Was beim Inter-Con Security-Datenleck geschah

Das ShinyHunters-Datenleck bei Inter-Con Security ist das jüngste Beispiel für ein bekanntes und beunruhigendes Muster: Eine bekannte Erpressergruppe behauptet, Daten eines Unternehmens gestohlen zu haben, fordert Lösegeld und veröffentlicht die Informationen dann trotzdem, wenn ihren Forderungen nicht nachgekommen wird. Berichten zufolge hat die Bedrohungsakteurgruppe ShinyHunters angeblich Inter-Con Security ins Visier genommen, ein Unternehmen, das physische Sicherheits- und Wachdienste anbietet, im Rahmen einer als „Pay-or-Leak“-Erpressungskampagne beschriebenen Aktion.

Der Datenverstoß gelangte in die Öffentlichkeit, nachdem die kompromittierten Daten in Have I Been Pwned (HIBP) geladen wurden, dem weit verbreiteten Benachrichtigungsservice, mit dem Einzelpersonen überprüfen können, ob ihre E-Mail-Adresse in einem bekannten Datenleck aufgetaucht ist. Die Verarbeitung des Datensatzes durch HIBP bestätigte 276.000 eindeutige E-Mail-Adressen, die mit dem Vorfall in Verbindung stehen, und gab der Öffentlichkeit einen ersten konkreten Einblick in das Ausmaß der Offenlegung. Unabhängig vom ursprünglichen Umfang der gestohlenen Daten stellt die HIBP-Zahl die verifizierte Anzahl unterschiedlicher E-Mail-Adressen dar, die nun von betroffenen Personen durchsucht werden können.

Wie das Pay-or-Leak-Erpressungsmodell von ShinyHunters funktioniert

ShinyHunters hat sich im Laufe der Jahre einen Ruf für ein einfaches, aber effektives Vorgehen aufgebaut: in die Systeme eines Ziels eindringen oder gestohlene Daten erwerben und dann mit der Veröffentlichung drohen, falls kein Lösegeld gezahlt wird. Wenn die Opfer ablehnen oder nicht reagieren, macht die Gruppe ihre Drohung wahr und veröffentlicht die Daten öffentlich, wobei sie häufig Plattformen und Benachrichtigungsdienste nutzt, um maximale Sichtbarkeit und Druck zu erzielen.

Dieses Vorgehen ist für die Gruppe nicht neu. ShinyHunters wurde mit einer Reihe von hochkarätigen Vorfällen in Verbindung gebracht, darunter ein Vishing-Angriff auf Charter Communications, bei dem etwa 40 Millionen Datensätze offengelegt wurden, eine verwandte Kampagne, die weitere 4,9 Millionen Charter-Datensätze durch ähnliche Vishing-Methoden betraf, sowie ein angeblicher Verkauf von NVIDIA GeForce NOW-Nutzerdaten. Die Gruppe wurde auch mit einer unbestätigten Ransomware-Behauptung gegen Ernst & Young in Verbindung gebracht. Der Vorfall bei Inter-Con Security fügt sich nahtlos in dieses Muster ein, bei dem Organisationen branchenübergreifend – von Telekommunikationsriesen bis hin zu Anbietern physischer Sicherheit – ins Visier genommen und die Androhung öffentlicher Bloßstellung als Druckmittel eingesetzt wird.

Was dieses Erpressungsmodell besonders wirksam macht, ist, dass der Angreifer die Daten nicht auf Untergrundmärkten verkaufen muss, um zu profitieren. Allein die Androhung einer öffentlichen Veröffentlichung, gepaart mit der nachgewiesenen Bereitschaft, diese Drohung wahrzumachen, genügt oft, um Opfer zu Verhandlungen zu zwingen. Wenn diese scheitern, wird die daraus resultierende Veröffentlichung – wie im Fall Inter-Con – sowohl zur Bestrafung des Opfers als auch zur öffentlichen Demonstration der Fähigkeiten der Gruppe für künftige Ziele.

