Wessen wird TeamPCP beschuldigt?

Den Vorwürfen zufolge hat TeamPCP vertrauenswürdige Softwaretools kompromittiert, um Daten von nachgelagerten Kunden zu stehlen, und dann Lösegeldzahlungen gefordert. Die US-Behörden kündigten im August im Zusammenhang mit dem Fall eine Anklage und eine Verhaftung in Australien an.

Wer sind die Opfer bei dieser Art von Angriff?

Zu den Opfern gehören nicht nur das Unternehmen, dessen Tool kompromittiert wurde, sondern auch die nachgelagerten Kunden, die dieses Tool nutzten. Jede betroffene Organisation kann dann separat für Lösegeld unter Druck gesetzt werden.

Bedeutet die Verhaftung, dass die gestohlenen Daten wiederbeschafft wurden?

Nein, eine Verhaftung garantiert nicht, dass die Daten wiederbeschafft werden können oder dass keine Kopien mehr im Umlauf sind. Sobald Informationen entwendet wurden, hat der Datendiebstahl bereits stattgefunden, und Rechtsfälle brauchen Zeit.

TeamPCP-Anklage und Verhaftung in Australien: Erpressung in der Lieferkette

Q: Wie unterscheidet sich dieser Angriff auf die Lieferkette von klassischer Ransomware?

Anders als bei klassischer Ransomware gibt es keinen gesperrten Bildschirm und keine verschlüsselten Dateien. Stattdessen kompromittieren Angreifer Software, auf die sich Organisationen bereits verlassen, nutzen diesen Zugang, um Daten zu stehlen, und fordern dann eine Zahlung.

Q: Sollten Organisationen wegen dieser Verhaftungen ihre Schutzmaßnahmen lockern?

Nein, Leser sollten Verhaftungen als gute Nachricht für die Abschreckung betrachten, nicht als Grund, ihre eigenen Schutzmaßnahmen zu lockern. Die Strafverfolgung folgt tendenziell dem Schaden, anstatt ihn zu verhindern.

Eine Datenerpressungskampagne über Angriffe auf die Lieferkette muss Ihr Gerät nicht berühren, um Ihre Informationen zu gefährden. Sie muss nur ein Tool kompromittieren, dem Ihr Anbieter bereits vertraut. Das ist das Bild, das sich aus dem Fall TeamPCP ergibt, bei dem die US-Behörden im August eine Anklage und eine Verhaftung in Australien bekannt gaben.

Die verfügbaren Details sind begrenzt, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde. Die Quellenberichterstattung von Virtual Routes beschreibt, wie das FBI ausdrücklich darauf hinweist, dass einige dieser Fälle Datendiebstahl und Erpressung ohne Ransomware-Verschlüsselung umfassen, und verweist auf die TeamPCP-Einträge als einen weiteren Weg zur Erpressung.

Wie TeamPCP vertrauenswürdige Software zu einem Weg für Datendiebstahl machte

Dem Bericht zufolge beschrieb eine Mitteilung vom Juli Kompromittierungen vertrauenswürdiger Softwaretools und den Diebstahl sensibler Informationen. Das Muster ist es wert, verstanden zu werden, denn es unterscheidet sich von der klassischen Ransomware-Geschichte. Es gibt keinen gesperrten Bildschirm und keine verschlüsselten Dateien. Stattdessen kompromittieren Angreifer Software, auf die sich Organisationen bereits verlassen, nutzen diesen Zugang, um Daten zu entwenden, und fordern dann eine Zahlung.

Im August kündigten die US-Behörden eine Anklage und eine Verhaftung in Australien an. Die Vorwürfe beschreiben kompromittierte Software, die Datendiebstahl bei nachgelagerten Kunden ermöglichte, gefolgt von Lösegeldforderungen. In einfachen Worten: Die Opfer waren nicht nur das Unternehmen, dessen Tool kompromittiert wurde, sondern auch die Kunden, die es nutzten.

Das macht diese Art von Datenerpressungskampagne über Angriffe auf die Lieferkette für Kriminelle effizient. Ein einziger Kompromittierungspunkt kann die Tür zu vielen Organisationen gleichzeitig öffnen, und jede von ihnen kann dann separat unter Druck gesetzt werden.

Was die Anklage und die australische Verhaftung ändern und was nicht

Eine Anklage und eine Verhaftung sind bedeutende Schritte. Sie zeigen, dass grenzüberschreitende Zusammenarbeit zwischen US-amerikanischen und australischen Behörden Ergebnisse hervorbringen kann, und sie senden ein Signal an andere, die ähnliche Machenschaften betreiben.

Doch es handelt sich in diesem Stadium um Vorwürfe, und der Titel des Quellartikels umreißt das größere Problem: Der Weg zur Rechenschaftspflicht von Ransomware-Kriminellen ist lang. Rechtsfälle brauchen Zeit, während Datendiebstahl schnell geschieht. Sobald Informationen entwendet wurden, garantiert eine Verhaftung nicht, dass sie wiederbeschafft werden können oder dass keine Kopien im Umlauf sind.

