MobiKwik begegnete einem angeblichen Datenleck mit 110 Mio. Nutzern mit Dementi und einer rechtlichen Drohung

MobiKwik ist eine der größten mobilen Zahlungsbörsen Indiens und verwahrt die Identitätsdokumente, die indische Vorschriften von Kunden verlangen – KYC-Angaben, Aadhaar-Identitätsnummern, Karten- und Telefondaten. Anfang März 2021 meldete ein Sicherheitsforscher, dass ein Datensatz, der MobiKwik zugeschrieben wurde und etwa 110 Millionen Nutzer umfassen sollte, in einem Dark-Web-Forum zum Verkauf aufgetaucht sei.

MobiKwiks Reaktion war sofortiges Dementi. Am 4. März erklärte das Unternehmen, es habe keine Sicherheitslücke gefunden, und seine Rechtsabteilung kündigte an, streng gegen den Forscher vorzugehen. Als Nutzer zu prüfen begannen und berichteten, einige der geleakten Daten sähen echt aus, wuchs die Geschichte nur weiter. Indiens Computer-Notfallteam CERT-In teilte MobiKwik eine Stichprobe der Daten mit; das Unternehmen erklärte, die Stichprobe stamme nicht von ihm.

Das Dementi enthielt die Krise nicht ein. Da die Behauptung nun öffentlich und umstritten war, ordnete die Reserve Bank of India an, dass MobiKwik seine Systeme durch einen von CERT-In zertifizierten Prüfer einem forensischen Audit unterziehen müsse. Ein Zahlungsunternehmen, das Identitätsdaten verarbeitet, hatte aus einer Sicherheitsbehauptung eine regulatorische Prüfung gemacht.

Der Fall wird heute eher für seine Krisenreaktion als für das Datenleck selbst zitiert, das MobiKwik weiterhin bestritt. Wenn einem Unternehmen, das sensible Daten verwahrt, gesagt wird, es habe Daten geleakt, dann lädt ein Dementi und eine Drohung gegen den Überbringer Nutzer, Forscher und die Aufsichtsbehörde zur Überprüfung ein – und das Audit der Aufsichtsbehörde, nicht das Dementi des Unternehmens, wird zur Geschichte.

Dementi und eine rechtliche Drohung luden zur Überprüfung ein, daher ordnete die RBI ein forensisches Audit an, wodurch das Audit und nicht das Dementi zur Geschichte wurde.

MobiKwik verwahrte die Identitätsdokumente, die indische Vorschriften verlangen – KYC- und Aadhaar-Daten –, sodass jedes angebliche Leck automatisch ein Ereignis mit hohem Einsatz und hoher Aufmerksamkeit war.

Die erste Reaktion war ein Dementi und eine rechtliche Drohung gegen den Forscher, bevor eine transparente Untersuchung stattfand, was die Geschichte größer statt kleiner machte.

Nachdem Nutzer und CERT-In die Behauptung geprüft hatten, wirkte das Dementi ausweichend; das Unternehmen verlor die Kontrolle über die Erzählung an diejenigen, die die Daten überprüfen konnten.

Die Verwandlung einer Sicherheitsbehauptung in einen Kampf gegen den Überbringer zog die Reserve Bank of India hinein, die ein forensisches Audit anordnete, das das Unternehmen nun bestehen musste.

Wenn man sensible Daten verwahrt und erfährt, dass sie geleakt wurden, schaden Dementi und rechtliche Drohungen. Nutzer, Forscher und die Aufsichtsbehörde werden es überprüfen – und das Audit, nicht das Dementi, wird zur Geschichte.

MobiKwik hielt daran fest, dass seine Systeme nicht kompromittiert worden seien, und kooperierte mit dem von der RBI angeordneten Audit. Der Vorfall wurde in Indien zu einem viel gezeigten Beispiel dafür, wie man eine Behauptung über Datensicherheit nicht behandeln sollte: Für ein Unternehmen, dem Identitätsdaten anvertraut sind, ist die Reaktion auf eine Leck-Behauptung selbst eine Vertrauensprüfung, und ein defensives Dementi kann mehr kosten als die ursprüngliche Behauptung.