Datenbankverletzungen bleiben die größte Cyberbedrohung für Unternehmen

Datenbankverletzungen bleiben die größte Cyberbedrohung für Unternehmen

Klicken Sie hier um die komplette Analyse als PDF herunterzuladen.

Executive Summary

Da die Zahl der betroffenen Opfer jedes Jahr steigt, stellen Datenbankverletzungen und -freigaben heutzutage einige der schwerwiegendsten Bedrohungen für Unternehmen dar. Bei diesen Verstößen werden Millionen vertraulicher Informationen gefährdet, beispielsweise personenbezogene Daten (PII), Anmeldeinformationen, Zahlungsinformationen und geschützte Daten. Kriminelle verschaffen sich über verschiedene Taktiken, Techniken und Verfahren (TTPs) Zugriff auf die Daten, beispielsweise durch Phishing, Malware, Ausnutzen vorhandener Schwachstellen in Software, Insider-Bedrohungen, Wiederverwendung von Passwörtern und eine Reihe anderer Methoden, wobei sie Lücken in der Sicherheitsinfrastruktur ausnutzen. Nach dem Eindringen in das Netzwerk einer Organisation können Kriminelle selbst auf die Daten zugreifen oder die Zugriffe bei Auktionen im Darknet versteigern. Die dadurch gesammelten Informationen führen wiederum häufig zu weiteren Verstößen durch Techniken wie Business E-Mail Compromise (BEC).

Wichtige Urteile

Hintergrund

Ein Datenbankverstoß ist an sich kein Angriff (obwohl manche Angriffe die Folge von solchen sein können), sondern vielmehr die Folge davon, dass sich Cyberkriminelle unbefugten Zugriff auf ein Netzwerk verschaffen. Dieser Zugriff bietet Cyberkriminellen erhebliche Möglichkeiten zur Rechteausweitung, Datenexfiltration und anderen Auswirkungen. Ransomware-Betreiber können Geräte im kompromittierten Netzwerk verschlüsseln und Hacker können Datenbanken mit PII, Zahlungsdaten, PHI, Unternehmensdokumenten, E-Mail-Adressen, Berufsbezeichnungen und Organisationen, Social-Media-Profilen sowie Benutzernamen und Passwörtern von Konten exfiltrieren. Diese Leaks verschaffen der Schattenwirtschaft häufig einen Zufluss neuer Daten, die auf verschiedene Weise genutzt werden können:

Die Zahl der Datenbankverletzungen steigt von Jahr zu Jahr. Laut Norton gab es im Jahr 2019 3.800 öffentlich bekannt gegebene Verstöße, bei denen 4,1 Milliarden Datensätze offengelegt wurden.

Zu den bemerkenswerten Datenbankverletzungen, die im Jahr 2019 gemeldet wurden, gehören die folgenden:

Bedrohungsanalyse

Business-E-Mail-Betrug

Eine weitere TTP, die eng mit Datenbankverletzungen und dem Zugriff auf Netzwerke verbunden ist und häufig durch diese erleichtert wird, ist Business Email Compromise (BEC). Diese Methode ähnelt Social-Engineering- und Phishing-Techniken, da ein Bedrohungsakteur versucht, Unternehmen zu kompromittieren, indem er vorgibt, ein legitimer Mitarbeiter oder Manager des Unternehmens zu sein, den Zugriff auf seine kompromittierten E-Mail-Konten nutzt oder die Adressen fälscht, die er aus den kompromittierten Datenbanken erhalten hat. Häufig glaubt das Opfer, dass es aufgrund der Verwendung einer legitimen E-Mail-Adresse mit einem echten Mitarbeiter kommuniziert, und gibt vertrauliche Unternehmensinformationen preis oder veranlasst Überweisungen an Konten, die von Cyberkriminellen kontrolliert werden.
Laut dem Internet Crime Complaint Center (IC3) des FBI (Stand: 27. Februar 2017) "nehmen BEC-Betrügereien weiter zu, entwickeln sich weiter und zielen auf Unternehmen jeder Größe ab". Sie stellen ferner fest, dass seit Januar 2015 "die identifizierten exponierten Verluste um 1.300 % gestiegen sind und sich nun auf über 3 Milliarden US-Dollar belaufen".

