Ein Krebsdiagnostik-Riese wird zum neuesten Ziel von ShinyHunters

Die Erpressergruppe ShinyHunters hat einen Datensatz mit rund 10,9 Millionen E-Mail-Adressen veröffentlicht, die von einem großen Krebsdiagnostik-Unternehmen gestohlen wurden, nachdem das Gesundheitsunternehmen Berichten zufolge die Zahlung eines Lösegelds abgelehnt hatte. Die geleakten Daten umfassen personenbezogene Informationen von Patienten, Kunden und den von ihnen genutzten Gesundheitsdiensten und werfen erneut die Frage auf, wie sensible medizinische Details in kriminellen Foren zirkulieren. Sicherheitsforscher bringen den Verstoß mit Exact Sciences in Verbindung, einem Anbieter für Krebsdiagnostik; der genaue Umfang der betroffenen Personen wird noch geprüft.

Was diesen Vorfall bemerkenswert macht, ist nicht nur die Größe des Lecks. Es ist die Methode, mit der ShinyHunters überhaupt erst eingedrungen sind: Sie haben keine Software-Schwachstelle ausgenutzt und keine Firewall durchbrochen. Sie haben zum Telefonhörer gegriffen.

Wie Vishing Mitarbeiter zu unfreiwilligen Komplizen machte

Laut den Berichten riefen ShinyHunters bei Mitarbeitern des Diagnostik-Unternehmens an und setzten Social Engineering – allgemein als Vishing (Voice Phishing) bekannt – ein, um die Angestellten dazu zu bringen, Zugangsdaten preiszugeben oder Kontoänderungen zu genehmigen. Nachdem sie drin waren, konnten die Angreifer eine große Menge an Daten extrahieren, bevor das Unternehmen oder sein Sicherheitsteam den Einbruch unterbinden konnte.

Das ist keine einmalige Taktik der Gruppe. ShinyHunters hat dasselbe Playbook bereits gegen andere große Organisationen eingesetzt. Das ADT-Datenleck legte rund 10 Millionen Datensätze offen, nachdem Angreifer fast identisches Social Engineering genutzt hatten, um Mitarbeiter zur Zugriffsgewährung zu verleiten, und das Charter-Communications-Datenleck betraf 4,9 Millionen Datensätze auf dieselbe Weise. In beiden Fällen lag die Schwachstelle nicht in einer technischen Verwundbarkeit, sondern in einem menschlichen Faktor: ein Mitarbeiter am Telefon, der glaubte, mit einer legitimen Person zu sprechen.

Dieses Muster ist entscheidend dafür, wie Unternehmen über ihre Verteidigung nachdenken sollten. Vishing-Angriffe sind erfolgreich, weil sie Vertrauen und Dringlichkeit statt Code angreifen. Ein überzeugender Anrufer, der vorgibt, der IT-Support, ein Lieferant oder eine Führungskraft zu sein, kommt oft weiter als ein ausgeklügelter Exploit – besonders dann, wenn die Mitarbeiter nicht darin geschult wurden, ungewöhnliche Anfragen über einen zweiten Kanal zu verifizieren.

Was offengelegt wurde und warum der Erpressungswinkel wichtig ist

Der veröffentlichte Datensatz enthält Berichten zufolge rund 10,9 Millionen eindeutige E-Mail-Adressen zusammen mit weiteren personen- und gesundheitsbezogenen Informationen von Patienten und Kunden des Diagnostik-Geschäfts. Da das Unternehmen offenbar die Zahlung verweigert hat, veröffentlichten ShinyHunters die Daten öffentlich statt stillschweigend – ein Schritt, den die Gruppe als Bestrafung darstellt und dabei angab, das Unternehmen hätte „das Lösegeld zahlen sollen“.

