Arctic Wolf stellt vor …
Die größten Datenschutzverstöße im Jahr 2024
Unser jährlicher Überblick über die bemerkenswertesten, aufsehenerregendsten und schädlichsten Datenschutzverstöße des Jahres.
Die größten Datenschutzverstöße in 2024
Entdecken Sie die neun bemerkenswertesten Datenschutzverstöße des vergangenen Jahres, angereichert mit neuen Erkenntnissen unseres Spitzenteams aus Sicherheitsforschern, Datenwissenschaftlern und Entwicklungsingenieuren für Sicherheit.
Mindestens ein Drittel der US-Bevölkerung war von Ransomware-Angriffen betroffen
Ein massiver Angriff auf eine große Organisation des Gesundheitswesens hätte durch die Einführung der Multi-Faktor-Authentifizierung verhindert werden können.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:BlackCat/ALPHV-Partner
Betroffene Branche:Gesundheitswesen
Betroffene Organisation:Change Healthcare
Region:Nordamerika
Mindestens ein Drittel der US-Bevölkerung war von Ransomware-Angriffen betroffen
Ein massiver Angriff auf eine große Organisation des Gesundheitswesens hätte durch die Einführung der Multi-Faktor-Authentifizierung verhindert werden können.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
BlackCat/ALPHV-Partner
Betroffene Branche:
Gesundheitswesen
Betroffene Organisation:
Change Healthcare
Region:
Nordamerika
Einzelheiten des Angriffs:
Ein Partner von BlackCat/ALPHV, einer der berüchtigtsten Ransomware-Gruppen der Cybersecurity-Welt, schlug im Februar bei Change Healthcare zu – einem Anbieter von Revenue- und Payment-Cycle-Management, der Kostenträger, Anbieter von Gesundheitsleistungen und Patienten innerhalb des US-amerikanischen Gesundheitssystems miteinander verbindet.
Berichten zufolge wurde der Erstzugang durch die kompromittierten Zugangsdaten eines Kundendienstmitarbeiters erlangt, die von einer Telegram-Gruppe stammen, die mit gestohlenen Zugangsdaten handelt. Diese Zugangsdaten wurden dann für den Zugriff auf das Change Healthcare-Netzwerk über einen Fernzugriffsdienst verwendet, bei dem die Multi-Faktor-Authentifizierung (MFA) nicht aktiviert war.
Nachdem der Partner sich Zugang verschafft hatte, verweilte er neun Tage lang im Netzwerk, führte laterale Bewegungen durch und exfiltrierte Daten, bevor er schließlich die Systeme verschlüsselte und sich mit den personenbezogenen, Gesundheits- und Finanzdaten von schätzungsweise 100 Millionen Menschen davonmachte.
Das negative Ergebnis:
Ein Lösegeld in Höhe von $22 Millionen wurde ausgezahlt, um die Daten zu sichern. Blackcat/ALPHV zog jedoch einen „Exit Scam“ durch, indem sie eine Nachricht veröffentlichten, in der sie behaupteten, von den Strafverfolgungsbehörden abgeschaltet worden zu sein, während sie höchstwahrscheinlich die Gelder einkassierten, ihre Partner im Stich ließen und ihre Aktivitäten unter einem neuen Namen wieder aufnahmen. In der Zwischenzeit haben sich die Kosten für die Wiederherstellung, Behebung und den Ruf des Ransomware-Angriffs auf fast $2,5 Milliarden belaufen, wie aus den Quartalsberichten hervorgeht.
Arctic Wolf Insight:
Der Arctic Wolf Labs 2024 Threat Report stellte fest, dass 46,3 % der Angriffe, die nicht auf Business Email Compromise (BEC) basieren, auf kompromittierte Zugangsdaten zurückzuführen sind, wobei 7,3 % davon Fälle waren, in denen kompromittierte Zugangsdaten aus der Vergangenheit verwendet wurden, um direkten Zugang zur Umgebung des Opfers zu erhalten. Es ist daher zwingend erforderlich, dass Organisationen nicht nur moderne MFA implementieren, sondern auch deren Verwendung durchsetzen – insbesondere die passwortlosen Ansätze, die auf den FIDO2-Spezifikationen basieren.
Quellen
- TechCrunch: https://techcrunch.com/2024/04/30/uhg-change-healthcare-ransomware-compromised-credentials-mfa/
- CRN: https://www.crn.com/news/security/2024/10-major-cyberattacks-and-data-breaches-in-2024-so-far?page=5
- HIPAAJournal: https://www.hipaajournal.com/change-healthcare-responding-to-cyberattack/
- Reuters: https://www.reuters.com/technology/cybersecurity/blackcat-ransomware-site-claims-it-was-seized-uk-law-enforcement-denies-being-2024-03-05/#:~:text=In%20an%20exit%20scam%2C%20hackers,over%20under%20a%20new%20name.