Im letzten Jahr im Dark Web beobachtete BEC-Cyberangriffe. (Quelle: Aufgezeichnete Zukunft)

BEC wird oft in Kombination mit anderen TTPs wie Romance-Scams und Rentenkontobetrug durchgeführt, die darauf abzielen, Geld von Einzelpersonen zu stehlen, manchmal bis zu Millionen von Dollar.

Verstöße und Verkäufe, Schritt für Schritt

In der Vergangenheit mussten die meisten Bedrohungsakteure das Netzwerk eines Unternehmens hacken, um an deren Datenbanken und andere wertvolle Informationen zu gelangen. Mittlerweile sind viele Hackerangriffe und Exfiltrationen bereits durch Bedrohungsakteure erfolgt, die darauf spezialisiert sind, sich Zugriff zu verschaffen. Die entsprechenden Informationen werden in Foren und Märkten des Darknets zum Verkauf angeboten oder manchmal sogar kostenlos zur Verfügung gestellt. Dieser Zugriff auf Netzwerke ist oft der erste Schritt zum Hacken von Unternehmensdatenbanken, und die hochrangigen Bedrohungsakteure, die sich darauf spezialisiert haben, Zugriff darauf zu erhalten, sind wahrscheinlich der Schlüssel zu einem Großteil der Aktivitäten der Cyberkriminellen, die alles vom Diebstahl von PII und PHI (persönlichen Gesundheitsinformationen) bis hin zu Ransomware-Angriffen und Wirtschaftsspionage umfassen. Diese Kriminellen, die oft in kleinen Teams arbeiten, können den gesamten Prozess vom Zugriff auf das Netzwerk des Unternehmens bis zum Verkauf im Dark Web durchführen. In den folgenden Unterabschnitten wird dieser Vorgang ausführlicher erläutert:

  1. Verkauf von Zugang zu kompromittierten Netzwerken
  2. Verkauf von Datenbanken
  3. Dumping kostenloser Datenbanken
  4. Vertrieb neuer und zusammengesetzter Datenbanken über abonnementbasierte Dienste

1. Verkauf des Zugangs zu kompromittierten Netzwerken

Der Verkauf von Zugängen zu kompromittierten Netzwerken von Behörden, Unternehmen, Bildungseinrichtungen und anderen Einrichtungen kann ein äußerst lukratives Geschäft sein, wobei die Preise pro Zugang zwischen Hunderten und Tausenden von Dollar variieren können. Cyberkriminelle verschaffen sich auf unterschiedliche Weise Zugriff auf Netzwerke, etwa über kompromittierte Drittanbietersoftware, Remotedesktopprotokolle, virtuelle private Netzwerke, Internet-Router, durch Webshell- und PowerShell-Angriffe oder durch den Einsatz von Remote Access-Trojanern.

Analysen von Darknet-Quellen zeigen, dass Cyberkriminelle vor allem Organisationen in den folgenden Branchen ins Visier nehmen:

Bei den Opfern handelt es sich einerseits um Gelegenheitsziele, andererseits um Organisationen mit Schwachstellen. Außerdem werden Sektoren ins Visier genommen, die besonders ergiebige Felder für Dinge wie PII und PHI bieten, wie etwa Gesundheitseinrichtungen, Regierungs- und Bildungseinrichtungen, oder für Finanzinformationen, wie etwa der Finanz- und E-Commerce-Sektor.

