Anutin-Daten frei zugänglich?

BANGKOK, THAILAND – Angeblich wurden persönliche Daten von Premierminister Anutin Charnvirakul geleakt und missbraucht, um ihn im Online-System der thailändischen Sozialversicherung (SSO) zu registrieren. Kritiker werfen der SSO-Website gravierende Sicherheitslücken vor, die Identitätsdiebstahl und unbefugten Datenzugriff erleichtern könnten.

Vorwürfe: Daten des Ministers für SSO-Registrierung genutzt

Der Software- und Blockchain-Spezialist Thanarat Kuawattanaphan, CEO von DomeCloud, machte die Vorwürfe am 1. April in einem Facebook-Post öffentlich.

Er behauptete, das Online-System der Social Security Office (SSO) ermögliche es, mit im Internet gehandelten Datensätzen fremde Identitäten zu missbrauchen und sich unter anderen Namen zu registrieren.

Kritik an „teurem System“ mit vielen Schlupflöchern

Thanarat erklärte, das SSO-System sei mit hohen Kosten entwickelt worden, weise aber so viele Lücken auf, dass bereits Grundkenntnisse ausreichen könnten, um andere zu imitieren oder deren Rechte zu missbrauchen.

Er schrieb, nach einem landesweiten Datenleck sei aufgefallen, dass die SSO-Website die Registrierung „jedes Namens“ mit online gekauften Daten zulasse.

Screenshot: Beitragshistorie von Anutin soll einsehbar gewesen sein

Zur Untermauerung veröffentlichte Thanarat einen Screenshot, der eine SSO-Ansicht mit einer angeblichen Beitragszahlung Anutins von 750 Baht pro Monat im Jahr 2004 zeigt.

Nach seiner Darstellung sei nach der Registrierung mit Anutins Daten anschließend „illegal“ auf dessen vollständige Informationen zugegriffen worden.

Weitere Behauptung: Zugriff auf Verkehrsverstöße möglich

Unabhängig davon behauptete ein weiterer Social-Media-Nutzer, er habe Datensätze zu Verkehrsverstößen abrufen können, die mit Anutin verknüpft seien.

Demnach sollen 23 mutmaßliche Verstöße angezeigt worden sein, jeweils mit einer Geldstrafe von 500 Baht.

Forderung nach AAL2: Mehr-Faktor-Authentifizierung als Standard

Thanarat forderte, Thailand solle landesweit auf AAL2 umstellen, um Identitätsdiebstahl besser zu verhindern.

AAL2 („Authenticator Assurance Level 2“) ist ein Identitätsprüfungsstandard nach NIST-Richtlinien aus den USA und setzt Mehr-Faktor-Authentifizierung (MFA) voraus, um die Sicherheit bei der Anmeldung zu erhöhen.

Hintergrund: Abgeordneter sprach im März von 66 Millionen Datensätzen

Die neuen Vorwürfe folgen auf Berichte über ein landesweites Datenleck, das im März vom People’s-Party-Abgeordneten Pawoot Pongvitayapanu thematisiert wurde.

Pawoot sagte, Daten von 66 Millionen Thailändern aus der SSO-Datenbank seien im Dark Web für 1.650 Baht zum Verkauf angeboten worden.

Welche Daten betroffen sein sollen – und Kritik an fehlender Information

Laut Pawoot umfassten die geleakten Informationen Vor- und Nachnamen, Ausweisnummern, Angaben zu Eltern sowie medizinische Informationen.

Er erklärte zudem, zuständige Stellen hätten das Problem zwar behoben, dies aber ohne öffentliche Mitteilung getan; anfangs habe die SSO einen Vorfall sogar bestritten, als erste Gerüchte aufkamen.

Bislang keine offizielle Klarstellung

Nach dem aktuellen Stand gibt es laut Bericht keine offizielle Erklärung von Behörden zu den neuen Vorwürfen rund um Anutins Daten.

Auch zu dem behaupteten Datenleck und den angeblichen Zugriffsmöglichkeiten auf SSO- und andere Datensätze liegt demnach bislang keine öffentliche Stellungnahme vor.

Deine Meinung

Wie sicher sind staatliche Online-Portale in Thailand aus deiner Sicht, und sollte Mehr-Faktor-Authentifizierung verpflichtend werden, bevor weitere Dienste digitalisiert werden?

Schreib uns in die Kommentare, ob du selbst schon Probleme mit Datenmissbrauch erlebt hast oder welche Maßnahmen du von der SSO und der Regierung jetzt erwartest.