Orova-Ransomware trifft 5 HK-Firmen; SFC verhängt erste Cyber-Geldstrafe

Ein doppelter Schlag für den Finanzsektor Hongkongs

Zwei Cybersecurity-Geschichten überschlugen sich in Hongkong innerhalb von etwa 24 Stunden: Eine Ransomware-Gruppe mit dem Namen Orova meldete Sicherheitsverletzungen bei fünf Unternehmen in Hongkong, darunter mindestens ein regulierter Vermögensverwalter, und die Securities and Futures Commission (SFC) verhängte ihre erste mit Ransomware verbundene Durchsetzungsmaßnahme. Berichten zufolge erteilte die SFC einem lizenzierten Unternehmen eine Rüge und verhängte eine Geldstrafe von 2,1 Mio. HK-Dollar wegen Cybersicherheitsversagens im Zusammenhang mit einem Ransomware-Angriff; eine Strafmaßnahme, die die Aufsichtsbehörden als Signal verstanden wissen wollten, dass die oberste Führungsebene und nicht nur die IT-Abteilungen die Verantwortung für die Cyber-Resilienz trägt.

Der Zeitpunkt war weniger ein Zufall als vielmehr ein Zusammenlaufen. Ransomware-Gruppen nehmen zunehmend Finanzdienstleister ins Visier, weil diese genau die Art sensibler Kundendaten besitzen, die Erpressung wirksam machen, und die SFC signalisiert seit Monaten, dass sie lizenzierte Unternehmen zur Rechenschaft ziehen will, wenn diese Schutzmaßnahmen versagen.

Wie die doppelte Erpressung das Ransomware-Drehbuch veränderte

Traditionelle Ransomware war in gewisser Weise ein einfacheres Problem. Angreifer verschlüsselten die Dateien eines Opfers und forderten Bezahlung für den Entschlüsselungsschlüssel. Organisationen mit zuverlässigen Offline-Backups konnten ihre Systeme oft wiederherstellen, ohne einen Cent zu zahlen, und nahmen dem Angreifer so die Druckmittel.

Die doppelte Erpressung, eine Taktik, die Ende 2019 von der Ransomware-Gruppe Maze eingeführt wurde, schloss diese Lücke. Anstatt nur Dateien zu verschlüsseln, kopieren die Angreifer zunächst die sensiblen Daten des Opfers. Selbst wenn die Organisation die Systeme aus Backups wiederherstellen und die Zahlung für die Entschlüsselung verweigern kann, halten die Angreifer eine zweite Karte in der Hand: Sie drohen, die gestohlenen Daten auf einem Leak-Portal im Darknet zu veröffentlichen, falls kein Lösegeld gezahlt wird. Das ändert die Kalkulation völlig. Backups schützen vor Betriebsunterbrechungen, tun aber nichts gegen einen Datenleck. Genau diesen Druck übt Orova offenbar auf die fünf gemeldeten Opfer in Hongkong aus.

Dieses Muster ist weder auf Hongkong noch auf Orova beschränkt. Finanziell regulierte Einrichtungen weltweit verfügen über Kundendaten, Transaktionshistorien und Ausweisdokumente, die sowohl für Kriminelle wertvoll sind als auch – wenn sie offengelegt werden – den betroffenen Personen schweren Schaden zufügen. Es ist dasselbe grundlegende Risiko, das zutage trat, als eine britische staatliche Investitionsagentur rund 40 Stunden lang sensible Daten von 51 Regierungsbeamten offenlegte: Sobald Daten in die Öffentlichkeit gelangt sind, kommt es enorm auf Zeitpunkt und Eindämmung an, doch die Offenlegung selbst lässt sich nicht rückgängig machen.

