensichtlich nicht „nebenbei“ abgehandelt werden.