Angebliche Condé-Nast-Datenbank mit 32,8 Millionen Nutzerdatensätzen für 15.000 US-Dollar angeboten

Cybercrime-Inserat behauptet, Millionen bislang unbekannter Datensätze anzubieten

Eine Datenbank mit angeblich 32.815.767 eindeutigen Condé-Nast-Nutzerdatensätzen wird für 15.000 US-Dollar in einem russischsprachigen Cybercrime-Forum angeboten. Das Inserat soll am 7. September 2026 erschienen sein.

Der Verkäufer beschreibt die Datenbank als vollständige Sammlung im Zusammenhang mit dem früheren WIRED-Datenleck. Sie soll rund 30,5 Millionen Datensätze enthalten, die bislang nicht öffentlich veröffentlicht wurden.

Betroffen sein könnten Nutzer von Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair und weiteren Publikationen von Condé Nast. Condé Nast hat weder den Vorfall noch das Marktplatz-Inserat oder die Echtheit der vollständigen Datenbank öffentlich bestätigt.

Ransomnews untersuchte eine Stichprobe von 5.000 Datensätzen und stellte fest, dass sie sich wie echte Verbraucherkontodaten verhielt, die über viele Jahre hinweg gesammelt worden waren. Die Einschätzung beruhte auf der internen Konsistenz, der geografischen Genauigkeit und historischen Kontoinformationen – nicht auf Versuchen, auf aktive Condé-Nast-Konten zuzugreifen.

Die Analyse stützt die Angaben des Verkäufers, authentifiziert jedoch nicht zweifelsfrei alle 32,8 Millionen Datensätze. Ebenso lässt sich daraus nicht ableiten, wer die Informationen ursprünglich erlangt hat.

Was die angebotene Datenbank angeblich enthält

Jeder Datensatz soll eine eindeutige E-Mail-Adresse enthalten. Weitere Identitäts- und Kontaktdaten sind nur in Teilbeständen der Sammlung vorhanden:

• 31,6 % sollen sowohl einen Vor- als auch einen Nachnamen enthalten.
• 22,3 % enthalten eine Postanschrift.
• 17,5 % enthalten Angaben zum Geschlecht.
• 12,6 % enthalten ein Geburtsdatum.
• 2,9 % enthalten eine Telefonnummer.

In dem untersuchten Material wurden keine Passwörter, Passwort-Hashes, Benutzernamen oder Zahlungskartendaten identifiziert. Das begrenzt zwar das unmittelbare Risiko einer direkten Kontoübernahme, macht die Informationen aber nicht harmlos.

Der Wert der Datenbank liegt in der Verknüpfbarkeit der Informationen. Ein Krimineller könnte Datensätze mit vollständigem Namen, Anschrift und Geburtsdatum herausfiltern und diese Merkmale anschließend mit Informationen aus anderen Datenlecks oder kommerziellen Datensätzen kombinieren. Selbst ein unvollständiges Profil kann eine betrügerische Nachricht deutlich glaubwürdiger wirken lassen.

Der Verkäufer bietet außerdem eine Version ohne WIRED-Datensätze an. Diese Sammlung soll 30.455.594 Einträge enthalten, was darauf hindeutet, dass rund 2,36 Millionen Datensätze mit WIRED in Verbindung stehen.

Diese Zahl ähnelt stark den 2.366.576 WIRED-Datensätzen, die im Dezember 2025 öffentlich veröffentlicht wurden. Die Übereinstimmung stellt eine Verbindung zwischen dem neuen Inserat und dem früheren Vorfall her, beweist jedoch nicht, dass der Verkäufer auf dem Marktplatz der ursprüngliche Angreifer ist.

Mögliche Szenarien sind ein direkter Verkauf durch den Eindringling, ein Weiterverkauf durch einen Vermittler oder die Weitergabe durch jemanden, der die Daten nach dem ursprünglichen Angriff erhalten hat.

Stichprobentests stützen die Echtheit, liefern aber keine Bestätigung

Bei der Untersuchung durch Ransomnews lagen die Ausfüllraten der Felder in der Stichprobe mit 5.000 Datensätzen höchstens 1,2 Prozentpunkte von den Angaben des Verkäufers entfernt.

Auch die Beziehungen zwischen Namen und E-Mail-Adressen waren aussagekräftig. Bei Datensätzen mit vollständigen Namen verwendeten 61,9 % eine E-Mail-Adresse, die dem Namen oder den Initialen der betreffenden Person entsprach. Nachdem Namen zufällig zwischen Datensätzen ausgetauscht worden waren, sank dieser Anteil auf 0,3 %.

Dieser starke Rückgang deutet darauf hin, dass Namen und E-Mail-Adressen auf natürliche Weise miteinander verknüpft waren und nicht zufällig zusammengestellt wurden.

