Eine Milliarde Identitäten offengelegt: Wie ein falsch konfigurierter Server bei IDMerit SIM-Swap-Banden den Weg ebnet

Eine Milliarde Identitäten, ein offener Port und ein SIM-Swap-Kit versandbereit

Eine falsch konfigurierte MongoDB-Instanz hatte etwa drei Milliarden Datensätze, davon rund eine Milliarde mit sensiblen personenbezogenen Daten, für einen unbestimmten Zeitraum ohne Passwort im offenen Internet zugänglich gemacht, bevor Forscher von Cybernews sie am 11. November 2025 entdeckten. Das Leck, das auf den kalifornischen Identitätsverifizierungsanbieter IDMerit zurückzuführen ist, legte nicht nur Namen und Geburtsdaten offen; es verknüpfte sie mit Telekommunikationsmetadaten und Telefonnummern, also der exakten Zutatenliste, die professionelle SIM-Swap-Banden benötigen, um verwahrte Exchange-Konten im großen Stil zu plündern.

Was offengelegt wurde

Die Taxonomie der Daten liest sich wie ein Albtraum-Einkaufszettel für Identitätsbetrüger. In der über ein Terabyte großen Instanz dokumentierte Cybernews vollständige Namen zusammen mit Wohnadressen und Postleitzahlen, Geburtsdaten, nationale Identitätsnummern, Telefonnummern, Geschlechtsangaben, E-Mail-Adressen, Telekommunikationsmetadaten, die das Mobilfunknetz jedes Betroffenen beschreiben, sowie KYC/AML-Verifizierungsprotokolle, die aufzeichnen, wann und wie eine bestimmte Identität gegenüber welcher Gegenstelle validiert wurde. Jedes einzelne Feld für sich lässt sich wiederherstellen, mitunter sogar billig auf älteren Leak-Märkten. Die Kombination jedoch nicht. Eine nationale ID-Nummer plus eine aktuelle Wohnadresse plus der Mobilfunkanbieter plus die passende Telefonnummer plus ein zeitgestempelter KYC-Durchlauf ist funktional ein notariell beglaubigtes Identitätspaket, die Art von Bündel, die ein Betrugsarbeiter sonst aus vier oder fünf separaten Quellen mühsam zusammensetzen müsste.

Die geografische Reichweite umfasste mindestens 26 Länder, mit den höchsten Konzentrationen wie folgt:

• United States: 203 Millionen Datensätze
• Mexico: 124 Millionen Datensätze
• Philippines: 72 Millionen Datensätze
• Germany: 61 Millionen Datensätze
• Italy: 53 Millionen Datensätze
• France: 53 Millionen Datensätze

Die KYC/AML-Protokolle verdienen eine gesonderte Betrachtung. Es handelt sich hier nicht um bloße Rohdokumente zur Identität, sondern um den Audit-Trail der Verifizierung. Das heißt: Ein Angreifer, der diese Protokolle liest, erfährt, welches Fintech oder welcher Exchange einer bestimmten Identität bereits vertraut hat, wann dieses Vertrauen gewährt wurde und anhand welches Dokuments. Das verwandelt einen Betrugsversuch von einer kalten Kontaktaufnahme in eine warme Identitätsübernahme mit vorab validierten Unterlagen.

Die 99-Tage-Lücke

Cybernews entdeckte die offene Instanz am 11. November 2025, benachrichtigte IDMerit noch am selben Tag oder kurz darauf, und die Datenbank wurde am 12. November, dem Tag nach der Entdeckung, abgesichert. Die öffentliche Offenlegung erfolgte erst am 18. Februar 2026, neunundneunzig Tage nach dem ersten Fund, eine Verzögerung, die Cybernews als Standardpraxis verantwortungsvoller Offenlegung bei einem Datensatz dieser Sensibilität bezeichnete.

