Datenpanne bei DraftKings-Kunden
Hacker erbeuten 300 Tsd. USD mittels Credential Stuffing.

Mehrere Kunden von DraftKings, einem US-amerikansichen Anbieter von Sportwetten, wurden Opfer von Credential Stuffing. Die Cyberkriminellen konnten dabei insgesamt ca. 300 Tsd. USD erbeuten.

DraftKings zufolge gibt es keine Anzeichen dafür, dass die Angreifer die für das Credential Stuffing benötigten Login-Daten aus den Systemen des Unternehmens abgeschöpft haben. Stattdessen wird davon ausgegangen, dass die Credentials von anderen Websites stammen. Entsprechend riet DraftKings seinen Kunden nochmals ausdrücklich dazu, niemals das gleiche Passwort für verschiedene Dienste zu verwenden und Zwei-Faktor-Authentisierung zu aktivieren.

Nachtrag vom 21. Dezember 2022:

In einer Benachrichtigung, die der Sportwettenanbieter Draftkings am 19. Dezember 2022 an seine Kunden verschickte, meldete das Unternehmen, dass es am 18. November 2022 einen Sicherheitsvorfall bemerkte. Der Angreifer konnte durch Credential Stuffing Zugang zu rund 68.000 Accounts erlangen.

Durch das Einloggen konnten so unter anderem Namen, Adressen, Telefonnummern und die letzten vier Ziffern der Kreditkarte eingesehen werden. Nach dem Angriff wurden die Daten zum Log-in für 10-35 USD zum Verkauf angeboten, als auch eine Anleitung, wie man Geld von den Wettkonten einziehen kann. Draftkings hat unverzüglich betroffene Kontostände wiederhergestellt und eingefroren.

Nachtrag vom 13. Februar 2024:

Der Täter wurde nun zu 18 Monaten Haft sowie über 175 Tausend USD als Einziehung und über 1,3 Millionen USD als Rückerstattung verurteilt. Ermittler fanden in seinem Haus nicht nur die Software, die er für den Angriff verwendete, sondern auch 700 Konfigurationsdateien der Programme und 40 Millionen Benutzer-Passwort-Paare. Auf seinem Handy konnte die Polizei zudem Gespräche über die Angriffe rekonstruieren.

Außerdem wurden am 29. Januar 2024 zwei weitere Festnahmen in dem Fall getätigt.

Nachtrag vom 15.12.2025:

Auch die anderen beiden Täter bekannten sich schuldig.

Nachtrag vom 17.04.2026:

Kamerin S., bekannt unter dem Alias "TheMFNPlug",  wurde zu 30 Monaten Haft und drei Jahren Freiheit unter Überwachung verurteilt. Zudem werden 125.000 USD seines Vermögens beschlagnahmt und er muss 1,3 Mio. USD Strafe zahlen.

Nachtrag vom 25.06.2026:

Im Juni 2026 wurde der dritte Täter unter dem Alias "Snoopy", zu 18 Monaten Haft verurteilt.