Datenleck bei Mayer Brown durch Identitätstäuschungsbetrug von Luna Moth

Was beim Datenleck von Mayer Brown geschah

Die Anwaltskanzlei Mayer Brown hat bestätigt, dass interne Dokumente auf einer von der Erpressergruppe Luna Moth betriebenen Leak-Seite veröffentlicht wurden, betont jedoch, dass ihre Systeme nie tatsächlich kompromittiert wurden. Nach Angaben von Mayer Brown hat ein Mitarbeiter die Dokumente versehentlich an einen Dritten gesendet, der seine Identität vorgetäuscht hatte. Mit anderen Worten: Es handelte sich nicht um einen Hackerangriff im herkömmlichen Sinne – also das Ausnutzen von Software-Schwachstellen oder gestohlenen Zugangsdaten. Vielmehr war es eine gezielte Täuschung, die einen Mitarbeiter dazu brachte, freiwillig sensible Unterlagen herauszugeben.

Luna Moth nahm diese Dokumente und stellte sie auf ihrer Erpresser-Leak-Seite ins Netz – eine Taktik, mit der die Gruppe Opfer unter Druck setzt, lieber zu zahlen, als die Veröffentlichung gestohlener Daten in Kauf zu nehmen. Die Aussage von Mayer Brown, dass nicht auf ihre Systeme zugegriffen wurde, ist bedeutsam. Sie zieht eine klare Trennlinie zwischen einem Netzwerkeinbruch, der üblicherweise eine weitaus umfangreichere technische Reaktion auslöst, und einem gezielten Social-Engineering-Vorfall, der menschliches Vertrauen und nicht eine technische Schwachstelle ausnutzte.

Wie die Identitätstäuschungstaktik von Luna Moth technische Schutzmaßnahmen umging

Luna Moth, die auch unter Namen wie Silent Ransom Group, Chatty Spider und UNC3753 geführt wird, hat sich einen Ruf dafür erarbeitet, gezielt Anwaltskanzleien ins Visier zu nehmen – auch weil juristische Dokumente in der Regel sensibel, vertraulich und ein wertvolles Druckmittel für Erpressungen sind. Statt Malware oder Ransomware einzusetzen, um in ein Netzwerk einzudringen, setzt die Gruppe zunehmend auf überzeugende Identitätstäuschung: Sie gibt sich als vertrauenswürdiger Anbieter, IT-Support-Kontakt oder eine andere legitime Partei aus, um einen Mitarbeiter dazu zu bringen, freiwillig Dateien zu übermitteln oder Zugang zu gewähren.

Diese Vorgehensweise ist gerade deshalb wirksam, weil sie genau jene Schutzmaßnahmen umgeht, für die Unternehmen das meiste Geld ausgeben. Firewalls, Endpoint-Erkennung und Netzwerküberwachungstools sind darauf ausgelegt, unbefugte Zugriffsversuche zu erkennen. Sie sind jedoch weit weniger nützlich, wenn ein legitimer Mitarbeiter in gutem Glauben Dokumente an jemanden sendet, den er für empfangsberechtigt hält. Der Vorfall bei Mayer Brown passt in dieses Muster: Das Leck erforderte von Luna Moth keinen Einbruch in den Perimeter, denn der Perimeter war nie das Ziel. Der Mitarbeiter war es.

Warum Social Engineering das schwächste Glied bleibt

Selbst gut ausgestattete Organisationen mit ausgereiften Cybersicherheitsprogrammen bleiben für diese Art von Angriff anfällig, weil er auf das Urteilsvermögen und nicht auf die Infrastruktur zielt. Eine Kanzlei kann massiv in Verschlüsselung, Zugriffskontrollen und Angriffserkennung investieren und dennoch verwundbar sein, wenn jemand überzeugend einen bekannten Kontakt, einen Mandanten oder einen internen Kollegen imitiert. Dabei handelt es sich weniger um ein Versagen der Technik als vielmehr um den Beweis, dass entschlossene Angreifer stets den Weg des geringsten Widerstands suchen – und dieser Weg führt zunehmend über Menschen statt über Code.