Dieses Modell aus Erpressung und anschließender Veröffentlichung ist die Handschrift von ShinyHunters. Es spiegelt wider, was nach dem Zara-Datenleck geschah, bei dem gestohlene Kundendaten derselben Gruppe zugerechnet wurden, die über einen Drittanbieter-Zugang operierte. Der rote Faden all dieser Vorfälle: Angreifer müssen selten direkt in die Kernsysteme eines Unternehmens eindringen. Sie finden einen leichteren Einstiegspunkt – sei es ein Lieferant, ein Callcenter-Mitarbeiter oder ein Helpdesk – und nutzen ihn als Ausgangsbasis.

Bei Brüchen im Gesundheitsumfeld ist der Einsatz höher als bei einem typischen Einzelhandelsleck. E-Mail-Adressen in Kombination mit Diagnose- oder Behandlungsinformationen können für gezieltes Phishing, Versicherungsbetrug oder einfach die Offenlegung sensibler Krankengeschichten genutzt werden, von der die Betroffenen nie dachten, dass sie öffentlich würde.

Was das für Sie bedeutet

Wenn Sie jemals Dienste eines Krebsdiagnostik-Anbieters genutzt haben, insbesondere eines, der mit diesem Vorfall in Verbindung steht, lohnt es sich zu prüfen, ob Ihre E-Mail-Adresse in Benachrichtigungsdiensten für Datenlecks auftaucht, und auf ungewöhnliche Kontoaktivitäten zu achten. Selbst wenn Ihre spezifischen Gesundheitsdaten nicht Teil des geleakten Datensatzes waren, kann die Tatsache, dass Ihre E‑Mail zusammen mit dem Namen eines Gesundheitsdienstleisters offengelegt wurde, Sie zur Zielscheibe von Phishing-E-Mails machen, die wie offizielle medizinische Mitteilungen aussehen.

Im weiteren Sinne ist dieser Vorfall eine Erinnerung daran, dass Datenschutz nicht nur aus Firewalls und Verschlüsselung besteht. Es geht auch darum, wie gut eine Organisation ihre Mitarbeiter darin schult, Social Engineering zu erkennen. Unternehmen, die sensible Gesundheitsdaten verarbeiten, sind gerade deshalb attraktive Ziele, weil diese Informationen langfristigen Wert haben und ein einziges erfolgreiches Telefonat Zugänge öffnen kann, für deren Absicherung man Jahre gebraucht hat.

Umsetzbare Erkenntnisse

  • Prüfen Sie mit einem seriösen Dienst für die Überprüfung von Datenlecks, ob Ihre E-Mail-Adresse in diesem oder verwandten Vorfällen aufgetaucht ist, und ändern Sie die Passwörter für alle mit dieser Adresse verknüpften Konten.
  • Seien Sie skeptisch bei unaufgeforderten E-Mails oder Anrufen, die auf Arzttermine, Testergebnisse oder Rechnungsdetails Bezug nehmen, besonders wenn Sie aufgefordert werden, auf einen Link zu klicken oder persönliche Daten zu bestätigen.
  • Aktivieren Sie für jedes von Ihnen genutzte Gesundheitsportal oder Patienten-Konto die Multi-Faktor-Authentifizierung, da dies den Schaden selbst dann verringert, wenn Anmeldedaten kompromittiert wurden.
  • Fragen Sie bei Organisationen, mit denen Sie zu tun haben und die sensible Daten verarbeiten, welche internen Verifikationsschritte sie durchführen, bevor sie telefonisch Kontozugriff gewähren – denn Vishing-Resistenz hängt oft mehr von Richtlinien als von Technologie ab.

Wie das Muster von ShinyHunters zeigt, ist das Krebsdiagnostik-Datenleck von ShinyHunters nicht nur eine Geschichte über das Versagen eines einzelnen Unternehmens. Es ist ein Signal, dass Social Engineering nach wie vor eines der wirksamsten Werkzeuge im Arsenal eines Hackers ist und dass Wachsamkeit – sowohl aufseiten der Organisationen als auch der Einzelpersonen – nach wie vor die beste verfügbare Verteidigung darstellt.