Datenschutzverstoß in der Cloud von Drittanbietern betrifft über 160 Organisationen
Durch kompromittierte Zugangsdaten konnten Cyberkriminelle Infostealer-Malware gegen einen globalen Cloud-Service-Anbieter einsetzen, die ihnen Zugriff auf die Daten von über 160 Unternehmen gewährte.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Zwei Hauptakteure, wahrscheinlich mehr
Betroffene Branche:Informationstechnologie
Betroffene Organisation:Ungefähr 165 Organisationen, über Snowflake-Instanzen
Region:Global
Datenschutzverstoß in der Cloud von Drittanbietern betrifft über 160 Organisationen
Durch kompromittierte Zugangsdaten konnten Cyberkriminelle Infostealer-Malware gegen einen globalen Cloud-Service-Anbieter einsetzen, die ihnen Zugriff auf die Daten von über 160 Unternehmen gewährte.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Mindestens zwei, wahrscheinlich mehr
Betroffene Branche:
Informationstechnologie
Betroffene Organisation:
Ungefähr 165 Organisationen, über Snowflake-Instanzen
Region:
Global
Angriffsdetails:
Für einen der größten Datenschutzverstöße des Jahres waren weder fortschrittliche Taktiken, Techniken und Verfahren (TTPs) noch eine eskalierende Kette erfolgreicher Angriffe erforderlich. Dazu war es lediglich erforderlich, Zugangsdaten im Darknet zu kaufen und diese zu verwenden, um sich anzumelden und Daten zu stehlen. Dies zeigt einmal mehr, wie wichtig MFA und ein sorgfältiger Umgang mit Passwörtern sind.
Die Bedrohungsakteure konnten sich über ihre Snowflake-Instanzen Zugang zu mindestens 165 Organisationen verschaffen, indem sie kompromittierte Anmeldedaten verwendeten, die sie mit Infostealer-Malware von infizierten Geräten erhalten hatten. Bei Snowflake, einem amerikanischen Unternehmen für Cloud-basierte Datenspeicherung, wurde kein Sicherheitsverstoß festgestellt. Vielmehr nutzten die Bedrohungsakteure die kompromittierten Zugangsdaten, um sich einzeln bei den Snowflake-Instanzen der Unternehmen anzumelden, wodurch sie die Daten einer Vielzahl globaler Unternehmen einsehen und exfiltrieren konnten, darunter angeblich AT&T, Santander Bank und Live Nation/Ticketmaster.
Das negative Ergebnis::
Im November verhaftete die US-Regierung zwei Hacker, Connor Moucka und John Binns, wegen ihrer Beteiligung bei dem Verstoß und beschuldigte sie des Diebstahls der Anruf- und Textdaten von etwa 50 Milliarden Kunden eines großen Telekommunikationsunternehmens, das schließlich in mehreren Berichten als AT&T identifiziert wurde. Das Unternehmen hat die Behauptungen jedoch nicht bestätigt, sondern lediglich erklärt, dass „AT&T-Kundendaten illegal von unserem Arbeitsbereich auf einer Cloud-Plattform eines Drittanbieters heruntergeladen wurden“, ohne sich selbst direkt mit dem Snowflake-Verstoß in Verbindung zu bringen.
Moucka und Binns sind jedoch wahrscheinlich bei Weitem nicht die einzigen Cyberkriminellen, die bei dem Verstoß involviert waren. Ende Mai behauptete die berüchtigte Bedrohungsgruppe ShinyHunters, 560 Millionen Datensätze von Ticketmaster und 30 Millionen von Santander zu verkaufen, wobei die Ticketmaster-Daten Berichten zufolge sowohl persönliche Daten als auch Kreditkartendaten enthielten. Mehrere Unternehmen haben in den letzten Monaten seit Bekanntwerden des Datenschutzverstoßes Sammelklagen gegen Ticketmaster eingereicht.
Arctic Wolf Insight:
Laut dem Arctic Wolf Labs 2024 Threat Report waren 47,3 % der von Arctic Wolf® Incident Response untersuchten Nicht-BEC-Vorfälle damit verbunden, dass sich ein Angreifer mit Zugangsdaten bei einer ungeschützten Anwendung angemeldet hat. Das bedeutet, dass fast die Hälfte aller Vorfälle mit einer angemessenen Passworthygiene und einem besseren Identitätsschutz hätten verhindert werden können. Zu diesen Maßnahmen gehören die Implementierung einer starken MFA, die proaktive Stärkung des Active Directory mithilfe von Tools wie PingCastle, um Schwachstellen in der Konfiguration sichtbar zu machen, die Bereitstellung von umfassenden Schulungen zum Sicherheitsbewusstsein und die Verwendung einer 24×7-Echtzeitüberwachung, wie beispielsweise durch eine Lösung für Managed Detection and Response.