Die Stichprobe bestand außerdem mehrere zeitliche und geografische Prüfungen. Keiner der 227 Datensätze mit Apple-Relay-, iCloud-, Outlook-, Me.com- oder Proton-Adressen schien älter zu sein als die jeweiligen E-Mail-Dienste. Bei Datensätzen aus den USA stimmten 96,4 % der ZIP-Codes mit dem angegebenen Bundesstaat überein, während 93,5 % auch zur angegebenen Stadt passten.

Die Daten enthielten Unregelmäßigkeiten, wie sie häufig in langjährig geführten Datenbanken vorkommen, die über Online-Formulare befüllt werden. Dazu gehörten Platzhaltertexte wie „Select your state“, numerische Werte aus Auswahlfeldern, uneinheitliche Länderbezeichnungen, kleingeschriebene Namen und als Geburtsdatum eingetragene Werte wie der 1. Januar.

Solche Fehler beweisen nicht, woher die Daten stammen. Sie ähneln jedoch eher der uneinheitlichen Struktur realer Verbraucherdatenbanken als einer vollständig künstlich erzeugten Liste.

Die Kontoerstellungsdaten reichten von Februar 1999 bis zum 23. Oktober 2025. Ab September 2025 gingen neue Registrierungen deutlich zurück. Ransomnews kam daher zu dem Schluss, dass die Extraktion über mehrere Wochen zwischen September und Ende Oktober 2025 erfolgt sein könnte.

Dieses Muster steht im Einklang mit der zeitlichen Abfolge rund um den früheren WIRED-Vorfall. Die öffentlich veröffentlichten WIRED-Datensätze reichten bis September 2025, eine Person unter dem Namen „Lovely“ nahm im November Kontakt zu DataBreaches.net auf, und WIRED-bezogene Daten wurden im Dezember 2025 veröffentlicht.

Die neue Stichprobe unterschied sich außerdem von den zuvor offengelegten WIRED-Daten. Sie soll eine andere Feldstruktur aufweisen, häufiger Namen und Straßenadressen enthalten und demografische Muster zeigen, die mit einer größeren Gruppe von Condé-Nast-Publikationen verbunden sind.

Fehlerhafte Zugriffskontrollen bleiben ein möglicher Angriffsweg

Der unter dem Namen Lovely bekannte Akteur behauptete zuvor, mehr als 40 Millionen Condé-Nast-Datensätze gestohlen zu haben, und drohte mit der Veröffentlichung von Informationen zu weiteren Titeln. Frühere technische Analysen ergaben, dass die Beschreibung des Angreifers mit einer Insecure Direct Object Reference (IDOR) und damit verbundenen Schwachstellen bei der Zugriffskontrolle vereinbar war.

Eine IDOR-Schwachstelle liegt vor, wenn eine Anwendung einen vom Benutzer kontrollierten Bezeichner – etwa eine Konto-, Abonnement- oder Kundennummer – akzeptiert und das zugehörige Objekt zurückgibt, ohne die Berechtigung ausreichend zu prüfen.

So könnte die Änderung eines numerischen Bezeichners in einer Anwendungsanfrage den Datensatz eines anderen Kunden offenlegen, wenn der Server zwar prüft, ob das Objekt existiert, aber nicht bestätigt, dass der anfragende Nutzer darauf zugreifen darf. Automatisierte Anfragen können aus einer solchen Einzeldatenoffenlegung eine groß angelegte Extraktion machen.

Es gibt keine Bestätigung, dass IDOR den mutmaßlich umfassenderen Angriff auf Condé Nast verursacht hat. Weder ein betroffenes Softwareprodukt, eine Version, ein Endpunkt noch eine CVE-Kennung wurden veröffentlicht, und Condé Nast hat keine öffentliche technische Erklärung abgegeben.

Daher gibt es weder einen vom Nutzer installierbaren Patch noch eine spezifische Gegenmaßnahme im Zusammenhang mit dem Vorfall. Eine Behebung der vermuteten Schwachstelle in der Anwendung müsste innerhalb der Systeme von Condé Nast erfolgen, unter anderem durch serverseitige Berechtigungsprüfungen, die Überwachung von Anfragen und die Untersuchung von Zugriffen auf Kontodatensätze.

Der neue Verkäufer soll über ein kürzlich erstelltes Forenkonto mit begrenzter sichtbarer Reputation agieren und einen Treuhandservice anbieten. Das Profil könnte darauf hindeuten, dass gezielt ein einzelner privater Käufer gefunden werden soll, anstatt durch eine weitere öffentliche Veröffentlichung Aufmerksamkeit zu erzeugen.

Bei einem Preis von 15.000 US-Dollar entspricht die Forderung weniger als einem Zwanzigstel Cent pro Datensatz. Ein Privatverkauf könnte einem Käufer daher einen umfangreichen Datensatz für Betrugszwecke verschaffen und gleichzeitig die spätere Nutzung schwerer beobachtbar machen.

