Um 5:01 Uhr Pekinger Zeit verschickte ein Kundendienstkonto von Anker einen Link, der mit pornografischen Inhalten lockte, wenig später folgten Konten mit dem Firmennamen Nike. Tencents Firmenmessenger WeCom führt die Nachrichten vom Samstag auf eine gehackte Zusatzsoftware zurück, mit der Unternehmen viele Konten zugleich steuern. Den Anbietern solcher Werkzeuge droht Tencent schon seit Juni 2024 mit Klagen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenDas Konto „NIKE-Evelyn“ entschuldigte sich um 8:44 Uhr bei einem Kunden und bat, nichts anzuklicken oder weiterzuleiten, 28 Minuten später kam aus demselben Konto der nächste Link.[1] Über WeCom, die Unternehmensversion von WeChat, schreiben Marken in China ihren Kunden direkt in den privaten Messenger.
Das Wichtigste in Kürze
- Konten mit den Firmennamen Anker und Nike verschickten am 24. Oktober Links, die mit pornografischen Inhalten lockten, an Kunden in China.
- WeCom nennt als Ursache den gehackten Anbieter eines inoffiziellen Zusatzprogramms und hat die betroffenen Konten abgemeldet.
- Den Namen des Werkzeugs und die Zahl der betroffenen Konten nennt Tencent nicht.
- In Deutschland verlangt das BSI-Gesetz von wichtigen Einrichtungen, auch solche Dienstleister in ihr Sicherheitskonzept aufzunehmen.
Was ist bei Anker und Nike passiert?
Gleicher Wortlaut. Laut Screenshots von Nutzern schickten ein Konto mit dem Firmennamen Anker Innovations und zwei Konten mit dem Firmennamen Nike zwischen 5:01 und 5:28 Uhr Kurzlinks und Infokarten, teils mit identischem Text.[1][2] Optisch glichen die Nachrichten den Gutscheinen und Aktionshinweisen, die dieselben Konten sonst verschicken. Nutzer berichten Gleiches von einem Konto der Supermarktkette Hema.[1]
Tencents Erklärung. Das Sicherheitsteam von WeCom spricht von einer kleinen Zahl betroffener Konten. Gehackt worden sei der Anbieter eines inoffiziellen Zusatzprogramms, betroffen seien nur Konten, die dieses Programm nutzten.[1] WeCom hat diese Konten zwangsweise abgemeldet und die Links gesperrt. Anker untersucht den Vorfall nach eigenen Angaben, der Kundendienst von Nike kannte am Vormittag den Umfang noch nicht.[2]
Warum genügt ein gehackter Dienstleister für fremde Kundenkonten?
Fremd gesteuert. Gegen solche Programme ging Tencent schon im Juni 2024 vor. Die Zusatzsoftware öffnet mehrere WeCom-Konten gleichzeitig, umgeht die Obergrenzen für Sammelnachrichten und ahmt per Software-Roboter die Handgriffe eines Mitarbeiters nach.[3] Die Werkzeuge bleiben dazu dauerhaft in den Konten ihrer Kunden eingeloggt. Ein Angreifer, der den Anbieter übernimmt, schreibt deshalb im Namen aller Kundenfirmen, ohne ein einziges Passwort zu kennen.
Bekanntes Muster. Im August 2025 stahlen Angreifer beim Chat-Dienstleister Salesloft Drift die Zugriffstoken seiner Kunden und luden damit Daten aus zahlreichen Salesforce-Konten herunter.[4] Salesforce selbst hatte keine Schwachstelle. Über solche angebundenen Dienste kam auch die Gruppe ShinyHunters an Salesforce-Daten.
Ein Werkzeug, das Tencents Regeln umgeht, hebelt im Ernstfall auch den Schutz der eigenen Kundenkonten aus.
Michael Dobler, Herausgeber Dr. Web
Was sollten Unternehmen in Europa jetzt prüfen?
Lieferkette im Gesetz. Nach § 30 BSI-Gesetz müssen wichtige und besonders wichtige Einrichtungen die Sicherheit ihrer Lieferkette regeln, ausdrücklich auch gegenüber Diensteanbietern.[5] Ein Werkzeug, das in Kundenchats schreibt, gehört zu diesen Dienstleistern, auch wenn nur das Marketing den Dienst gebucht hat. Wie schnell ein kompromittierter Zulieferer durchschlägt, zeigte zuletzt das manipulierte Python-Paket LiteLLM.
- Erfassen Sie, welche Programme Zugriff auf Messenger-, CRM- und Social-Media-Konten haben und welche Rechte diese Programme dort nutzen.
- Nutzen Sie für Sammelnachrichten nur die offiziellen Schnittstellen der Plattform und schalten Sie Werkzeuge ab, die Klicks eines Mitarbeiters nachahmen.
- Vereinbaren Sie mit jedem Dienstleister, wie schnell er Ihnen einen Sicherheitsvorfall meldet.
- Beenden Sie im Ernstfall zuerst alle Sitzungen und warnen Sie danach die Kunden: Bei Nike kam 28 Minuten nach der Entschuldigung noch ein Link.
Quellen
5 Quellen anzeigenQuellen ausblenden
- Guancha安克、耐克、盒马等企微账号发涉黄链接，企业微信回应 (chinesisch, 24. Oktober 2026, mit Stellungnahme des WeCom-Sicherheitsteams)
- The Paper安克、耐克客服账号发送疑似色情引流信息，客服称已收到多起反馈，正紧急排查 (chinesisch)
- Tencent News企业微信公告：严厉打击无限群发等, 外挂”行为“ (chinesisch)
- Google Threat Intelligence GroupWidespread Data Theft Targets Salesforce Instances via Salesloft Drift (englisch)
- Bundesministerium der Justiz§ 30 BSIG: Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, Abs. 2 Nr. 4
Mehr Newshunger?
- Kein einziger Bug: Wie ShinyHunters ein Jahr lang Salesforce-Daten stahl
- Railway: Angreifer lasen entschlüsselte Umgebungsvariablen von Kunden aus
- Kompromittiertes LiteLLM 1.107.0 auf PyPI stahl Zugangsdaten und installierte eine Hintertür
- Microsoft: Staatsnahe Hacker aus China griffen mit KI-Agenten über ConnectWise Microsoft-365-Mandanten an
- Rank Math Pro: Update 3.0.123 brachte Schadcode auf WordPress-Websites
- BeyondTrust: Spionagegruppe nutzte die Fernwartungslücke seit Ende August
- Anker bündelt Soundcore und eufy unter eigenem Namen