Quellen
- AT&T: https://www.att.com/support/article/my-account/000102979?source=EPcc000000000000U
- Wired: https://www.wired.com/story/snowflake-breach-advanced-auto-parts-lendingtree/
- DarkReading: https://www.darkreading.com/cyberattacks-data-breaches/leak-site-breachforums-springs-back-to-life-weeks-after-fbi-takedown
- TechCrunch: https://techcrunch.com/2024/11/12/snowflake-hackers-identified-and-charged-with-stealing-50-billion-att-records/
- SCWorld: https://www.scworld.com/brief/us-indicts-alleged-snowflake-hackers
- Google Cloud Blog: https://cloud.google.com/blog/topics/threat-intelligence/unc5537-snowflake-data-theft-extortion
Blacksuit Ransomware-Bande verursacht Schaden in Höhe von über $600 Millionen
Die umbenannte Gruppe, die hinter der Royal Ransomware steckt, hat einen Anbieter von Cloudbasierter Datenspeicherung und Software für die Automobilindustrie angegriffen und damit erhebliche Störungen und finanzielle Schäden verursacht.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Blacksuit, ehemals Royal
Betroffene Branche:Automobil
Betroffene Organisation:CDK Global
Region:Nordamerika
Blacksuit Ransomware-Bande verursacht Schaden in Höhe von über $600 Millionen
Die umbenannte Gruppe, die hinter der Royal Ransomware steckt, hat einen Anbieter von Cloudbasierter Datenspeicherung und Software für die Automobilindustrie angegriffen und damit erhebliche Störungen und finanzielle Schäden verursacht.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Blacksuit, ehemals Royal
Betroffene Branche:
Automobil
Betroffene Organisation:
CDK Global
Region:
Nordamerika
Einzelheiten des Angriffs:
Mit der Weiterentwicklung von Ransomware haben Bedrohungsakteure begonnen, Angriffe ins Visier zu nehmen, die in ein einzelnes Unternehmen eindringen und sich auf Tausende von Benutzern auswirken können. Dies war im Juni der Fall, als CDK Global, ein Cloudbasierter Anbieter von Datenspeicherung und Software für fast 15.000 US-Autohäuser, von Blacksuit, einer Ransomware-Bande, die früher unter dem Namen Royal bekannt war, angegriffen wurde.
CDK Global hat sich geweigert, Einzelheiten darüber preiszugeben, wie genau der Angriff erfolgte, aber Blacksuit (früher Royal oder RoyalLocker und davor Conti) ist jedoch für doppelte Erpressung bekannt, wobei nicht nur Systeme verschlüsselt, sondern auch Daten exfiltriert werden, um die Auszahlung zu sichern und/oder zu vergrößern.
Das negative Ergebnis::
Mehrere Berichte geben an, dass eine Analyse der Bitcoin-Blockchain zeigt, dass CDK Global ein Lösegeld in Höhe von $25 Millionen an Blacksuit gezahlt hat, um den Zugang und den Betrieb wiederherzustellen. Dennoch sollen die Betriebsunterbrechungen von Autohäusern im ganzen Land, die teilweise auf Stift und Papier zurückgreifen mussten, um ihre Geschäfte abzuwickeln, diese Autohäuser insgesamt mehr als 1 Milliarde gekostet haben.
Arctic Wolf Insight:
Unsere eigenen Daten zeigen, dass Ransomware mit 15-mal höherer Wahrscheinlichkeit zu einer Incident Response (IR) führt als die Kompromittierung von Geschäfts-E-Mails . Auch wenn die genaue Ursache der Sicherheitsverletzung noch unklar ist, so ist doch klar, dass eine robuste, schnelle Incident Response oft den Unterschied bei den anfallenden Kosten eines erfolgreichen Datenschutzverstoßes ausmachen kann. Je nach IR-Anbieter können Unternehmen bis zu 15 % schneller auf einen Vorfall reagieren und so Ausfallzeiten und die damit verbundenen Kosten reduzieren.
Quellen
- CISA: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a
- Anderson Economic Group: https://www.andersoneconomicgroup.com/dealer-losses-due-to-cdk-cyberattack-reach-1-02-billion/?highlight=cdk+global
- CNN: https://www.cnn.com/2024/07/11/business/cdk-hack-ransom-tweny-five-million-dollars/index.html
- Bloomberg: https://www.bloomberg.com/news/articles/2024-06-21/cdk-hackers-want-millions-in-ransom-to-end-car-dealership-outage
- TechTarget: https://www.techtarget.com/whatis/feature/The-CDK-Global-outage-Explaining-how-it-happened
- Reuters: https://www.reuters.com/technology/cybersecurity/blacksuit-hacker-behind-cdk-global-attack-hitting-us-car-dealers-2024-06-27/#:~:text=SAN%20FRANCISCO%2C%20June%2027%20(Reuters,%2Dthe%2Dscenes%20software%20suppliers.
