Bundesermittler haben Berichten zufolge Führungskräfte zweier verschiedener Unternehmen für die Verhandlung von Cyber-Vorfällen identifiziert, die ungewöhnlich enge Beziehungen zur Erpressergruppe ShinyHunters unterhielten. Laut einem Bericht von KrebsOnSecurity, zusammengefasst von Security Arsenal, soll eine in den USA ansässige Führungskraft noch weiter gegangen sein und beim Betrieb der Website geholfen haben, mit der Opfer unter Druck gesetzt werden, zu zahlen. Die Behauptung über die ShinyHunters-Lösegeld-Unterhändler-Erpressungsseite ist nach wie vor genau das – eine Behauptung –, wirft aber für jeden, dessen Daten bei einem Unternehmen liegen, das eines Tages Opfer eines Angriffs werden könnte, eine schwierige Frage auf: Wer sitzt wirklich auf der anderen Seite des Tisches?

Was Ermittler über die Unterhändler und ShinyHunters behaupten

Dem Bericht zufolge identifizierten Bundesermittler, die mit Daten des FBI arbeiteten, Führungskräfte zweier Verhandlungsfirmen, die engen Kontakt zu ShinyHunters hatten. Einer von ihnen, eine in den USA ansässige Führungskraft, soll beim Betrieb der Website geholfen haben, die die Gruppe nutzte, um Opfer unter Druck zu setzen, Lösegeld zu zahlen.

Einige Punkte sollten im Blick behalten werden. Die verfügbare Zusammenfassung legt keine Anklagen dar, und die Behauptungen stammen aus Berichten über das, was Ermittler vermuten. Weder die Führungskräfte noch ihre Firmen werden in dem von uns geprüften Material genannt, daher werden wir nicht über Identitäten spekulieren. Behandeln Sie dies als eine sich entwickelnde Geschichte und rechnen Sie damit, dass sich Details ändern, sobald weitere Informationen bestätigt sind.

Wie Lösegeldverhandlungen und Erpressungsseiten funktionieren

Wenn ein Unternehmen von einem Datendiebstahl oder Ransomware-Angriff getroffen wird, beauftragt es oft eine externe Firma mit der Kommunikation mit den Angreifern. Diese Unterhändler prüfen in der Regel, was gestohlen wurde, versuchen, die Forderung zu senken, und arrangieren die Zahlung, wenn das Unternehmen sich zum Zahlen entscheidet. Weil sie direkt mit Kriminellen sprechen, verfügen sie über sensibles Wissen: wie viel sich das Opfer leisten kann, welche Daten entwendet wurden und wie dringend die Frist des Unternehmens ist.

Erpressungsseiten sind das Druckmittel auf der anderen Seite. Gruppen wie ShinyHunters nutzen eine Website, um Opfer zu benennen, mit der Veröffentlichung gestohlener Daten zu drohen und Unternehmen zu einem Deal zu drängen. Die Website ist Teil des Verkaufsarguments: Je glaubwürdiger und furchteinflößender die Drohung, desto wahrscheinlicher zahlt ein Opfer.

Deshalb ist die Behauptung von Bedeutung. Wenn ein Unterhändler auch beim Betrieb der Druckseite geholfen hat, könnte dieselbe Person theoretisch sowohl der vertrauenswürdige Berater des Opfers als auch ein Beteiligter an der Drohung sein. Das ist ein Lehrbuchfall eines Interessenkonflikts, und das Opfer könnte nichts davon wissen.

Warum ein Interessenkonflikt bei der Incident Response wichtig ist

Incident Response beruht auf Vertrauen. Ein von einem Angriff betroffenes Unternehmen übergibt Protokolle, Netzwerkdetails und sensible Geschäftsinformationen an die Personen, die ihm bei der Wiederherstellung helfen. Wenn einer dieser Berater Verbindungen zu den Angreifern hat, könnte mehrere Dinge schiefgehen:

  • Verhandlungshebel können durchsickern. Das Wissen um das Budget oder die Frist eines Opfers hilft einem Erpresser, den Preis festzulegen.
  • Ratschläge können verzerrt sein. Ein befangener Berater könnte ein Unternehmen dazu drängen, zu zahlen, statt sich auf andere Weise zu erholen.
  • Die Datenhandhabung wird ungewiss. Eine Zahlung soll angeblich die Löschung gestohlener Daten bewirken, aber wie bei anderen jüngsten Erpressungsfällen gibt es keine Möglichkeit, sicher zu sein, dass die Daten wirklich verschwunden sind.

