[ziesell]

Junge Hacker bewiesen: Technisches Know-how ist für Cyberangriffe oft zweitrangig

Die Hackergruppe Lapsus$ nahm viele prominente Ziele ins Visier. Technische Fertigkeiten waren dafür jedoch gar nicht so entscheidend.



Obwohl die junge Hackergruppe Lapsus$ nur wenig Erfahrung mit der Ausnutzung von Schwachstellen und dem Knacken von Verschlüsselungen hatte, gelang es ihr, in die IT-Systeme großer Konzerne wie Microsoft, Nvidia, Samsung, Okta, Rockstar Games und Uber einzudringen und dort sensible Daten zu stehlen. Für das Cyber Safety Review Board des US-amerikanischen Heimatschutzministeriums war das Anlass genug, die Methoden der Angreifer genauer zu analysieren und zum Wohle der Cyberabwehr einen umfangreichen Bericht (PDF) zu veröffentlichen.

Lapsus$ griff eher über Menschen statt über Software an

Wie Ars Technica berichtet, zeichneten sich die Lapsus$-Hacker weniger durch besondere technische Fertigkeiten als vielmehr durch ein hohes Maß an Kreativität aus, um Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierungen (MFA) gezielt zu umgehen. Insbesondere im Umgang mit Social Engineering sollen sich die kriminellen Akteure als besonders talentiert erwiesen haben. Dadurch sei es ihnen möglich gewesen, Mitarbeitern ihrer Zielunternehmen zum Beispiel durch trickreiche Anrufe sensible Informationen zu entlocken und sich damit Zugang zu deren Systemen zu verschaffen, ohne auf ungepatchte 0-Day-Schwachstellen angewiesen zu sein.

Obwohl die Hackergruppe zum Zeitpunkt ihrer prominentesten Angriffe erst seit etwas mehr als einem Jahr aktiv war, konnte sie unter anderem rund ein Terabyte an Unternehmensdaten von Nvidia stehlen, beinahe in das Content-Delivery-Network von Cloudflare eindringen sowie geschützte Daten von Microsoft und dem Single-Sign-On-Anbieter Okta erbeuten und veröffentlichen. Weitere prominente Organisationen, deren Systeme die Cyberkriminellen erfolgreich infiltrieren konnten, waren Twilio, T-Mobile (USA), Samsung, Uber, Rockstar Games, der IT-Dienstleister Globant und das brasilianische Gesundheitsministerium.

Unternehmen sollten daraus lernen

Um derartigen Cyberangriffen in Zukunft vorzubeugen, gehen aus dem Bericht des Cyber Safety Review Board einige Empfehlungen für Unternehmen hervor. Dazu gehört beispielsweise die Umstellung auf Fido2-basierte passwortlose Authentifizierungsverfahren, zu denen die sogenannten Passkeys gehören. Ferner sei die regelmäßige Schulung der Mitarbeiter im Hinblick auf aktuelle Angriffstrends und Social Engineering von entscheidender Bedeutung.

Darüber hinaus sei es Aufgabe der Regierungsbehörden und Mobilfunkanbieter, geeignete Regelungen zu etablieren, um die Übertragung von Rufnummern auf andere SIM-Karten einzuschränken und damit sogenannte SIM-Swapping-Angriffe zu unterbinden.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[Draalz]

Tja, da kann die IT noch so akkern. Es bringt nix ein Firmennetzwerk bis in den letzten Winkel abzusichern, wenn die Mitarbeiter nicht sensibilisiert sind.

Nicht verschlossene Büros, nicht kontrollierter Zugang zu Bürotrakten, nicht verschlossene Aktenschränke, leichtfertig gehaltene Telefonate mit Aussenstehenden, oder unvollkommen abgesichertes Homeoffice.

All das sind Schwachstellen, an die zunächst einmal niemand denkt.