Telus-Kundenkonten bei Angriffen mit kompromittierten Zugangsdaten missbraucht

Telus informiert seine Privatkunden darüber, dass Angreifer mithilfe kompromittierter Zugangsdaten auf ihre Telekommunikationskonten zugegriffen und dabei persönliche sowie abrechnungsbezogene Informationen offengelegt haben.

Die Zugriffe erfolgten zwischen Februar 2025 und Juni 2026, wie aus den Angaben in den Benachrichtigungen zur Datenschutzverletzung bei Telus hervorgeht. Der kanadische Telekommunikationsanbieter hat nicht mitgeteilt, wie viele Konten oder Personen betroffen waren.

Der Vorfall beschränkte sich nicht auf den passiven Datendiebstahl. Nach Angaben von Telus wurden die gestohlenen Informationen später dazu genutzt, Kunden zum Wechsel ihrer Telekommunikationsdienste zu konkurrierenden Anbietern zu bewegen. Bei einigen Konten nahmen die Angreifer außerdem unbefugte Änderungen an den Diensten vor.

Kompromittierte Zugangsdaten ermöglichten Zugriff auf Kundenkonten

Die Eindringlinge authentifizierten sich mit gültigen, jedoch kompromittierten Zugangsdaten von Kunden. Telus hat bislang nicht öffentlich geklärt, woher die Benutzernamen und Passwörter stammten oder ob sie direkt aus den eigenen Systemen gestohlen wurden.

Das Vorgehen entspricht einem Account-Takeover-Angriff, bei dem Zugangsdaten wiederverwendet werden. Bei solchen Angriffen testen Kriminelle Passwörter, die durch andere Datenschutzverletzungen, Phishing-Kampagnen, Malware-Infektionen oder weitere Methoden zum Diebstahl von Zugangsdaten bekannt geworden sind, bei zusätzlichen Diensten.

Credential Stuffing ist eine mögliche Erklärung, Telus hat diese Technik jedoch nicht bestätigt. Ebenfalls unbekannt ist, ob die Angreifer zusätzliche Authentifizierungskontrollen umgangen oder gezielt Konten ohne Multifaktor-Authentifizierung angegriffen haben.

Nach der Anmeldung konnten die Eindringlinge Informationen einsehen, die mit den jeweiligen betroffenen Anschlüssen verknüpft waren. Die unbefugten Änderungen an den Diensten zeigen, dass zumindest einige der kompromittierten Konten auch Zugriff auf operative Funktionen ermöglichten und nicht nur auf Kundendaten.

Es wurde keine Software-Schwachstelle, keine CVE-Kennung und keine betroffene Produktversion identifiziert. Die verfügbaren Hinweise deuten stattdessen auf den Missbrauch legitimer Zugangsdaten hin.

Persönliche Daten, Abrechnungs- und Vertragsinformationen offengelegt

Über die kompromittierten Konten konnten möglicherweise verschiedene Kategorien von Kundeninformationen eingesehen werden:

• Namen
• Telus-Kontonummern
• Telefonnummern
• Rechnungsadressen
• E-Mail-Adressen
• Teilweise Zahlungskartennummern
• Vertragsdetails
• Zahlungshistorie

Diese Kombination ist besonders für Social Engineering geeignet. Ein Angreifer, der die Telefonnummer, Adresse, aktuellen Dienste und früheren Zahlungen eines Kunden kennt, kann bei der Vortäuschung der Identität von Telus, einem anderen Anbieter oder dem Kunden selbst glaubwürdig auftreten.

Kontonummern und Vertragsdetails könnten Kriminellen außerdem dabei helfen, einfache Sicherheitsfragen zu beantworten oder Anfragen zu formulieren, die zu den bestehenden Diensten eines Opfers passen. Die Zahlungshistorie liefert zusätzlichen Kontext für betrügerische Nachrichten zu Abrechnungen.

Telus hat keine Offenlegung vollständiger Zahlungskartennummern, Kartenauthentifizierungscodes oder vollständiger Zahlungsdaten gemeldet. Ebenso gibt es keine bestätigten Hinweise auf einen direkten finanziellen Diebstahl infolge des Vorfalls.

Das Risiko lässt sich dennoch nicht von der Hand weisen. Teilweise bekannte Kartendaten werden häufig als zusätzliche Informationen bei Phishing-Anrufen verwendet. Dabei nennt ein Krimineller die sichtbaren Ziffern, um den Eindruck zu erwecken, bereits Zugriff auf einen legitimen Abrechnungsvorgang zu haben.

Gestohlene Daten wurden zur gezielten Ansprache von Kunden genutzt

Die Angreifer sollen Informationen aus Telus-Konten genutzt haben, um Kunden zum Wechsel ihrer Dienste zu nicht namentlich genannten Wettbewerbern zu bewegen. Wie genau sie dabei vorgingen, wurde nicht mitgeteilt.

Daher ist unklar, ob es um betrügerische Kündigungen, die Übertragung von Telefonnummern, den Wechsel von Verträgen oder andere Änderungen an den Diensten ging. Telus hat lediglich bestätigt, dass es in einigen Fällen zu unbefugten Änderungen kam.