Verkauf über Auktionen

Im Gegensatz zu anderen Produkten und Dienstleistungen, die auf Darknet-Ressourcen zu einem Festpreis zum Verkauf angeboten werden, werden viele der aufgelisteten kompromittierten Daten normalerweise über Auktionen verkauft. Die Auktionen gelten als fairer und offener Mechanismus zur Durchführung von Verkäufen in Darknet-Foren, bei dem den Teilnehmern (Bedrohungsakteuren) Preise angeboten werden, die sie für angemessen halten. Ein hochrangiges Forum im Dark Web stellt beispielsweise strenge Anforderungen, die alle Mitglieder einhalten müssen:

Eine weitere Art des Verkaufs kompromittierter Zugriffe in Darknet-Foren ist der Direktverkauf, bei dem die oben beschriebenen Einschränkungen nicht gelten und bei dem es sich normalerweise um eine private Verhandlung zwischen Käufer und Verkäufer handelt. Der Hauptvorteil des Direktverkaufs liegt in der erhöhten Privatsphäre und Sicherheit (er kann ohne Drittgaranten über sichere Kommunikationsmethoden erfolgen).

Verkäufe über Treuhanddienste

Neben Auktionen bieten die meisten Foren der oberen und mittleren Preisklasse ihren Mitgliedern auch einen Treuhandservice an. Dabei handelt es sich um einen universellen Sicherheitsmechanismus, bei dem eine dritte Partei (ein Bedrohungsakteur oder ein automatisiertes System) zur Betrugsprävention gemäß der Vereinbarung zwischen Verkäufer und Käufer Geld erhält und auszahlt. Es gibt zwei Arten von Auktionen im Dark Web, die Treuhanddienste nutzen: reguläre und automatisierte.

Regelmäßiger Treuhandservice

Diese Funktion wird in der Regel von einem oder zwei seriösen Bedrohungsakteuren oder Forum-Mitarbeitern übernommen, die als Garanten fungieren. Ihre Benutzernamen und Kontakte sind normalerweise in den Abschnitten „Regeln“ oder „Treuhandkonto“ eines Forums aufgeführt. Sie müssen Folgendes vorlegen:

Automatisierter (Auto-)Treuhandservice

Bei dieser Art von Treuhandservice handelt es sich um einen speziellen Bereich vieler Foren für Cyberkriminelle, in dem Bedrohungsakteure rund um die Uhr Geschäfte mit minimalem Risiko abwickeln können und für den keine Serviceprovision erhoben wird. Die Regeln können in den einzelnen Foren unterschiedlich sein, die wichtigsten Schritte bei einer Auktion sind jedoch die folgenden:

2. Verkauf von Datenbanken

Datenbankverletzungen werden über Darknet-Quellen unter Bedrohungsakteuren verkauft oder weitergegeben. Bedrohungsakteure verwenden die in diesen Datenbanken häufig vorkommenden Benutzernamen-/Passwortkombinationen für Credential-Stuffing-Angriffe gegen beliebte Onlinedienste.

Normalerweise geben Cyberkriminelle Verstöße nicht sofort bekannt. Manchmal warten sie mehrere Monate, bevor sie die Daten im Darknet verkaufen und gleichzeitig versuchen, den besten Weg zu finden, um aus dem Zugriff Geld zu machen. Viele gehackte Datenbanken werden nicht als Ganzes, sondern nur in Teilen verkauft. Ein Verkauf könnte zum Beispiel eine Kombination aus E-Mail-Adressen mit Passwörtern, Finanzinformationen, PII usw. umfassen, aber nicht alle Informationen. Nicht alle Bedrohungsakteure, die tatsächlich in Netzwerke eindringen, sind auch unbedingt deren Verkäufer. Cyberkriminelle wenden aus Sicherheitsgründen Strategien an, um ihre Verbindung zu Sicherheitsverletzungen zu verschleiern. Manchmal verwenden sie dabei mehrere Namen oder agieren innerhalb einer Gruppe. Darüber hinaus wird der Zugriff auf die Datenbank häufig von Personen verkauft, die nicht direkt am Hacken der Zielunternehmen beteiligt sind, sondern in erster Linie als Stellvertreter fungieren.