Für Kunden, Patienten, Studierende oder Mitarbeiter, deren Datensätze sich im betroffenen Unternehmen befinden, liegt dies außerhalb ihrer Kontrolle. Man wählt den Unterhändler nicht aus und erfährt selten, wer es war. Branchenweit ist das ein Grund, klarere Prüfungen und die Offenlegung von Interessenkonflikten zu fordern und von Regulierungsbehörden und Versicherern zu verlangen, zu prüfen, wie diese Firmen überprüft werden.

Was das für Sie bedeutet

Sie können die Incident-Response-Partner Ihrer Anbieter nicht prüfen. Was Sie tun können, ist, den Schaden zu begrenzen, falls Ihre Daten in die falschen Hände geraten – egal, wer die Verhandlung geführt hat. Gehen Sie davon aus, dass eine Zahlung nicht garantiert, dass Ihre Informationen vernichtet wurden, und dass gestohlene Daten in Folgebetrügereien wiederverwendet werden könnten. Erpressergruppen und Nachahmer nutzen zudem Angriffsnachrichten aus: Eine gefälschte ShinyHunters-Sextortion-E-Mail beispielsweise hat Berichten zufolge echte Angriffsdetails verwendet, um Drohungen glaubwürdig erscheinen zu lassen.

Was zu tun ist, wenn ein von Ihnen genutztes Unternehmen Opfer eines Angriffs wurde

Wenn eine Benachrichtigung über einen Datenschutzvorfall eintrifft, handeln Sie, statt abzuwarten, bis sich die Geschichte klärt:

  1. Ändern Sie wiederverwendete Passwörter. Beginnen Sie mit dem betroffenen Dienst und dann mit jedem anderen Konto, das dasselbe Passwort verwendet. Verwenden Sie für jedes Konto ein einzigartiges Passwort, idealerweise gespeichert in einem Passwortmanager.
  2. Aktivieren Sie Multi-Faktor-Authentifizierung. Bevorzugen Sie nach Möglichkeit eine Authenticator-App oder einen Hardware-Schlüssel gegenüber SMS.
  3. Achten Sie auf Phishing- und Erpressungs-E-Mails. Seien Sie skeptisch gegenüber Nachrichten, die echte Details über Sie nennen und Geld oder dringendes Handeln verlangen. Antworten Sie nicht, klicken Sie nicht auf Links und öffnen Sie keine Anhänge. Gehen Sie stattdessen direkt auf die offizielle Website des Unternehmens.
  4. Prüfen Sie die Benachrichtigung selbst. Bestätigen Sie, dass sie über einen von Ihnen überprüfbaren Kanal vom Unternehmen stammt, da Angreifer Benachrichtigungen über Datenschutzvorfälle nachahmen.
  5. Überwachen Sie Ihre Konten. Überprüfen Sie Konto- und Kreditkartenabrechnungen und erwägen Sie eine Kreditsperre, wenn in der Benachrichtigung steht, dass Finanz- oder Identitätsdaten offengelegt wurden.

Das Fazit

Die mutmaßliche Verbindung zwischen einem Lösegeld-Unterhändler und einer ShinyHunters-Erpressungsseite ist noch kein abgeschlossener Fall, aber sie zeigt, wie sehr die Reaktion auf Sicherheitsvorfälle auf Vertrauen beruht, das Einzelne nicht überprüfen können. Bis die Fakten vollständig geklärt sind, besteht der vernünftige Ansatz darin, sich jedes Mal auf dieselbe Weise zu schützen: einzigartige Passwörter, Multi-Faktor-Authentifizierung und ein gesundes Misstrauen gegenüber jeder Nachricht, die Ihre geleakten Daten nutzt, um Ihnen Angst zu machen. Tun Sie diese Dinge nach jeder Benachrichtigung über einen Datenschutzvorfall, und Sie verringern den Wert dessen, was auch immer die Angreifer – oder ihre Mittelsmänner – in Händen halten.