Scattered Spider beansprucht neues Opfer mit altem Social-Engineering-Trick

Die Hackergruppe hinter einem der folgenreichsten Unternehmensangriffe der jüngeren Vergangenheit ist offenbar wieder aktiv. Scattered Spider, das locker organisierte Cyberkriminellen-Kollektiv, das 2023 mit seinem beispiellosen Angriff auf den Las Vegas Strip Schlagzeilen machte, hat Berichten zufolge ein weiteres Opfer gefunden – und erneut ist die Methode kein hochmoderner Exploit, sondern ein Trick, den es schon seit Jahrzehnten gibt: Social Engineering.

Für eine Gruppe, die mit einigen der meistdiskutierten Sicherheitsverletzungen der letzten Jahre in Verbindung gebracht wird, ist das Muster in seiner Einfachheit fast irritierend. Anstatt auf raffinierte Malware oder Zero-Day-Schwachstellen zu setzen, hat Scattered Spider seinen Ruf darauf aufgebaut, Menschen zu manipulieren, nicht nur Systeme. Genau das machte die Angriffe auf die Casinos in Las Vegas 2023 so bemerkenswert: Die Gruppe musste keine Schichten von Unternehmenssicherheitssoftware durchbrechen. Sie musste nur die richtige Person am richtigen Helpdesk davon überzeugen, dass sie jemand sei, der sie nicht ist.

Wer ist Scattered Spider und warum ist das wichtig?

Scattered Spider ist keine einzelne Hacking-Gruppe mit festen Mitgliedern. Vielmehr handelt es sich um ein loses Netzwerk von Cyberkriminellen, oft jung und englischsprachig, die sich als bemerkenswert effektiv darin erwiesen haben, große Organisationen mit Social Engineering anzugreifen. Ihr Angriff auf den Las Vegas Strip 2023 wurde ausführlich thematisiert – wegen der Größe und Sichtbarkeit der betroffenen Ziele und weil die Methode hinter dem Einbruch im Verhältnis zum verursachten Schaden so simpel war.

Genau das ist die Konstante, die die früheren Aktionen der Gruppe mit ihrem jüngsten behaupteten Opfer verbindet. Die Werkzeuge mögen modern sein – Telefone, Helpdesk-Software, Unternehmensverzeichnisse –, aber die zugrunde liegende Taktik ist eine, vor der Sicherheitsexperten seit Jahren warnen: einen Menschen dazu zu bringen, freiwillig Zugang zu gewähren. Keine Firewall stoppt einen gut geführten Anruf.

Der jahrzehntealte Trick, der immer noch funktioniert

Social Engineering ist ein fester Bestandteil von Eindringtechniken, lange bevor moderne Cybersicherheit überhaupt als Disziplin existierte. Das Grundprinzip hat sich nicht verändert: Ein Angreifer gibt sich als vertrauenswürdiger Mitarbeiter, Dienstleister oder IT-Mitarbeiter aus und nutzt dieses vorgetäuschte Vertrauen, um ein Passwort zurückzusetzen, eine Multi-Faktor-Authentifizierung zu umgehen oder Zugang zu einem internen System zu erhalten. Es funktioniert, weil Unternehmen – egal wie viel sie in technische Abwehrmaßnahmen investieren – immer noch darauf angewiesen sind, dass Menschen unter Zeitdruck Entscheidungen treffen.

Was diesen Ansatz von anderen Cybercrime-Methoden unterscheidet, etwa den großangelegten automatisierten Angriffen durch Botnetze, ist genau das menschliche Element. Ein Botnetz kann tausende Konten mit gestohlenen Zugangsdaten in Minuten bombardieren, aber es kann sich nicht an einem skeptischen Support-Mitarbeiter vorbeireden. Social Engineering gelingt durch Geduld, Recherche und Selbstbewusstsein, nicht durch rohe Rechenkraft. Das ist einer der Gründe, warum die Technik Jahrzehnte nach ihrer Erstentdeckung als Bedrohung so beständig bleibt: Sie zielt auf eine Schwachstelle, die kein Software-Patch jemals ganz schließen kann.

Was bedeutet das für Sie?

Die wenigsten Leser sind Führungskräfte eines großen Casinobetreibers oder eines Fortune-500-Unternehmens, doch die Auswirkungen solcher Angriffe reichen weit über das unmittelbare Firmenopfer hinaus. Wenn ein Unternehmen durch Social Engineering kompromittiert wird, gehören zu den Folgen oft offengelegte Kundendaten, gekaperte Kundenbindungskonten und in manchen Fällen Finanzinformationen echter Menschen, die mit dem Angriff selbst nichts zu tun hatten.

Es steckt auch eine grundsätzlichere Lektion zum Thema Datenschutz darin. Solche Vorfälle erinnern uns daran, dass das schwächste Glied in jeder Sicherheitskette selten die Software ist, sondern der Prozess der Identitätsprüfung. Wenn die eigenen Mitarbeiter eines Unternehmens dazu verleitet werden können, Zugang zu gewähren, dann sind die persönlichen Daten, die diese Organisation über ihre Kunden speichert, nur so sicher wie ihre internen Verifikationsverfahren. Das ist ein Faktor, in den Verbraucher in der Regel weder Einblick noch Einfluss haben – genau deshalb lohnt es sich, aufmerksam zu sein, wenn eine Gruppe mit der Erfolgsbilanz von Scattered Spider ein neues Ziel für sich beansprucht.

Dem Social-Engineering-Risiko einen Schritt voraus sein

Einzelpersonen können zwar nicht verhindern, dass ein Unternehmen gehackt wird, aber es gibt Maßnahmen, mit denen sich das persönliche Risiko verringern lässt, wenn solche Vorfälle passieren. Die Multi-Faktor-Authentifizierung für eigene Konten zu aktivieren, dienstübergreifend einzigartige Passwörter zu verwenden und auf unerwartete E-Mails zur Passwortzurücksetzung zu achten – all das sind einfache, aber wirksame Gewohnheiten. Es lohnt sich auch, regelmäßig zu prüfen, ob Konten bei Unternehmen, mit denen man Geschäfte macht, von einem Datenleck betroffen waren, denn Benachrichtigungen kommen nicht immer rechtzeitig.

Die anhaltende Aktivität von Scattered Spider ist eine Erinnerung daran, dass Cybersicherheit nicht nur ein Technologieproblem ist, sondern auch ein menschliches. Während sich diese Geschichte weiterentwickelt und weitere Details zum jüngsten Ziel der Gruppe bekannt werden, unterstreicht sie eine einfache Wahrheit: Selbst die modernste digitale Infrastruktur kann durch einen altmodischen Trick zunichte gemacht werden, und informiert zu bleiben ist eine der besten Abwehrmöglichkeiten für ganz normale Nutzer.