Softwarebedrijf Citrix heeft een datalek met persoonsgegevens van het eigen personeel voor een bedrag van 2,3 miljoen dollar geschikt, zo laat Bloomberg Law weten. Criminelen hadden tussen 13 oktober 2018 en 8 maart 2019 met tussenpozen toegang tot het Citrix-netwerk.

Bij de aanval werden bestanden buitgemaakt die informatie over huidige en voormalige medewerkers bevatten, alsmede partners, kinderen en andere begunstigden. Het ging onder andere om namen, social security nummers en financiële gegevens.

De aanvallers wisten binnen te komen via "password spraying". Dit is een techniek waarbij een aanvaller veelgebruikte wachtwoorden probeert om op een account in te loggen. Om detectie te voorkomen probeert een aanvaller eerst één wachtwoord tegen een groot aantal accounts, voordat er een tweede wachtwoord wordt gebruikt. Door deze techniek voorkomt de aanvaller dat een account wordt geblokkeerd en de aanval wordt opgemerkt.

Naar aanleiding van de inbraak besloot Citrix wachtwoorden binnen de gehele onderneming te resetten. Ook werden de wachtwoordbeheerprotocollen verbeterd.

Ruim 24.000 mensen besloten een massaclaim tegen Citrix te starten omdat het softwarebedrijf de personeelsgegevens niet goed had beschermd. De rechter heeft het schikkingsvoorstel van Citrix, met een totale waarde van bijna 2,3 miljoen dollar, voorlopige goedkeuring gegeven. Het geld is bedoeld voor kredietmonitoring, herstel van identiteitsdiefstal en kosten- en schadevergoeding tot maximaal 15.000 dollar per persoon.