Phishing und Abonnementbetrug sind die unmittelbaren Risiken

Da Zugangsdaten fehlen, verlagert sich die Bedrohung von einem direkten Passwortdiebstahl hin zu Identitätsmissbrauch, Social Engineering und der Anreicherung von Daten.

Kriminelle könnten Nachrichten erstellen, die den Namen, die Adresse und die tatsächliche Beziehung des Empfängers zu einer bestimmten Publikation erwähnen. Wahrscheinliche Vorwände sind:

• Verlängerungen von Abonnements oder Warnungen vor deren Ablauf
• Hinweise auf fehlgeschlagene Abrechnungen und Zahlungsaufforderungen
• Benachrichtigungen über Rückerstattungen
• Nachrichten zu Zustellungen oder zur Bestätigung einer Adresse
• Mitteilungen zu Geschenkabonnements
• Aufforderungen zur Kontobestätigung

Eine Nachricht, in der Vogue, GQ, The New Yorker, WIRED oder ein anderer Titel erwähnt wird, kann glaubwürdig wirken, weil die zugrunde liegende Beziehung tatsächlich besteht. Der Empfänger ist dadurch möglicherweise eher bereit, einen Link zu öffnen, Zahlungsdaten anzugeben oder Zugangsdaten auf einer betrügerischen Website einzugeben.

Postanschriften sind in mehr als einem Fünftel der mutmaßlichen Datensätze enthalten, sodass der Missbrauch nicht auf E-Mails beschränkt ist. Angreifer oder betrügerische Anbieter könnten auch Briefe verschicken. Datensätze mit Telefonnummern könnten zudem für Sprachanrufe oder SMS-Kampagnen genutzt werden.

Die Datenbank könnte außerdem mit älteren Leaks von Zugangsdaten abgeglichen werden. Obwohl diese Sammlung angeblich keine Passwörter enthält, können Identitätsmerkmale Kriminellen dabei helfen, geeignete Ziele auszuwählen, schwache Sicherheitsfragen zu beantworten oder Seiten zur Abfrage von Zugangsdaten zu personalisieren.

Der private Vertrieb erschwert die Erkennung. Dass kein vollständiger öffentlicher Dump vorliegt, bedeutet nicht, dass die Datensätze nicht mehr verfügbar sind oder nicht missbraucht werden.

Wie Nutzer und Organisationen reagieren sollten

Personen mit Condé-Nast-Konten oder -Abonnements sollten unerwartete Aufforderungen zur Verlängerung, Rückerstattung, Abrechnung, Zustellung oder Bestätigung mit Misstrauen behandeln. Statt Links in einer Nachricht zu folgen, sollten sie die bekannte Website-Adresse des Publishers direkt eingeben und das Konto dort überprüfen.

Zahlungsaufforderungen sollten über Kontaktdaten bestätigt werden, die unabhängig von der betreffenden Nachricht ermittelt wurden. Dasselbe gilt für Briefe, in denen eine echte Publikation oder ein tatsächliches Abonnement erwähnt wird.

Ein Zurücksetzen des Passworts ist angesichts der untersuchten Daten nicht die wichtigste Maßnahme, da keine Passwörter oder Passwort-Hashes gefunden wurden. Nutzer sollten sich dennoch vor einer Verknüpfung mit anderen Datenlecks schützen, indem sie einzigartige Passwörter verwenden, einen Passwortmanager einsetzen und – sofern verfügbar – die Multi-Faktor-Authentifizierung aktivieren.

Condé Nast und seine Publikationen sollten auf Markenimitation, betrügerische Abonnementaktivitäten und ungewöhnliche Anfragen an den Kundensupport achten. Zu den Untersuchungsschwerpunkten sollte gehören, ob die angebotenen Datensätze aktiven Konten entsprechen und ob sich eine groß angelegte Datenextraktion in historischen Protokollen erkennen lässt.

Betroffene Versionen sind nicht zutreffend, da keine verwundbare kommerzielle Softwareversion benannt wurde. Außerdem gibt es weder eine veröffentlichte CVE noch einen Eintrag im Katalog der CISA Known Exploited Vulnerabilities, der mit dem mutmaßlichen Vorfall in Verbindung steht.

Solange Condé Nast keine Bestätigung oder technische Darstellung vorlegt, bleiben das genaue Ausmaß und die Ursache ungeklärt. Die verfügbare Analyse der Stichprobe deutet jedoch darauf hin, dass das Inserat Aufmerksamkeit verdient – insbesondere, weil Millionen von Datensätzen privat verkauft werden könnten, anstatt dort offengelegt zu werden, wo Sicherheitsverantwortliche sie untersuchen können.