Paidwork: 23 Millionen Konten der Mikroaufgabenplattform auf einem kriminellen Forum geleakt - kein Statement des Herausgebers

Ein 11-GB-Dump, der die Daten von über 23 Millionen Paidwork-Nutzern enthält, wurde auf einem Hacker-Forum zum Verkauf angeboten und dann am 19. Juli 2026 zu Have I Been Pwned hinzugefügt. Bankkonten, Adressen, Geburtsdaten und bcrypt: Das Inventar ist schwerwiegend. Paidwork hat bisher nicht öffentlich reagiert.

Die Fakten

Paidwork ist eine Online-Mikroaufgaben-Plattform (Mobile Games spielen, Werbung ansehen, Umfragen beantworten, Apps testen, Cashback, Empfehlungen), die die Aufmerksamkeit und Zeit ihrer Nutzer monetarisiert. Laut Have I Been Pwned (HIBP), das die Verletzung am 19. Juli 2026 zu seiner Datenbank hinzugefügt hat, betrifft ein Datenleck 23.272.765 Nutzer.

Zeitliche Abfolge, rekonstruiert von The Register anhand der Ankündigungen des Akteurs:

• März 2026: effektiver Datenklau (Datum, das in der HIBP-Akte angegeben ist).
• April 2026: Die Datenbank wird öffentlich auf einem Cyberkriminalitätsforum zum Verkauf angeboten.
• 19. Juli 2026: Integration in HIBP.

Der Verkäufer, unter dem Pseudonym HACKFORMETOME, hat das Datenleck von 11 GB auf einem Hacker-Forum zum Verkauf angeboten und versucht, es über Telegram und Tox zu monetarisieren. Kein einzelner Forscher wird als Entdecker genannt; The Register gibt an, dass Paidwork nicht auf seine Anfragen zum Zeitpunkt der Veröffentlichung reagiert hatte.

Was exponiert ist

Laut HIBP:

• Bankkontonummern
• Telefonnummern
• Physikalische Adressen
• Geburtsdaten
• Profilbilder
• IP-Adressen
• Geräteinformationen
• Finanztransaktions- und Auszahlungshistorie
• Bildungsniveau
• Passwörter im bcrypt-Hash

Die Analyse

Der einzige einigermaßen beruhigende Punkt in diesem Datenleck ist die Speicherung der Passwörter in bcrypt (mit einem angemessenen Kostenfaktor bleibt bcrypt gegen Brute-Force-Angriffe offline für nicht triviale Passwörter resistent). Alles andere ist katastrophal. Die Kombination aus Geburtsdatum + physikalische Adresse + Telefonnummer + Bankauszug + Auszahlungshistorie stellt ein Identitätsdiebstahl-Set bereit, insbesondere für:

• Kontenübernahme (Banken anrufen, SIM-Swap auf der exponierten Nummer).
• Zielgerichteter, hyper-personalisierter Phishing mit Nachweis der Kenntnis des echten Kontos.
• Betrug zu Lasten Dritter mit vollständiger Identitätsusurpation.

Die Tatsache, dass eine Datenbank seit April 2026 öffentlich zum Verkauf steht und die Plattform bis zum Zeitpunkt der Veröffentlichung nicht kommuniziert hat, ist zumindest moralisch, potenziell rechtlich (je nach Jurisdiktion der betroffenen Nutzer) ein Verstoß gegen die GDPR Artikel 34 (Benachrichtigung der betroffenen Personen "ohne unangemessene Verzögerung" bei hohem Risiko).

Was jetzt zu tun ist

Wenn Sie ein Paidwork-Konto haben oder hatten:

1. Überprüfen Sie auf HIBP: haveibeenpwned.com - geben Sie die verwendete E-Mail-Adresse ein.
2. Ändern Sie das Passwort überall, wo es wiederverwendet wurde (insbesondere, wenn Sie keinen Passwortmanager verwendet haben).
3. Aktivieren Sie die MFA überall, wo dies möglich ist, außer per SMS (TOTP oder Passkey bevorzugen) - die exponierte Nummer macht SIM-Swap plausibel.
4. Überwachen Sie Versuche von Bankbetrug; erwägen Sie eine Kreditkarten-Sperre je nach Jurisdiktion.
5. Vorsicht vor Phishing: In den kommenden Monaten werden glaubwürdige E-Mails und SMS mit den exponierten Daten zirkulieren.

Für Sicherheitsteams: Integrieren Sie das Datenleck in die Threat-Intelligence-Identitätsüberwachungsströme, wenn Mitarbeiter darin aufgeführt sind (das Social-Engineering-Set gegen sie wird viel gefährlicher).