Ein versehentlicher Insider führt zum größten Datenverstoß des Jahres 2024
Ein großer Makler für Verbraucherdaten hat versehentlich die Passwörter zu seiner Backend-Datenbank veröffentlicht, was zum Diebstahl von 2,9 Milliarden Datensätzen führte.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Ein unbeabsichtigter Insider
Betroffene Branche:Informationsdienste
Betroffene Organisation:National Public Data (NPD)
Region:Nordamerika
Ein versehentlicher Insider führt zum größten Datenverstoß des Jahres 2024
Ein großer Makler für Verbraucherdaten hat versehentlich die Passwörter zu seiner Backend-Datenbank veröffentlicht, was zum Diebstahl von 2,9 Milliarden Datensätzen führte.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Ein unbeabsichtigter Insider
Betroffene Branche:
Informationsdienste
Betroffene Organisation:
National Public Data (NPD)
Region:
Nordamerika
Angriffsdetails:
Im April begann der berüchtigte Cyberkriminelle USDoD mit dem Verkauf von Daten, die von National Public Data, einem Makler für Verbraucherdaten, gestohlen wurden. Spätere Untersuchungen ergaben, dass bis zu 2,9 Milliarden Datensätze, bestehend aus Namen, Adressen, E-Mails, Telefonnummern und sogar Sozialversicherungsnummern einer ungenannten Anzahl von Personen, betroffen waren. Berichte schätzen die Anzahl der Betroffenen auf zwischen 170 Millionen und weit über 1 Milliarde, darunter 85 % der US-Repräsentanten und Senatoren. USDoD hat bestritten, hinter dem eigentlichen Angriff zu stecken, und besteht darauf, dass sie die Daten lediglich beschafft und versucht haben, sie gewinnbringend zu verkaufen.
Eine Untersuchung von Cybersecurity-Journalisten ergab, dass „ein anderer NPD-Datenbroker, der Zugang zu denselben Datensätzen von Verbrauchern hat, versehentlich die Passwörter zu seiner Back-End-Datenbank in einer Datei veröffentlicht hat, die auf seiner Homepage frei zugänglich war.“
Das negative Ergebnis::
NPD-Nutzer reichten im August eine Sammelklage gegen die Muttergesellschaft Jerico Pictures ein und behaupteten, der Verstoß sei vorhersehbar und vermeidbar gewesen. Drei Monate später, noch bevor der Fall verhandelt werden konnte, meldete Jerico Pictures Konkurs an. Während Bedrohungsakteur USDoD verhaftet wurde, sind die eigentlichen Datendiebe noch auf freiem Fuß.
Arctic Wolf Insight:
Mitarbeiter eines Unternehmens haben viel leichter Zugang zu sensiblen Materialien als Angreifer von außen. Ein unvorsichtiger oder unzureichend geschulter Mitarbeiter kann ein Unternehmen ernsthaft gefährden, indem er digitale Gateways offen lässt, auf Phishing-Betrügereien hereinfällt oder eine Reihe anderer Fehler bei der grundlegenden Cybersecurity begeht. Ein starkes Programm zur Sensibilisierung für Sicherheitsfragen, das sich auf das menschliche Verhalten, die Unternehmenskultur und die Verwendung von Inhalten und Daten konzentriert und das Risiko eines versehentlichen Insiders aktiv verringert, kann Benutzern helfen, Entscheidungen zu treffen, die ihre Werte schützen, verhindern, dass ihre Zugangsdaten im Darknet zum Verkauf angeboten werden, und ihnen helfen, Social-Engineering-Taktiken zu erkennen, die dazu führen könnten, dass sie sensible Informationen preisgeben.
Quellen
- Microsoft: https://support.microsoft.com/en-us/topic/national-public-data-breach-what-you-need-to-know-843686f7-06e2-4e91-8a3f-ae30b7213535
- Bloomberg: https://www.bloomberglaw.com/public/desktop/document/HofmannvJericoPicturesIncDocketNo024cv61383SDFlaAug012024CourtDoc?doc_id=X6S27DVM6H69DSQO6MTRAQRIVBS
- US-Repräsentantenhaus: https://ritchietorres.house.gov/posts/congressman-ritchie-torres-releases-investigative-report-on-last-months-national-public-data-breach
- KrebsonSecurity: https://krebsonsecurity.com/2024/08/national-public-data-published-its-own-passwords/
BlackCat/ALPHV nehmen die Hypothekenbranche ins Visier
Ein Ransomware-Angriff auf einen der führenden Hypothekenkreditgeber des Landes hat die persönlichen Daten von fast 17 Millionen Menschen offengelegt und einen Schaden von $27 Millionen verursacht.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:BlackCat/ALPHV
Betroffene Branche:Finanzdienstleistungen
Betroffene Organisation:loanDepot
Region:Nordamerika
BlackCat/ALPHV nehmen die Hypothekenbranche ins Visier
Ein Ransomware-Angriff auf einen der führenden Hypothekenkreditgeber des Landes hat die persönlichen Daten von fast 17 Millionen Menschen offengelegt und einen Schaden von $27 Millionen verursacht.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
BlackCat/ALPHV
Betroffene Branche:
Finanzdienstleistungen
Betroffene Organisation:
loanDepot
Region:
Nordamerika
Angriffsdetails:
Die berüchtigte Ransomware-Gruppe BlackCat/ALPHV begann das neue Jahr mit einem Angriff auf den kalifornischen Hypotheken- und Kreditriesen loanDepot im Januar. In einer Erklärung teilten sie mit, dass sie als Folge des Angriffs „bestimmte Systeme offline genommen“ hätten und „mit Hochdruck daran arbeiteten, den normalen Geschäftsbetrieb so schnell wie möglich wiederherzustellen“.
