Was geschah: FulcrumSec und die Exposition von GitHub-Token

Eine Cyber-Erpressergruppe namens FulcrumSec steckt hinter einer Datenpanne bei Novo Nordisk, dem Pharmaunternehmen, das für die Herstellung weit verbreiteter Diabetes- und Abnehmmedikamente bekannt ist. Berichten zufolge erlangten die Angreifer ihren Zugang nicht durch einen ausgeklügelten Zero-Day-Exploit, sondern indem sie fest codierte Zugangsdaten fanden, die mit GitHub-Zugriffstoken verbunden waren und in der öffentlich zugänglichen IT-Infrastruktur von Novo Nordisk lagen.

Dies ist keine einmalige Taktik der Gruppe. FulcrumSec hat Berichten zufolge ein Muster entwickelt, öffentliche Code-Repositories, clientseitige Skripte und andere exponierte Infrastruktur nach zurückgelassenen Geheimnissen wie API-Schlüsseln, Sitzungstoken und Zugangsdaten zu durchsuchen, die Entwickler versehentlich hinterlassen haben. Sobald ein gültiges Token gefunden wird, kann es wie ein Generalschlüssel wirken und Angreifern einen Weg in Systeme eröffnen, die niemals von außen erreichbar sein sollten.

Die Datenpanne bei Novo Nordisk mit GitHub-Token veranschaulicht ein wiederkehrendes Motiv moderner Unternehmenseinbrüche: Angreifer müssen zunehmend keine Firewall durchbrechen, wenn ein Stück vergessener Code ihnen stattdessen die Schlüssel in die Hand gibt.

Warum fest codierte Zugangsdaten immer wieder zu Unternehmensdatenpannen führen

Fest codierte Zugangsdaten, also Benutzernamen, Passwörter, API-Schlüssel oder Token, die direkt in den Quellcode geschrieben statt in einem sicheren Secrets-Manager gespeichert werden, bleiben eine der hartnäckigsten und vermeidbarsten Ursachen für Unternehmensdatenpannen. Entwickler betten diese Werte häufig während Tests oder schneller Deployment-Zyklen ein, mit der Absicht, sie später zu entfernen. In großen, schnell agierenden Engineering-Organisationen wird dieser Bereinigungsschritt häufig übersprungen oder vergessen.

Sobald dieser Code in ein öffentliches oder halböffentliches Repository gepusht oder in clientseitigem JavaScript ausgeliefert wird, das der Browser jedes Besuchers herunterladen kann, ist die Zugangsdaten effektiv für jeden offengelegt, der weiß, wo er suchen muss. Gruppen wie FulcrumSec haben ihr gesamtes Betriebsmodell darauf aufgebaut, genau solche Versäumnisse in großem Maßstab zu finden, und behandeln das Scannen nach Zugangsdaten als wiederholbaren, nahezu automatisierten Teil ihres Aufklärungsprozesses.

Dieses Muster reicht weit über die Pharmabranche hinaus. Finanzinstitute, Technologieunternehmen und Hersteller haben alle ähnliche durch Zugangsdaten verursachte Kompromittierungen erlebt. Die Berichterstattung über die behauptete Deutsche-Bank-Datenpanne der Ransomware-Gruppe Unsafe und den D1R-Ransomware-Angriff auf ARM, der die Zwei-Faktor-Authentifizierung umging, verweisen beide auf dasselbe zugrunde liegende Problem: Angreifer finden es einfacher, durch eine von einem Entwickler unverschlossen gelassene Tür zu gehen, als eine aufzubrechen.

Was das für die Gesundheitsdaten von Patienten und Verbrauchern bedeutet

Für ein Unternehmen wie Novo Nordisk geht es bei einem Leck von Zugangsdaten um mehr als die übliche Unternehmensblamage. Pharmaunternehmen verarbeiten sensible Informationen aus klinischer Forschung, Produktion und in vielen Fällen Daten, die mit Patienten verbunden sind, die auf ihre Medikamente angewiesen sind. Wenn eine Erpressergruppe durch ein geleaktes Token internen Zugang erlangt, kann sich die Exposition auf Partner, Gesundheitsdienstleister und letztlich auf die Menschen ausbreiten, deren Gesundheitsinformationen diese Systeme berühren.

