Aanvallers zijn servers van Adobe binnengedrongen en hebben versleutelde creditcardgegevens van 2,9 miljoen Adobe-klanten gestolen, evenals een onbekend aantal gebruikersnamen en versleutelde wachtwoorden. Ook is er broncode van Adobe-software buitgemaakt.
Het bedrijf heeft donderdagnacht bekendgemaakt dat aanvallers toegang hebben gekregen tot de 2,9 miljoen creditcardgegevens. Daarbij gaat het onder meer om versleutelde credit- en debitcardnummers, verloopdata en 'andere informatie over bestellingen', aldus Adobe. Als die informatie wordt ontsleuteld, is dat in veel gevallen genoeg om transacties te kunnen uitvoeren, maar volgens Adobe zijn er geen aanwijzigingen dat de aanvallers de informatie hebben kunnen ontcijferen.
Daarnaast hebben de aanvallers toegang gekregen tot een onbekend aantal Adobe ID-gebruikersnamen en -wachtwoorden. De wachtwoorden waren wel versleuteld. Getroffen klanten worden benaderd en als hun creditcardgegevens zijn gestolen, kunnen ze hulp krijgen in de vorm van een creditcard monitoring-dienst, die verdachte transacties moet opsporen.
Bovendien hebben aanvallers toegang gekregen tot broncode van Adobe Acrobat, ColdFusion, ColdFusion Builder en 'andere Adobe-producten'. Als kwaadwillenden de broncode in handen hebben, is het in theorie eenvoudiger om beveiligingsproblemen op te sporen en te misbruiken, maar volgens Adobe zijn er geen aanwijzingen dat dat daadwerkelijk is gebeurd. Het bedrijf denkt dat de diefstal van de broncode en de klantgegevens met elkaar verband houden.
De inbraak vond waarschijnlijk halverwege augustus plaats, schrijft beveiligingsjournalist Brian Krebs, die zelf onderzoek heeft gedaan naar het incident. Op 17 september begon Adobe met een intern onderzoek. Krebs vond naar eigen zeggen op een server die zou worden gebruikt door criminelen 40 gigabyte aan Adobe-broncode. De criminelen die die server gebruikten, zouden eerder bij onder meer LexisNexis hebben ingebroken.
De mappen waarin de gestolen broncode stond. Afbeelding: KrebsOnSecurity.