Der Angriff hinderte die Kunden daran, auf ihre Konten zuzugreifen und Zahlungen zu leisten, und beeinträchtigte auch die Systeme zur Kreditvergabe und Kreditbearbeitung des Unternehmens. Bedrohungsakteure konnten die Daten von fast 17 Millionen loanDepot-Kunden verschlüsseln und exfiltrieren, darunter Namen, Adressen, E-Mail-Adressen, Telefonnummern und Geburtsdaten, sowie Sozialversicherungsnummern und Kontonummern.
Das negative Ergebnis:
Das Unternehmen hat in seinen Finanzberichten an die SEC offengelegt, dass ihm im ersten Halbjahr $41.6 Millionen an Kosten im Zusammenhang mit dem Vorfall entstanden sind, „einschließlich einer Rückstellung von $25 Millionen in Verbindung mit Sammelklagen im Zusammenhang mit dem Cybersecurity Incident.“ Kunden hatten insgesamt 20 Sammelklagen eingereicht, die von Fahrlässigkeit bis hin zu Verstößen gegen staatliche Verbrauchergesetze reichten.
Arctic Wolf Insight:
Während die Finanzdienstleistungsbranche zu den weltweit am stärksten regulierten Branchen gehört, fehlt es vielen Unternehmen an den Ressourcen für die Umsetzung und Durchsetzung der Vorschriften, was zu einem Denken des Kästchenabhakens führt, bei dem das absolute Minimum als ausreichend angesehen wird. Die Compliance-Richtlinien zielen jedoch darauf ab, Daten vor unerlaubtem Zugriff schützen, das Cyberrisiko eines Unternehmens zu verringern und Vorfälle zu verhindern. Durch eine gründliche Umsetzung der Richtlinien, wie sie beispielsweise im Federal Financial Institutions Examination Council (FFIEC) Information Security Booklet beschrieben sind, können Unternehmen ihre betriebliche und allgemeine Sicherheitsarchitektur verbessern, die Sichtbarkeit erhöhen, die Alarmmüdigkeit verringern, die Sicherheitssoftware verbessern und die Governance-Verfahren festigen, um die Belastung des Personals zu verringern und gleichzeitig sicherzustellen, dass das Personal für den Erfolg gerüstet ist, wenn ein Vorfall eintritt.
Quellen
- SEC: https://d18rn0p25nwr6d.cloudfront.net/CIK-0001831631/651e8322-c8a4-4270-9c84-51ae068a6902.pdf
- SecurityWeek: https://www.securityweek.com/ransomware-attack-cost-loandepot-27-million/
- CybersecurityDive: https://www.cybersecuritydive.com/news/loandepot-net-loss-cyber-settlement-q2/723838/
- TechCrunch: https://techcrunch.com/2024/02/26/loandepot-millions-sensitive-personal-data-ransomware/
Ransomware Rhysida macht die Pläne tausender Reisender zunichte
Eine Ransomware-Organisation hat einen großen US-Hafen im pazifischen Nordwesten sowie den dortigen internationalen Flughafen angegriffen und damit den Betrieb und den Reiseverkehr Tausender Menschen unterbrochen.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Rhysida
Betroffener Wirtschaftszweig:Transportwesen
Betroffene Organisation:Hafen von Seattle
Region:Nordamerika
Ransomware Rhysida macht die Pläne tausender Reisender zunichte
Eine Ransomware-Organisation hat einen großen US-Hafen im pazifischen Nordwesten sowie den dortigen internationalen Flughafen angegriffen und damit den Betrieb und den Reiseverkehr Tausender Menschen unterbrochen.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Rhysida
Betroffene Branche:
Transport
Betroffene Organisation:
Hafen von Seattle
Region:
Nordamerika
Details des Angriffs:
Der fünftgrößte Hafen der USA und der Flughafen Seattle-Tacoma (Sea-Tac), der wichtigste internationale Flughafen im pazifischen Nordwesten, wurden im August von der Ransomware-Gruppe Rhysida heimgesucht, gerade rechtzeitig zum Ende des Sommerreiseverkehrs.
Der Angriff verursachte weitreichende und anhaltende Ausfälle von Internet- und Websystemen, die sich auf Hafen- und Flughafendienste wie Gepäck- und Passagierabfertigung, Ticketverkaufsdienste, Anzeigetafeln in den Terminals, die Website des Hafens, die mobile App des Flughafens und mehr auswirkten. Während eine unbekannte Menge an Daten exfiltriert wurde, war der wahre Schaden, wie bei den meisten Angriffen auf kritische Infrastrukturen, die täglichen Abläufe. Der Flughafen Sea-Tac wird täglich von schätzungsweise 1.400 Passagieren genutzt, von denen mit vielen Verspätungen zu kämpfen hatten, die ihre Reisepläne beeinträchtigten.
Das negative Ergebnis::
Die Angreifer forderten $6 Millionen in Bitcoin für die Rückgabe der gestohlenen Daten, die Rhysida während des Angriffs exfiltrieren konnte, doch der Hafen von Seattle weigerte sich zu zahlen. „Die Bezahlung der kriminellen Organisation würde weder den Werten des Hafens noch unserem Versprechen entsprechen, mit den Geldern der Steuerzahler sorgsam umzugehen“, sagte Steve Metruck, der Geschäftsführer des Hafens von Seattle. Das bedeutet, dass die gestohlenen Daten, um welche Daten es sich auch immer handelt, ihren Weg ins Darknet finden könnten, um bei künftigen Datenschutzverstößen oder Identitätsdiebstählen eingesetzt zu werden.