Diese Datenpanne reiht sich in eine wachsende Liste von Vorfällen ein, die den Gesundheits- und Pharmasektor betreffen. Frühere Berichte beschrieben, wie Boston Scientific und McKesson beide Datenpannen bestätigten, die Patientendaten offenlegten, und wie die ShinyHunters-Gruppe Abbott und NAIC über eine Oracle-Schwachstelle traf und dabei die Krebsmedikamentenforschung störte. Jeder Vorfall nutzte einen anderen technischen Einstiegspunkt, doch das Ergebnis ist dasselbe: sensible gesundheitsnahe Daten landen in den Händen von Personen, die keinen legitimen Anspruch darauf haben.

Verbraucher, die von großen Pharmaunternehmen hergestellte Medikamente einnehmen, haben in der Regel nur begrenzte Einsicht in die oder Kontrolle über die Art und Weise, wie diese Unternehmen ihre internen Entwicklungs-Pipelines absichern. Daher ist es vernünftig anzunehmen, dass jede Organisation, die Gesundheitsdaten verarbeitet, nur so sicher ist wie ihr schwächstes Entwicklergeheimnis, und entsprechend zu handeln, wenn eine Datenpanne gemeldet wird.

Wie Organisationen und Einzelpersonen die Exposition durch Zugangsdatenlecks verringern können

Für Organisationen ist die Lösung nicht exotisch. Sicherheitsteams empfehlen routinemäßig, Zugangsdaten regelmäßig zu rotieren, Code-Repositories und clientseitige Skripte vor dem Deployment auf offengelegte Geheimnisse zu scannen und von fest codierten Token zu zentralisierten Secrets-Management-Tools überzugehen, die kurzlebige, widerrufbare Zugangsdaten ausgeben. Nichts davon ist ein neuer Rat, doch die Wiederkehr dieser Datenpannen zeigt, wie schwierig es bleibt, dies über große Engineering-Teams hinweg konsequent durchzusetzen.

Für Einzelpersonen ist die praktische Reaktion auf Nachrichten wie die Datenpanne bei Novo Nordisk mit GitHub-Token unkompliziert. Achten Sie auf Benachrichtigungsschreiben über Datenpannen von jedem Pharmaunternehmen, jeder Apotheke oder jedem Gesundheitstarif, mit dem Sie zu tun haben, und nehmen Sie sie ernst, auch wenn die Mitteilung routinemäßig klingt. Verwenden Sie einzigartige Passwörter für Gesundheitsportale und aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird. Überwachen Sie Konten, die mit Rezepten, Versicherung und Abrechnung verbunden sind, auf ungewöhnliche Aktivitäten, da gestohlene Daten aus diesen Vorfällen oft später in Phishing-Kampagnen oder Identitätsdiebstahlsversuchen auftauchen.

Wichtige Erkenntnisse

Die Datenpanne bei Novo Nordisk erinnert daran, dass Angreifer nicht immer fortschrittliche Tools benötigen, um ein großes Unternehmen zu kompromittieren; manchmal reicht ein einziges vergessenes Zugangsdatum aus. Wenn Sie Produkte von Novo Nordisk oder anderen Gesundheits- und Pharmaunternehmen nutzen, behalten Sie offizielle Benachrichtigungen über Datenpannen im Auge, überprüfen Sie die Sicherheitseinstellungen aller zugehörigen Konten und behandeln Sie unerwartete E-Mails, die sich auf Ihre Rezepte oder Krankengeschichte beziehen, mit besonderer Vorsicht. Angesichts des Musters, das bei anderen gesundheitsnahen Datenpannen zu beobachten ist, lohnt es sich, regelmäßig zu prüfen, wie Ihre eigenen gesundheitsbezogenen Konten abgesichert sind, anstatt auf ein Benachrichtigungsschreiben zu warten, das zum Handeln auffordert.