Die Reaktion von IDMerit hingegen deckte sich nicht mit dieser Dokumentation. Das Unternehmen erklärte, die Überprüfung habe "keine Offenlegung, Schwachstelle oder unbefugten Zugriff innerhalb der IDMERIT-Umgebung" ergeben, und dass "IDMERITs Systeme und Sicherheitsinfrastruktur nie kompromittiert worden seien". Es fügte hinzu, es gebe "keine Anzeichen dafür, dass Kundendaten kompromittiert wurden", und brachte die Möglichkeit ins Spiel, der Vorfall könne "erlösbezogen" gewesen sein. Die Formulierung ist sorgfältig gewählt, steht aber im Widerspruch zur empirischen Tatsache eines Terabyte-großen Datensatzes, gebrandet mit IDMerits Verifizierungsprotokollen, der unauthentifiziert von einem MongoDB-Endpunkt ausgeliefert wurde, den Forscher zufällig erreichten. Die engere Formulierung des Unternehmens über potenziell offene "Datenports in Verbindung mit unabhängigen Datenquellen" ist die Naht, an der die Dementi technisch haltbar bleiben, während der Schaden für die im Datensatz genannten Personen durch diese Unterscheidung keineswegs geringer wird.

Die SIM-Swap-Pipeline

Der SIM-Swap-Aspekt ist es, der dieses Leck von peinlich nach waffenfähig rückt. Cybernews schrieb in seiner Offenlegung, die preisgegebenen Telekommunikationsmetadaten, einschließlich Mobilfunknetzinformationen, könnten "SIM-Swap-Angriffe erleichtern", und verwies separat darauf, dass Telekommunikationsmetadaten in Kombination mit Telefonnummern "das Risiko erhöhen, dass Kriminelle die Telefonnummern von Opfern übernehmen, um Authentifizierungscodes abzufangen".

Die Mechanik ist gut dokumentiert; die Bundesverurteilung im SIM-Swap-Kryptowährungsdiebstahl im Wert von acht Millionen Dollar im Jahr 2024, ausführlich von KrebsOnSecurity behandelt, legte die Standardpipeline offen. Ein Operator wählt ein hochwertiges Konto aus, ermittelt den Anbieter des Opfers, betritt ein Einzelhandelsgeschäft oder social-engineert ein Callcenter mit ausreichenden Identitätsnachweisen, um die Authentifizierungsprüfungen des Anbieters zu bestehen, portiert die Nummer auf eine SIM unter seiner Kontrolle, fängt das eingehende SMS-Einmalpasswort vom Exchange ab und setzt das Konto zurück. Jeder Schritt dieser Pipeline hat einen Reibungspunkt, und die Reibung liegt in der Identitätsverifizierung beim Anbieter. Der IDMerit-Datensatz eliminiert diese Reibung. Mit nationaler ID, Adresse, Geburtsdatum und aktuellem Anbieter, die bereit sind, in ein Skript eingespeist zu werden, kollabiert die Arbeit, die zuvor eine kleine kriminelle Zelle wochenlang pro Opfer beschäftigte, zu einer Fließbandproduktion.

Das ist der Teil, den die Schlagzeilennummer verschleiert. Eine Milliarde sensible Datensätze sind nicht eine Milliarde schlechter Ausgänge; sie sind der Arbeitsinput für mehrere Jahre industriellen SIM-Swap, verteilt auf jene Käufer, die Scherben der Datenbank erwerben, wie sie unweigerlich zirkulieren werden.

Warum KYC-Anbieter die neue Angriffsfläche sind

Das IDMerit-Leck ist kein Einzelfall. Sumsub, dessen Kundenliste Bitget, Bitpanda, Bybit, Huobi und Wirex umfasst, erlitt Anfang 2026 eine eigene Verletzung, und das breitere Muster angeblicher Exchange-Admin-Leaks, mit der Kraken-Admin-Offenlegung als jüngstem vielbeachteten Beispiel, legt nahe, dass die Zentralisierung der Identitätssammlung eine Zielklasse geschaffen hat, die reicher ist als die Exchanges selbst. Wird ein Exchange gehackt, verliert er seine Hot Wallet; wird ein KYC-Anbieter gehackt, verliert er auf einen Schlag die verifizierten Identitäten der Nutzerbasis sämtlicher Exchanges, was dann die nächste Runde von Account-Übernahmen über Dutzende unverbundene Plattformen ermöglicht.

