Eine Bank nahm Ransomware-Hacker beim Wort

Ein amerikanisches Finanzinstitut, in der Cybersicherheitsberichterstattung als River Bank identifiziert, meldete einen wesentlichen Cybersicherheitsvorfall, nachdem Ransomware-Angreifer Terabytes sensibler Daten gestohlen hatten, darunter Kundenprofile, interne Dokumente und vertrauliche Bankunterlagen. Nach Zahlung eines Lösegelds erklärte die Bank, sie glaube, die Angreifer hätten die gestohlenen Daten gelöscht – vor allem basierend auf Zusicherungen der kriminellen Gruppe selbst.

Dieses Detail macht die Geschichte bemerkenswert. Ransomware-Verhandlungen enden oft mit dem Versprechen, dass gestohlene Dateien nach Geldeingang vernichtet werden. Doch es gibt keinen unabhängigen Überprüfungsprozess in diesen Transaktionen. Eine Bank – oder jede andere Organisation –, die sich auf das Wort einer kriminellen Bande verlässt, hat keine echte Möglichkeit zu bestätigen, dass die Daten tatsächlich weg sind. Sie könnten kopiert, weiterverkauft oder für einen zweiten Erpressungsversuch Monate später zurückgehalten werden.

Warum es ein Glücksspiel ist, einer Ransomware-Bande zu vertrauen

Ransomware-Operationen sind darauf ausgelegt, Zahlungen zu erpressen, nicht Vereinbarungen einzuhalten. Sobald Angreifer Daten exfiltriert haben, kontrollieren sie jede Kopie davon. Ein Löschversprechen ist nicht durchsetzbar, und es gibt keinen technischen Mechanismus, mit dem ein Opfer die Einhaltung bestätigen könnte. Selbst wenn die spezifischen Personen hinter einem Angriff vorhaben, ihre Kopie zu löschen, gehen gestohlene Daten oft durch Affiliate-Netzwerke, Initial-Access-Broker oder Drittkäufer, bevor überhaupt ein Lösegeld gefordert wird. Eine Kopie zu löschen, bedeutet nicht, dass alle Kopien weg sind.

Für eine Bank, die Kundenprofile und vertrauliche Finanzunterlagen verwaltet, ist das enorm wichtig. Bankdaten sind nicht wie ein gestohlenes Passwort, das einfach zurückgesetzt werden kann. Kontonummern, Transaktionsverläufe und interne Compliance-Dokumente behalten ihren Wert für Betrug und Identitätsdiebstahl noch lange, nachdem ein Datenschutzverstoß bekannt gegeben wurde. Wenn ein Institut Regulierungsbehörden und Kunden mitteilt, dass es glaubt, die Daten seien gelöscht, fordert es die Öffentlichkeit im Grunde auf, denselben Akteuren zu vertrauen, die eingebrochen sind und die Informationen überhaupt erst gestohlen haben.

Dieses Muster ist kein Einzelfall. Sicherheitsforscher und Branchenberichte zeigen immer wieder, dass Ransomware-Gruppen Daten oft zurückhalten, weiterverkaufen oder durchsickern lassen, selbst nachdem sie bezahlt wurden. Die Zusicherung einer kriminellen Gruppe als Lösung eines Verstoßes zu behandeln, anstatt als eine ungeprüfte Behauptung, setzt einen beunruhigenden Präzedenzfall dafür, wie Finanzinstitute Risiken gegenüber den Kunden kommunizieren, deren Daten tatsächlich offengelegt wurden.

Was das für Sie bedeutet

Wenn Sie bei einem Institut Bankgeschäfte tätigen, das einen Datenschutzverstoß gemeldet hat – oder auch bei einem, das (noch) keinen Vorfall gemeldet hat –, ist die sicherste Annahme, dass alle in einen Ransomware-Angriff verwickelten Daten als dauerhaft kompromittiert behandelt werden sollten, unabhängig davon, was die Angreifer behaupten. Praktisch bedeutet das:

  • Beobachten Sie Kontoauszüge und Kreditberichte genau auf unbekannte Aktivitäten, besonders in den Monaten nach der Offenlegung eines Verstoßes durch Ihre Bank.
  • Ändern Sie Ihre Online-Banking-Passwörter und aktivieren Sie die Multi-Faktor-Authentifizierung, falls noch nicht geschehen, denn gestohlene interne Dokumente können mitunter Informationen enthalten, die für Sicherheitsfragen oder das Zurücksetzen von Zugangsdaten genutzt werden können.
  • Seien Sie skeptisch bei unaufgeforderten Anrufen, SMS oder E-Mails, die sich auf Ihre Bank, Kontonummer oder aktuelle Transaktionen beziehen. Gestohlene Bankdaten werden häufig verwendet, um überzeugende Phishing-Versuche zu gestalten.
  • Erwägen Sie die Nutzung eines VPNs, wenn Sie auf öffentlichen oder unbekannten WLAN-Netzwerken Online-Banking betreiben, denn die Verschlüsselung Ihrer Verbindung verringert das Risiko, dass Ihre Zugangsdaten unabhängig von einem Verstoß beim Institut selbst abgefangen werden. Dienste wie die kostenlose Testversion von Mozilla VPN bieten eine unverbindliche Möglichkeit, auszuprobieren, ob verschlüsseltes Surfen zu Ihren regelmäßigen Bankgewohnheiten passt.

Keiner dieser Schritte kann einen bereits geschehenen Verstoß rückgängig machen, aber sie verringern die Wahrscheinlichkeit, dass gestohlene Daten zu einem direkten finanziellen Schaden für Sie führen.

Das größere Bild für Finanzinstitute

Dieser Vorfall verdeutlicht eine grundsätzliche Spannung darin, wie betroffene Organisationen mit der Öffentlichkeit kommunizieren. Aufsichtsbehörden verlangen zunehmend die Offenlegung wesentlicher Cybersicherheitsvorfälle, aber die Meldepflichten fordern nicht, dass Organisationen die Behauptungen der Angreifer überprüfen, bevor sie sie wiedergeben. Wenn eine Bank ihren Kunden mitteilt, sie glaube, dass Daten gelöscht seien, spiegelt diese Aussage eher Hoffnung als Beweise wider. Finanzinstitute, die mit sensiblen Kundendaten umgehen, brauchen Vorfallreaktionspraktiken, die vom schlimmstmöglichen Fall des Zurückhaltens gestohlener Daten ausgehen, statt einer öffentlichen Kommunikation, die die Sprachregelung einer Ransomware-Bande nachplappert.

Kernpunkte

Die Zahlung von Lösegeld garantiert keine Datenlöschung, und keine Bank und kein Unternehmen kann überprüfen, ob eine kriminelle Gruppe gestohlene Dateien tatsächlich vernichtet hat. Wenn Ihr Finanzinstitut einen Verstoß offengelegt hat, behandeln Sie Ihre Daten als dauerhaft gefährdet: Überwachen Sie Ihre Konten, verschärfen Sie Ihre Anmeldesicherheit und bleiben Sie wachsam gegenüber Phishing-Versuchen, die auf echte Kontodetails Bezug nehmen. Vertrauen in die Versprechen von Ransomware-Akteuren ist keine Sicherheitsstrategie – und sollte auch nicht Ihre sein.