3. Dumping kostenloser Datenbanken

Zusätzlich zum Zugriff und den Datenbanken, die in Darknet-Foren verkauft werden, hat Recorded Future auch beobachtet, dass mehrere durchgesickerte Datenbanken kostenlos öffentlich in mehreren Foren im Darknet geteilt wurden.

So begann beispielsweise ein berüchtigter Bedrohungsakteur, der Ersteller und Administrator eines Forums im Darknet ist, Wählerdatenbanken aus verschiedenen US-Bundesstaaten aus den Jahren 2017 bis 2018 öffentlich zu teilen. Diese enthielten Wähler-IDs, vollständige Namen, Postanschriften, frühere Adressen, Geburtsdaten, Geschlecht, Telefonnummern, Wählerstatus und Wählerhistorie. Es wurden Datenbanken aus nahezu zwei Dutzend Staaten gemeinsam genutzt, von denen jeder zwischen Hunderttausenden und mehreren Millionen einzigartiger Datensätze enthielt.

4. Vertrieb neuer und zusammengesetzter Datenbanken über abonnementbasierte Dienste

4. Vertrieb neuer und zusammengesetzter Datenbanken über abonnementbasierte Dienste

Einige Bedrohungsakteure kaufen und sammeln durchgesickerte Datenbanken auf verschiedenen Untergrundplattformen, Filesharing-Plattformen und anderen verfügbaren Diensten, um abonnementbasierte Dienste zu organisieren, bei denen Cyberkriminelle zusammengesetzte durchgesickerte Datenbanken finden können, die sowohl verschlüsselt als auch unverschlüsselt gespeichert sind. Diese Dienste aktualisieren ihre Datenbanken regelmäßig, bieten reguläre und Premium-Mitgliedschaftspläne und sogar Kundenservice über Telegram an. Ein solcher Dienst war für 64 USD im ersten Monat und 37 USD für jeden weiteren Monat erhältlich.

Techniken zur Minderung von Netzwerkkompromittierungen

Recorded Future empfiehlt die folgenden Maßnahmen zum Schutz vor der Ausnutzung von Schwachstellen auf Websites und Netzwerken von Organisationen, die zu Datenbankverletzungen führen können:

BEC-Minderungstechniken

Nach Angaben des FBI verringern diese Schritte das Risiko, durch BEC-Angriffe kompromittiert zu werden:

Ausblick

Datenpannen können verheerende Auswirkungen auf den Ruf und die finanzielle Stabilität eines Unternehmens haben und weitere böswillige Aktivitäten unter Verwendung der durch die Panne erlangten Informationen und Zugriffsrechte erleichtern. Der Verkauf von Datenbankverletzungen und der daraus resultierende Informationsverlust werden auf absehbare Zeit eine der größten Cyberbedrohungen bleiben. Der Verkauf von Zugriffen durch erfahrene Bedrohungsakteure, die auf Sicherheitsverletzungen spezialisiert sind, wird damit verbundene bösartige Aktivitäten wie BEC, Steuerbetrug, Phishing, Ransomware und viele andere fördern.

Recorded Future hat die am stärksten gefährdeten Branchen ermittelt und eine Liste der Bedrohungsakteure erstellt, die an einem Großteil dieser standardisierten Aktivitäten beteiligt sind, und empfiehlt die Umsetzung der in diesem Bericht beschriebenen Minderungstechniken. Darüber hinaus wird Unternehmen dringend empfohlen, die Threads, Posts und Angebote dieser Bedrohungsakteure aufmerksam zu verfolgen, indem sie Dark-Web-Auktionen, Verkaufsthreads in den Dark-Web-Foren und -Marktplätzen sowie Untergrunddienste auf Abonnementbasis überwachen.