Arctic Wolf Insight:
Bedrohungsakteure haben es oft auf kritische Infrastrukturen, Versorgungsunternehmen und Produktionsbetriebe abgesehen, da diese Unternehmen nur eine geringe Toleranz gegenüber Ausfallzeiten haben, was bedeutet, dass sie in der Theorie eher bereit sind, Lösegelder zu zahlen oder den Forderungen der Angreifer nachzukommen. Das FBI rät allen Unternehmen, die von Ransomware betroffen sind, dringend, solche Zahlungen zu verweigern. Dies kann jedoch die Ausfallzeiten verlängern und sowohl den finanziellen Schaden erhöhen als auch zu einem geschädigten Ruf führen, da die Kunden Verzögerungen oder gar Ausfälle der von ihnen benötigten Dienste erleben. Diese Unternehmen müssen ernsthaft eine Lösung für Ihre Security Operations in Betracht ziehen, die eine 24×7-Überwachung, ein risikobasiertes Vulnerability Management, Schulungen zum Sicherheitsbewusstsein und Incident Response bietet, um sowohl ihr Cyberrisiko als auch den potenziellen Schaden eines erfolgreichen Angriffs zu verringern.
Quellen
- SecurityWeek: https://www.securityweek.com/hackers-demand-6-million-for-files-stolen-from-seattle-airport-operator-in-cyberattack/
- CybersecurityDive: https://www.cybersecuritydive.com/news/seattle-port-ransomware-attack/727098/
- Port Technology International: https://www.porttechnology.org/news/port-of-seattle-shares-details-of-a-cyberattack/
- Pacific Maritime Magazine: https://pacmar.com/port-of-seattle-website-finally-back-online-following-major-cyber-attack/
- CISA: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-319a
Ransomware-Banden setzen ihren Angriff auf NHS fort
Eine russische Cybercrime-Gruppe erbeutete 400 GB vertraulicher Patientendaten eines großen Anbieters von Pathologiedienstleistungen in Großbritannien.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Qilin
Betroffene Branche:Gesundheitswesen
Betroffene Organisation:Synnovis
Region:Großbritannien
Ransomware-Banden setzen ihren Angriff auf NHS fort
Eine russische Cybercrime-Gruppe erbeutete 400 GB vertraulicher Patientendaten eines großen Anbieters von Pathologiedienstleistungen in Großbritannien.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Qilin
Betroffene Branche:
Gesundheitswesen
Betroffene Organisation:
Synnovis
Region:
Großbritannien
Angriffsdetails:
Im Juni griff die russische Ransomware- und Erpressergruppe Qilin Synnovis, einen Anbieter von Pathologiedienstleistungen, der aus einer Partnerschaft zwischen zwei Londoner Krankenhaus-Stiftungen und SYNLAB, Europas führendem Anbieter von Labordiagnosedienstleistungen, hervorgegangen ist, mit einem Ransomware-Angriff per Malware-Einschleusung an. Die Bedrohungsakteure verschlüsselten und exfiltrierten Daten von über 300 Millionen Patienteninteraktionen mit dem Nationalen Gesundheitsdienst (National Health Services, NHS), bestehend aus personenbezogenen Identifikationsinformationen (PII) und Bluttestergebnissen, einschließlich hochsensibler Testergebnisse für HIV, sexuell übertragbare Krankheiten und Krebs.
Mehrere NHS-Stiftungen in London waren von dem Cyberangriff betroffen, darunter zwei der meistfrequentierten des Landes, die King’s College Hospital-Stiftung und die Guy’s and St. Thomas‘ Foundation-Stiftung. Allein in sieben Krankenhäusern, für die diese Trusts zuständig sind, kam es zu Störungen, so dass in den ersten zwei Wochen nach dem Angriff über 1.100 Operationen und fast 2.200 ambulante Termine abgesagt werden mussten. Berichten zufolge umfassten die Absagen über 100 Krebsbehandlungen und 18 Organtransplantationen. Auch Bluttests und Transfusionen in London waren dramatisch betroffen, und Operationen mussten um 90 % reduziert werden, bis die Systeme wiederhergestellt waren.
Das negative Ergebnis:
Kurz nach dem Angriff forderte Qilin eine Kryptozahlung in Höhe von $50 Millionen, um die Daten zu löschen und die betroffenen Systeme zu entschlüsseln. Synnovis weigerte sich zu zahlen, woraufhin 400 GB an Daten auf die Datenleck-Site von Qilin im Darknet wurden. Laut dem HIPAA Journal „könnten die betroffenen Patienten aufgrund der Sensibilität einiger der gestohlenen Daten nun Erpressungsversuchen ausgesetzt sein.“ So könnten Cyberkriminelle beispielsweise Patienten, die positiv auf HIV getestet wurden, bedrohen, indem sie diese Informationen öffentlich machen, wenn sie nicht für die Löschung ihrer Daten bezahlen.