Warum die Geldstrafe der SFC über Hongkong hinaus von Bedeutung ist

Was diesen Moment bemerkenswert macht, ist nicht nur, dass eine weitere Ransomware-Gruppe Opfer für sich reklamiert, sondern dass eine Finanzaufsichtsbehörde von Leitlinien zu Durchsetzung übergegangen ist. Die Geldstrafe der SFC, die Berichten zufolge die erste spezifisch mit einem Ransomware-Vorfall verbundene Maßnahme ist, sendet eine Botschaft, die sich in der globalen Finanzregulierung ankündigt: Cybersicherheitsversagen wird nicht länger als rein technischer Vorfall behandelt. Es handelt sich um Compliance-Verstöße mit echten finanziellen und Reputationsfolgen für das Unternehmen und zunehmend auch für die Führungskräfte, die das Risikomanagement abzeichnen.

Ransomware-Gruppen brauchen keine neuartige Zero-Day-Lücke, um sich Zugang zu verschaffen. Viele Sicherheitsverletzungen beginnen mit viel banaleren Versäumnissen: ungepatchten Software-Lücken, schwachen Zugangskontrollen oder Mitarbeitern, die auf Phishing hereinfallen. Das ist mit ein Grund, warum ungepatchte Schwachstellen nach wie vor einen so hartnäckigen Einstiegspunkt bilden; selbst prominente Sicherheitslücken wie die in jüngsten Berichten über einen ungepatchten Windows-Zero-Day beschriebene zeigen, wie Angreifer Lücken ausnutzen können, die schon lange bestehen, bevor ein Patch verfügbar ist. Von regulierten Unternehmen wird heute erwartet, dass sie eine solche Gefährdung als Governance-Problem behandeln und nicht nur als IT-Ticket.

Was das für Sie bedeutet

Sollten Sie Kunde, Mitarbeiter oder Partner eines Finanzdienstleisters sein, erinnern Vorfälle wie dieser daran, dass die Sicherheit Ihrer Daten erheblich von Entscheidungen abhängt, die weit oberhalb der IT-Abteilung getroffen werden. In Rechtsordnungen wie Hongkong sind Vorstände und Geschäftsleitungen nun ausdrücklich für die Cyber-Resilienz verantwortlich, was die Unternehmen im Laufe der Zeit zu besseren grundlegenden Schutzvorkehrungen bewegen sollte: bessere Backup-Hygiene, schnellere Patch-Zyklen und strengere Zugangskontrollen.

Für Privatpersonen hat sich die praktische Handlungsempfehlung nicht wesentlich geändert, doch sie ist nun bedeutsamer. Überwachen Sie die Konten bei Unternehmen, die einen Sicherheitsvorfall melden, seien Sie skeptisch bei unerwarteten Nachrichten, die sich auf Kontodetails beziehen, und ziehen Sie ein Kreditmonitoring in Betracht, falls ein Unternehmen bestätigt, dass Ihre Daten Teil eines Lecks waren. Doppelte Erpressung bedeutet, dass selbst Unternehmen, die ihre Systeme schnell wiederherstellen, womöglich immer noch Ihre Daten in Umlauf bringen; gehen Sie also nicht davon aus, dass ein behobener Ransomware-Vorfall bedeutet, Ihre Informationen seien sicher.

Wichtigste Erkenntnisse

Die Orova-Angriffe und die Geldstrafe der SFC zeigen gemeinsam, wohin sich die Rechenschaftspflicht bei Ransomware entwickelt: Die Aufsichtsbehörden geben sich nicht mehr damit zufrieden, dass Unternehmen sich lediglich von einem Angriff erholen. Sie verlangen den Nachweis, dass die Unternehmen angemessene Schritte unternommen haben, um einen solchen von vornherein zu verhindern. Für die Leser bleiben die praktischen Schritte unabhängig von der Rechtsordnung dieselben: Fragen Sie jede Finanzinstitution, mit der Sie zusammenarbeiten, nach ihren Richtlinien zur Meldung von Sicherheitsverletzungen, aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, und betrachten Sie jede Benachrichtigung über einen Datenverstoß als Aufforderung, Ihre eigenen Kontoaktivitäten zu überprüfen, und nicht als bloße Formsache.