Der Vorfall schafft für betroffene Kunden mehrere miteinander verbundene Bedrohungen:

• Gezieltes Phishing per E-Mail, Telefon oder SMS
• Vortäuschung der Identität von Telus-Mitarbeitern oder konkurrierenden Anbietern
• Betrügerische Änderungen an Telekommunikationsverträgen
• Weitere Kontoübernahmen durch wiederverwendete Passwörter
• Versuche, Mitarbeiter des Kundensupports zu manipulieren
• Gefälschte Anfragen zu Rechnungen oder zur Kontoverifizierung

Angreifer könnten die gestohlenen Datensätze in mehreren Interaktionen ausnutzen. So könnte ein erster Anruf mit korrekten Vertragsinformationen Vertrauen schaffen, bevor der Angreifer nach einem Passwort, einem Verifizierungscode oder zusätzlichen Zahlungsdaten fragt.

Die nicht genannte Zahl der Opfer erschwert eine Einschätzung des Gesamtausmaßes. Telus hat den Vorfall nicht offiziell bewertet, die Aktivitäten gegen Kundenkonten keiner bekannten Gruppe zugeschrieben und keinen Zusammenhang mit Ransomware gemeldet.

Die Datenschutzverletzung bei Telus Digital ist ein separater Vorfall

Die Angriffe auf Kundenkonten folgten auf eine separate Datenschutzverletzung bei Telus Digital, einer Tochtergesellschaft von Telus, die im März einen Eindringversuch bestätigt hatte.

Die Cybercrime-Gruppe ShinyHunters behauptete, etwa 1 Petabyte an Informationen aus den Systemen von Telus Digital gestohlen zu haben. Diese Zahl wurde nicht unabhängig bestätigt; auch der Inhalt des mutmaßlich gestohlenen Materials ist nicht geklärt.

Derzeit gibt es keine bestätigte Verbindung zwischen der Datenschutzverletzung bei Telus Digital und den Angriffen auf private Telekommunikationskonten. Es wurden keine Beweise veröffentlicht, die zeigen, dass derselbe Akteur beide Operationen durchgeführt hat oder dass die gegen Kundenkonten verwendeten Zugangsdaten aus Telus Digital stammten.

Ohne technische Belege von einem Zusammenhang zwischen den Vorfällen auszugehen, würde ihre unterschiedlichen Merkmale verschleiern. Im Fall der Kundenkonten geht es um authentifizierte Zugriffe auf die Konten einzelner Kunden, während der Vorfall bei Telus Digital als Behauptung über einen groß angelegten Datendiebstahl beschrieben wurde.

Telus setzte Zugangsdaten zurück und verstärkte die Überwachung

Telus teilte mit, die kompromittierten Zugangsdaten zurückgesetzt und die Sicherheitsüberwachung für betroffene Konten verstärkt zu haben. Das Unternehmen informierte außerdem das Vancouver Police Department.

Betroffenen Kunden wurden kostenlose Dienste zum Schutz vor Identitätsdiebstahl angeboten. Angaben zur Dauer oder zum genauen Umfang dieses Schutzes wurden nicht veröffentlicht.

Mehrere zentrale Fragen sind weiterhin offen. Telus hat weder die Zahl der kompromittierten Konten noch die Herkunft der Zugangsdaten oder die genauen Änderungen bekannt gegeben, die die Angreifer nach dem Zugriff vorgenommen haben.

Unklar ist auch, ob das Unternehmen eine gemeinsame Quelle der Zugangsdaten identifiziert hat, etwa ein früheres Datenleck bei einem Drittanbieter, oder ob verschiedene Methoden zum Diebstahl von Zugangsdaten zum Einsatz kamen. Weitere Informationen würden Kunden dabei helfen einzuschätzen, ob die Änderung ihres Telus-Passworts allein ausreicht.

Kunden sollten Änderungen an ihren Diensten über vertrauenswürdige Kanäle prüfen

Wer eine Benachrichtigung von Telus über die Datenschutzverletzung erhält, sollte das betroffene Passwort sofort ändern. Das neue Passwort sollte einzigartig sein und nicht für E-Mail, Onlinebanking, soziale Medien oder andere Telekommunikationskonten verwendet werden.

Wurde das alte Passwort an anderer Stelle wiederverwendet, sollten auch diese Konten aktualisiert werden. Besonders wichtig ist die Absicherung des zugehörigen E-Mail-Kontos, da sich Telekommunikationszugangsdaten häufig per E-Mail zurücksetzen lassen.

Kunden sollten ihre Kontoinformationen, Verträge, kürzlich erfolgte Zahlungen und Diensteinstellungen auf unerklärliche Änderungen prüfen. Abweichungen sollten gemeldet werden, indem Telus über eine bekannte Telefonnummer, die offizielle App oder eine manuell eingegebene Webadresse kontaktiert wird.

Unerwartete Nachrichten zu Wechseln, Rabatten, Kontoverifizierungen oder Problemen mit Rechnungen sollten mit Vorsicht behandelt werden. Kunden sollten Anrufern keine Passwörter oder einmaligen Verifizierungscodes nennen, selbst wenn diese korrekte Kontoinformationen vortragen können.

Wo verfügbar, sollte die Multifaktor-Authentifizierung aktiviert werden. Telus hat nicht öffentlich erläutert, welche Authentifizierungsoptionen für jeden betroffenen Verbraucherdienst verfügbar sind. Kunden müssen daher möglicherweise selbst prüfen, welche Schutzmaßnahmen ihr konkretes Konto unterstützt.

Betroffene Kunden sollten außerdem ihre Zahlungskartenabrechnungen und ihre Einträge bei Auskunfteien überwachen, auch wenn es keine Hinweise auf eine Offenlegung vollständiger Kartendaten gibt. Die unmittelbarere Gefahr besteht in hochgradig personalisiertem Betrug auf Grundlage legitimer Telus-Kontodaten.