Die breiter angelegte Kampagne von Luna Moth gegen Anwaltskanzleien unterstreicht dies. Gruppen wie diese profitieren von einem operativen Maßstab, und was sie unter anderem so beständig macht, ist die Infrastruktur, die ihre Aktivitäten hinter den Kulissen stützt – einschließlich der Hosting-Dienste, die es Leak-Seiten und Erpressungsoperationen ermöglichen, online zu bleiben. Auch die Strafverfolgungsbehörden haben diese Infrastrukturebene ins Visier genommen. Die Beschlagnahmung von 800 Servern im Zusammenhang mit einer Bulletproof-Hosting-Razzia durch niederländische Behörden zeigt, dass die Störung von Hosting-Anbietern, die Erpressergruppen Unterschlupf gewähren, ebenso wichtig sein kann wie die Verbesserung des individuellen Bewusstseins der Mitarbeiter. Beide Fronten – technische Durchsetzung und menschliche Wachsamkeit – brauchen Aufmerksamkeit, wenn Vorfälle wie das Leck bei Mayer Brown seltener werden sollen.

Was das für Sie bedeutet

Wenn Sie in einer Anwaltskanzlei, einem Finanzdienstleister oder einer anderen Organisation arbeiten, die mit sensiblen Mandantenunterlagen umgeht, dann ist dieser Vorfall eine Mahnung, dass Ihr größtes Risiko möglicherweise gar kein ausgeklügeltes Hacking-Tool ist. Es könnte eine ausgefeilte E-Mail oder ein Anruf sein, der authentisch wirkt und klingt. Angreifer, die zu einem bestimmten Mitarbeiter, einer Lieferantenbeziehung oder einem laufenden Fall recherchieren, können ihre Identitätstäuschung so überzeugend zuschneiden, dass selbst aufmerksame Mitarbeiter getäuscht werden können.

Für Mandanten und Einzelpersonen, deren Informationen über Anwaltskanzleien oder professionelle Dienstleister laufen, lohnt es sich zu verstehen, dass ein „Leak“ nicht immer bedeutet, dass die Server eines Unternehmens kompromittiert wurden. Manchmal bedeutet es, dass eine einzelne, gezielte Täuschung erfolgreich war. Dieser Unterschied ist wichtig für die Art und Weise, wie Organisationen reagieren, und für das Vertrauen, das die Öffentlichkeit in pauschale Beteuerungen setzen sollte, dass „die Systeme sicher“ seien.

Konkrete Handlungsempfehlungen

• Überprüfen Sie die Identität über einen zweiten Kanal, bevor Sie sensible Dokumente versenden – insbesondere, wenn eine Anfrage dringend oder ungewöhnlich erscheint.
• Schulen Sie Ihre Mitarbeiter darin, gezielt Täuschungstaktiken zu erkennen, und nicht nur Phishing-E-Mails mit offensichtlichen Warnsignalen.
• Etablieren Sie klare interne Verfahren zur Überprüfung von Anfragen von Lieferanten, IT und Mandanten, die die Übermittlung von Dokumenten betreffen.
• Machen Sie sich bewusst, dass ein Datenleck ohne Netzwerkeinbruch dennoch reale Konsequenzen hat und eine ernsthafte Reaktion erfordert.

Der Vorfall bei Mayer Brown zeigt, dass die Social-Engineering-Taktiken von Luna Moth für ein Datenleck keine Firewalls überwinden müssen – sie brauchen nur eine Person, die eine überzeugende Lüge glaubt. Während Anwaltskanzleien und andere hochwertige Ziele weiterhin diesem Druck ausgesetzt sind, ist es ebenso dringend, die menschliche Lücke zu schließen wie das Netzwerk abzusichern.