Arctic Wolf Insight:
Angriffe durch Malware-Injektion nutzen am häufigsten nicht behobene Schwachstellen aus, was die Notwendigkeit eines robusten Vulnerability Management unterstreicht. Ein starkes Vulnerability Management allein zu bewältigen, ist jedoch keine leichte Aufgabe. Es handelt sich entweder um einen Mangel an Fähigkeiten, Personal oder Zeit, weshalb zu viele Unternehmen in einem Kreislauf feststecken, in dem sie auf unmittelbare Bedrohungen reagieren aber nicht in der Lage sind, proaktive Maßnahmen zur Sicherung ihrer Umgebung zu ergreifen. Eine Partnerschaft mit einem Anbieter von Security Operations hilft dieses Problem zu lösen und bietet gleichzeitig Unterstützung, Fachwissen und praktische Fähigkeiten.
Quellen
- TechCrunch: https://techcrunch.com/2024/12/04/ransomware-hackers-target-nhs-hospitals-with-new-cyberattacks/
- HIPAA Journal: https://www.hipaajournal.com/care-disrupted-at-london-hospitals-due-to-ransomware-attack-on-pathology-vendor/
- Synnovis: https://www.synnovis.co.uk/cyberattack-information-centre
- NHS England: https://www.england.nhs.uk/synnovis-cyber-incident/
Eine ungepatchte Schwachstelle führt zu massiver Datenexfiltration
In der finnischen Hauptstadt wurden im Zusammenhang mit den zunehmenden Spannungen in Europa Dutzende Millionen von Daten gestohlen. Es könnte sich dabei um einen russischen Staatsangriff handeln.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Unbekannt, möglicherweise ein russischer Cyberangreifer
Betroffene Branche:Bildungswesen
Betroffene Organisation:Die Stadt Helsinki
Region:EMEA
Eine ungepatchte Schwachstelle führt zu massiver Datenexfiltration
In der finnischen Hauptstadt wurden im Zusammenhang mit den zunehmenden Spannungen in Europa Dutzende Millionen von Daten gestohlen. Es könnte sich dabei um einen russischen Staatsangriff handeln.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Unbekannt, möglicherweise ein russischer Cyberangreifer
Betroffene Branche:
Bildungswesen
Betroffene Organisation:
Die Stadt Helsinki
Region:
EMEA
Einzelheiten des Angriffs:
Die Bildungsabteilung der Stadt Helsinki, die für die frühkindliche Bildung, die Vorschulbildung, die Grundschulbildung, die allgemeine Sekundarstufe II und die berufliche Bildung in der finnischen Hauptstadt zuständig ist, wurde Anfang Mai von einem Cyberangriff heimgesucht, bei dem die Daten von bis zu 80.000 Schülern und deren Erziehungsberechtigten sowie alle auf den Servern der Bildungsabteilung gespeicherten Personal- und Dateien gestohlen wurden.
Nach Angaben der Stadt Helsinki begann alles mit einer nicht behobenen Sicherheitslücke. „Der Datenschutzverstoß und Diebstahl der Daten wurden durch das Fehlen mehrerer Sicherheitskontrollen in Bezug auf Remote-Server-Einstellungen, Netzwerktrennung und Datensicherheitsüberwachung begünstigt,“ erklarte Chief Digital Officer Hannu Heikkinen. Weitergehend teilte er mit: „Ein Hotfix-Patch ist verfügbar, um diese Schwachstelle zu beheben, aber es ist derzeit nicht bekannt, warum dieser Hotfix nicht auf dem Server installiert wurde. Unsere Kontrollen und Verfahren für Sicherheitsupdates und Gerätewartung waren unzureichend. Nach der Sicherheitsverletzung haben wir Maßnahmen ergriffen, um sicherzustellen, dass ein ähnlicher Vorfall nicht mehr möglich ist.“
Das negative Ergebnis::
Bislang hat sich noch niemand zu dem Angriff bekannt, und es wurde kein Lösegeld gefordert oder gezahlt. Die anschließende Untersuchung des Datenschutzverstoßes führte jedoch dazu, dass die Stadt Helsinki drastische Verbesserungen der Cybersecurity zur Verringerung der technischen Schulden und des Cyberrisikos sowie zur Verbesserung des Informationsmanagements, der Datensicherheit und des Datenschutzes priorisierte.
Arctic Wolf Insight:
Zu viele Unternehmen setzen ihre Prioritäten bezüglich ihrer Security Operations erst nach einem Vorfall. Dennoch dauerte es laut IBM im Jahr 2024 weltweit durchschnittlich 194 Tage, um einen Datenschutzverstoß zu erkennen. Eine proaktive Überwachung, Erkennung und Reaktion können Angriffe viel schneller erkennen und stoppen und so den finanziellen und rufschädigenden Schaden eines erfolgreichen Angriffs drastisch reduzieren. Unsere eigenen Daten zeigen, dass fast 60 % der von Arctic Wolf untersuchten Vorfälle eine Schwachstelle ausnutzten, die bereits im Jahr 2022 oder noch früher identifiziert wurde. Das bedeutet, dass Unternehmen Monate bis Jahre Zeit hatten, das betroffene System zu patchen oder den externen Zugang zu entfernen (oder anderweitig abzusichern). Die Aktualisierung von Patches für Systeme und Software ist eine einfache Möglichkeit, Ihr Sicherheitsniveau gegen Angriffe wie diese zu stärken.