Es gibt auch einen weiteren Punkt. Die Strafverfolgung folgt tendenziell dem Schaden, anstatt ihn zu verhindern. Leser sollten Verhaftungen als gute Nachricht für die Abschreckung betrachten, nicht als Grund, ihre eigenen Schutzmaßnahmen zu lockern.

Warum nachgelagerte Kunden das Risiko tragen

Nachgelagerte Kunden sind oft die am wenigsten sichtbare Partei bei diesen Vorfällen. Sie wissen möglicherweise nicht, welche Tools ihre Anbieter verwenden, welchen Zugang diese Tools haben oder wie viele ihrer Daten in Systemen Dritter liegen. Wenn ein vertrauenswürdiges Tool kompromittiert wird, können die durchgesickerten Daten alles umfassen, was der Anbieter oder seine Kunden dort gespeichert haben.

Das kann gewöhnliche personenbezogene Daten umfassen. Verwandte Berichterstattung zeigt, wie sich erpressungsgetriebene Datenschutzverletzungen für Einzelpersonen auswirken. Berichte über Novo Nordisk und OnePoint-Datenschutzverletzungen, die 800.000 Patientendateien offenlegen veranschaulichen, wie exponiert Gesundheitsdaten sein können, und eine aktuelle Behauptung von 2 bis 3 TB Daten über FBI-Agenten zeigt, dass selbst Organisationen mit starkem Sicherheitsruf dem Druck von Erpressern ausgesetzt sind.

Der gemeinsame Nenner ist, dass die Menschen, deren Daten gestohlen werden, selten ein Mitspracherecht bei den Sicherheitsentscheidungen hatten, die sie exponiert haben.

Was das für Sie bedeutet

Sie können nicht jeden Anbieter prüfen, der Ihre Daten hält, und Sie können nicht verhindern, dass ein Lieferant kompromittiert wird. Was Sie kontrollieren können, ist, wie viel es zu stehlen gibt und wie viel Schaden gestohlene Daten anrichten können.

Je weniger Sie teilen, desto weniger kann eine Erpresserbande nutzen. Und da Erpressung auf Druckmittel angewiesen ist, werden gestohlene Daten oft auf mehrere Arten monetarisiert. Die Analyse eines mutmaßlichen Leaks einer Erpressergruppe, behandelt in unserem Beitrag über Chainalysis, das Krypto-Wallets mit Lösegeldzahlungen verknüpft, gibt einen Einblick, wie diese Zahlungsströme funktionieren.

Praktische Möglichkeiten, Ihre Exposition zu begrenzen

Teilen Sie weniger mit Anbietern. Geben Sie nur die Informationen an, die ein Dienst wirklich benötigt. Überspringen Sie optionale Felder und löschen Sie Konten, die Sie nicht mehr nutzen.
Aktivieren Sie Multi-Faktor-Authentifizierung. Wenn Anmeldedaten bei einer Datenschutzverletzung offengelegt werden, macht MFA sie weitaus schwerer nutzbar. Bevorzugen Sie wo möglich app-basierte oder Hardware-Methoden gegenüber SMS.
Verwenden Sie einzigartige Passwörter. Ein Passwort-Manager macht dies praktikabel, damit ein Leak nicht andere Konten entsperrt.
Lesen Sie Datenschutzverletzungsbenachrichtigungen. Ignorieren Sie keine E-Mails oder Briefe über Vorfälle bei Unternehmen, mit denen Sie zu tun haben. Sie enthalten oft Schritte und Fristen, wie etwa Angebote zur Kreditüberwachung.
Seien Sie skeptisch gegenüber Erpressungsnachrichten. Wenn jemand Sie kontaktiert und behauptet, Ihre Daten zu besitzen, verifizieren Sie dies über offizielle Kanäle, bevor Sie antworten oder zahlen.
Überwachen Sie Ihre Konten. Beobachten Sie Kontoauszüge und erwägen Sie eine Kreditsperre, wenn sensible Identifikatoren offengelegt wurden.

Das Fazit

Der Fall TeamPCP ist eine Erinnerung daran, dass eine Datenerpressungskampagne über Angriffe auf die Lieferkette gewöhnliche Kunden über Tools erreichen kann, die sie nie ausgewählt haben. Die Anklage vom August und die australische Verhaftung sind ermutigend, doch die Rechenschaftspflicht bewegt sich langsamer als der Schaden. Begrenzen Sie, was Sie herausgeben, aktivieren Sie MFA und achten Sie auf Datenschutzverletzungsbenachrichtigungen. Für mehr darüber, wie gestohlene Daten verwendet werden, lesen Sie unsere wöchentliche Zusammenfassung über den McKesson-Datenschutzvorfall und den Berlin-Ransomware-Fall.