Das strukturelle Problem besteht darin, dass regulatorischer Druck die Identitätsverifizierung auf eine kleine Zahl spezialisierter Anbieter konzentriert hat, auf der vernünftigen Annahme, dass Spezialisierung die Qualität verbessert. Diese Konsolidierung hat jedoch genau den konzentrierten Single Point of Failure produziert, den jeder Sicherheitsingenieur warnend hervorgehoben hätte, wäre er absichtlich vorgeschlagen worden. Das Compliance-Regime schreibt die Sammlung vor; Marktdynamiken konzentrieren die Speicherung; und die Speicherung, wie IDMerit nun demonstriert hat, kann für eine unbekannte Anzahl von Tagen auf einem offenen Port liegen, bevor es jemand bemerkt.

Was sich für das Directory ändert: unser Urteil

Wir stufen die Behandlung jedes gelisteten Exchanges herunter, der auf einen KYC-Anbieter mit dokumentierter Verletzung aus 2025 oder 2026 angewiesen ist, bis dieser Anbieter ein glaubwürdiges Post-Mortem veröffentlicht, kein Dementi. IDMerits Erklärung qualifiziert sich nicht. Sumsubs Verletzung ist noch frisch genug, dass wir jede Plattform, die Identitätsflüsse über diesen Anbieter leitet (Bybit, Bitget, Huobi, unter anderem), als mit erhöhtem SIM-Swap-Risiko für Nutzer betrachten, die weiterhin auf SMS-basierte 2FA angewiesen sind, was auf diesen Plattformen für viele Kontotypen weiterhin Standard ist.

Unsere konkrete Empfehlung: Wer historisch KYC bei einem großen Exchange mit einer U.S.-, Mexican-, Philippine-, German-, Italian- oder French-Telefonnummer durchlaufen hat, sollte davon ausgehen, dass die Anbieter-Metadaten in Zirkulation sind. SMS-basierte 2FA ist durch einen Hardware-Token oder, wo unterstützt, eine an das Gerät gebundene Authenticator-App zu ersetzen; die Rotation der dem Exchange-Konto zugeordneten Telefonnummer ist zu erwägen, wo die operativen Kosten dafür tragbar sind. Für Neuanmeldungen sind die no-KYC-Alternativen, die wir bereits abdecken, keine Datenschutzpräferenz mehr; sie sind eine SIM-Swap-Minderung.

Die unbequemste Lehre des Lecks ist nicht, dass IDMerit versagt hat. Es ist, dass der regulierte, geprüfte, compliant Pfad nun routinemäßig Datensätze produziert, die der kriminelle Markt nicht einmal selbst hätte zusammenstellen können.

Quellen

• Global data leak exposes billion records (Cybernews)
• IDMerit data breach analysis (Bright Defense)
• 1 Billion KYC Records Exposed in Massive Identity Data Leak (Quantrail Data)
• IDMerit KYC Data: One Billion Records Exposed (FinCrime Central)
• IDMerit data leak (Zyphe)
• kycisbad reference repository (GitHub)

Bearbeitungsprotokoll

• 2026-03-08 : Ursprüngliche Cybernews-Offenlegung eingeholt, Länderzahlen in eine sortierbare Tabelle übertragen und Summen gegen den Bright Defense-Bericht geprüft.
• 2026-03-24 : IDMerits Dementi zweimal gelesen und die Formulierung "no exposure within the IDMERIT environment" gegen die Cybernews-Methodik zur Zuordnung des Buckets verglichen.
• 2026-04-09 : Sumsub-Kundenliste (Bitget, Bitpanda, Bybit, Huobi, Wirex) gegen die IDMerit-Downstream-Fintech-Liste abgeglichen, um Überschneidungen zu finden; drei Namen ausgelassen, wo die Beziehung nur Pressemitteilung ist.
• 2026-04-18 : SIM-Swap-Abschnitt entworfen unter Verwendung der KrebsOnSecurity-Berichterstattung über die 8-Millionen-Dollar-Verurteilung als prozedurale Referenz, dann ein Absatz gestrichen, der in Spekulationen über Weiterverkaufspreise abdriftete.
• 2026-04-26 : Letzter Durchgang: drei spekulative Sätze über mögliche Bedrohungsakteure hinter der offenen MongoDB entfernt, nur das beibehalten, was in den Cybernews- und Bright Defense-Berichten dokumentiert ist.