Warum offengelegte E-Mail-Adressen das Risiko von Phishing und Identitätsdiebstahl erhöhen

E-Mail-Adressen mögen im Vergleich zu Sicherheitsverletzungen mit Passwörtern, Finanzdaten oder Ausweisnummern nebensächlich erscheinen. Doch eine durchgesickerte E-Mail-Adresse allein reicht aus, um gezielte Phishing-Kampagnen zu befeuern, insbesondere wenn sie mit einer bestimmten Organisation oder einem Arbeitgeber verknüpft ist. Angreifer können bestätigte, aktive E-Mail-Adressen nutzen, um überzeugende Phishing-Nachrichten zu verfassen, sich als das betroffene Unternehmen auszugeben oder Credential-Stuffing-Angriffe auf andere Konten zu starten, die dieselbe Adresse verwenden.

Datenschutzverletzungen mit großen, verifizierten Datensätzen wie dieser werden zudem häufig mit Daten aus anderen Leaks kombiniert. Sowohl Bedrohungsakteure als auch Forscher haben festgestellt, dass die Kombination von E-Mail-Listen aus mehreren Sicherheitsverletzungen – ähnlich wie bei Vorfällen wie dem Bank of Baroda-Datenleck, bei dem sensible Kundendaten offengelegt wurden – detailliertere Profile von Einzelpersonen erstellen und das Risiko von Identitätsdiebstahl oder Kontoübernahmen weit über das ursprüngliche Leck hinaus erhöhen kann.

Was zu tun ist, wenn Ihre Daten in Have I Been Pwned auftauchen

Wenn Sie glauben, betroffen zu sein, besteht der erste Schritt darin, Ihre E-Mail-Adresse direkt über Have I Been Pwned zu überprüfen. Falls Ihre Adresse im Inter-Con Security-Datenleck oder einem anderen gelisteten Vorfall auftaucht, betrachten Sie dies als Anlass für einige konkrete Vorsichtsmaßnahmen, nicht als Grund zur Panik.

Ändern Sie zunächst das Passwort für alle Konten, die mit dieser E-Mail-Adresse verknüpft sind, insbesondere wenn Sie das Passwort andernorts wiederverwendet haben. Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer verfügbar, da dies eine entscheidende Schutzschicht hinzufügt, selbst wenn Ihr Passwort später in einem anderen Leck kompromittiert wird. Seien Sie besonders vorsichtig bei unerwarteten E-Mails, die sich auf Inter-Con Security beziehen oder vorgeben, Folgemaßnahmen zum Datenleck zu ergreifen, da dies erstklassige Gelegenheiten für Phishing-Versuche sind. Denken Sie schließlich über die Verwendung eines Passwort-Managers nach, um für jedes Konto einzigartige Passwörter zu generieren und zu speichern und so den Schaden zu begrenzen, den ein einzelner Vorfall verursachen kann.

Was das für Sie bedeutet

Der ShinyHunters-Datenleck bei Inter-Con Security erinnert daran, dass erpressungsgetriebene Datenlecks weder nach Unternehmensgröße noch Branche unterscheiden. Ob das Opfer ein Telekommunikationsanbieter, ein Chiphersteller oder ein physisches Sicherheitsunternehmen ist – das zugrunde liegende Risiko für Einzelpersonen ist dasselbe: offengelegte E-Mail-Adressen, die für Phishing, Spam oder weitere Angriffe missbraucht werden können. Informiert zu bleiben, wo Ihre Daten aufgetaucht sind, und schnell zu handeln, wenn dies geschieht, bleibt eine der wirksamsten Schutzmaßnahmen für Endnutzer.

Wichtige Erkenntnisse

  • Überprüfen Sie Have I Been Pwned, um festzustellen, ob Ihre E-Mail-Adresse im Inter-Con Security-Datenleck enthalten ist.
  • Ändern Sie die Passwörter aller Konten, die mit einer offengelegten Adresse verknüpft sind, insbesondere wenn diese wiederverwendet wurden.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung für zusätzlichen Schutz vor passwortbasierten Angriffen.
  • Achten Sie auf Phishing-E-Mails, die sich auf das Datenleck beziehen oder sich als Inter-Con Security ausgeben.
  • Verwenden Sie einen Passwort-Manager, um die Wiederverwendung von Passwörtern zu vermeiden.