Quellen
Ransomware-Angriff betrifft über 12 Millionen Australier
Ein einziger Cyberangriff führte zum Diebstahl von persönlichen und Gesundheitsdaten von fast der Hälfte der australischen Bevölkerung.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:Unbekannt
Betroffene Branche:Gesundheitswesen
Betroffene Organisation:Medisecure
Region:ANZ
Ransomware-Angriff betrifft über 12 Millionen Australier
Ein einziger Cyberangriff führte zum Diebstahl von persönlichen und Gesundheitsdaten von fast der Hälfte der australischen Bevölkerung.
Der Datenschutzverstoß im Überblick
Bedrohungsakteur:
Unbekannt
Betroffene Branche:
Gesundheitswesen
Betroffene Organisation:
Medisecure
Region:
ANZ
Angriffsdetails:
Im April drang ein unbekannter Bedrohungsakteur in das Netzwerk von Medisecure, einem australischen Anbieter digitaler Rezeptdienste, ein und erbeutete 6,5 Terabyte Daten, bevor er die Systeme verschlüsselte, woraufhin das Unternehmen auf den Angriff aufmerksam wurde. Nachfolgende Untersuchungen ergaben, dass die unbekannten Bedrohungsakteure die persönlichen und Gesundheitsdaten von 12,9 Millionen Australiern exfiltriert hatten.
Laut Medisecure „kann die Art der betroffenen Informationen die Wahrscheinlichkeit erhöhen, dass Australier zur Zielscheibe von Phishing, identitätsbezogener Kriminalität und Cyberbetrug werden“. Zu den gestohlenen Daten gehörten Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, individuelle Kennungen für die Gesundheitsfürsorge sowie Kartennummern für Rentnerermäßigungen, Commonwealth-Senioren, für Ermäßigungen der Gesundheitsfürsorge und das Ministerium für Veteranenangelegenheiten (Department of Veterans’ Affairs, DVA).
Das negative Ergebnis:
Es dauerte mehr als einen Monat, um die Systeme anhand von Sicherungskopien vollständig wiederherzustellen. Aufgrund der Komplexität der Verschlüsselung und des gestohlenen Datensatzes war Medisecure nicht in der Lage, bestimmte Opfer zu benachrichtigen. Nachdem die Bundesbehörden es abgelehnt hatten, dem Unternehmen finanziell unter die Arme zu greifen, ernannte MediSecure im Juni einen Insolvenzverwalter und ging in die Verwaltung über. „Dadurch war es nicht möglich, alle von dem Vorfall betroffenen Personen und deren Daten zu identifizieren, ohne dass MediSecure erhebliche Kosten entstehen, die MediSecure finanziell nicht tragen konnte“, so die Administratoren.
Arctic Wolf Insight:
Die genaue Angriffskette ist zwar nicht bekannt, aber es kommt immer häufiger vor, dass Ransomware-Angriffe Schwachstellen im Identitäts- und Zugriffsmanagement (Identity and Acess Management, IAM) ausnutzen. Der Data Breach Investigations Report (DBIR) von Verizon aus dem Jahr 2024 zeigt, dass über 80 % der Datenschutzverstöße auf eine kompromittierte Identität zurückzuführen sind. Dabei stellen wir häufig fest, dass VPN-Zugangsdaten in unseren Incident Response-Fällen als Ausgangspunkt für die Kompromittierung dienen. Allein im Jahr 2024 sahen wir, wie Partner mit Akira- und Fog-Ransomware SSL-VPN-Konten ohne aktivierte MFA opportunistisch ausnutzten. Laden Sie den Arctic Wolf Labs 2025 Predictions Report herunter und erfahren Sie mehr über fünf Strategien, mit denen Sie Identitäten in Ihrer Umgebung besser schützen können.
Quellen
- Wächter: https://www.theguardian.com/australia-news/article/2024/jul/18/medisecure-reveals-about-129-million-australians-had-personal-data-stolen-by-hackers-in-april
- Australische Regierung, Abteilung für Innere Angelegenheiten: https://www.homeaffairs.gov.au/about-us/our-portfolios/cyber-security/cyber-coordinator/medisecure-cyber-security-incident
- Medisecure: https://medisecurenotification.wordpress.com/
- SecurityWeek: https://www.securityweek.com/medisecure-data-breach-impacts-12-9-million-individuals/
- Security Magazine: https://www.securitymagazine.com/articles/100875-129-million-individuals-affected-by-medisecure-cyber-breach
- Australian Broadcasting Corporation: https://www.abc.net.au/news/2024-07-18/medisecure-data-cyber-hack-12-million/104112736
On-Demand Webinar
