Die Zahl der Unternehmen, die in jüngste Hacks geraten sind, steigt weiter an

Expand Getty Images

In den letzten Wochen gab der Sicherheitsanbieter Twilio bekannt, dass er von gut ausgestatteten Phishern gehackt wurde, die ihren Zugang nutzten, um die Daten von 163 seiner Kunden zu stehlen. Die Sicherheitsfirma Group-IB sagte unterdessen, dass die gleichen Phisher, die Twilio angegriffen haben, mindestens 136 Unternehmen in ähnlich fortgeschrittenen Angriffen gehackt haben.

In den letzten Tagen haben drei Unternehmen, das zu Twilio gehörende Unternehmen Authy, der Passwort-Manager LastPass und das Lebensmittelliefernetzwerk DoorDash, alle Datenschutzverletzungen offengelegt, die anscheinend mit derselben Aktivität zusammenhängen. Der Authentifizierungsdienst Okta und der Anbieter für sichere Nachrichtenübermittlung Signal gaben beide kürzlich bekannt, dass nach dem Twilio-Vorfall auf ihre Daten zugegriffen wurde.

Group-IB sagte am Donnerstag, dass mindestens 136 Unternehmen von demselben Bedrohungsakteur wie Twilio gephishing wurden. DoorDash ist einer von ihnen, sagte ein Unternehmensvertreter gegenüber TechCrunch.

Genial

Die Authy- und LastPass-Kompromisse sind die besorgniserregendsten der neuen Enthüllungen. Authy sagt, dass es Zwei-Faktor-Authentifizierungstoken für 75 Millionen Benutzer speichert. Angesichts der Passwörter, die der Angreifer bereits aus früheren Sicherheitsverletzungen erhalten hat, waren diese Token möglicherweise das Einzige, was die Übernahme mehrerer Konten verhindert hat. Authy sagte, der Angreifer habe seinen Zugang genutzt, um sich bei nur 93 Einzelkonten anzumelden und neue Geräte zu registrieren, die Einmalpasswörter erhalten könnten. Je nachdem, wem diese Konten gehören, kann dies sehr schlimm sein. Authy sagte, sie habe seitdem nicht autorisierte Geräte von diesen Konten entfernt.

LastPass sagte, ein böswilliger Akteur habe sich über ein einziges kompromittiertes Entwicklerkonto unbefugten Zugriff auf Teile der Entwicklungsumgebung des Passwort-Managers verschafft. Von dort aus „entwendete der Angreifer Teile des Quellcodes und der proprietären technischen Informationen von LastPass“. Laut LastPass waren Master-Passwörter, verschlüsselte Passwörter und andere in Kundenkonten gespeicherte Daten sowie persönliche Kundendaten nicht betroffen. Während die bekanntermaßen erhaltenen LastPass-Daten nicht besonders sensibel sind, ist jeder Verstoß, an dem ein großer Anbieter von Passwortverwaltung beteiligt ist, angesichts der Fülle an Daten, die er speichert, schwerwiegend.

DoorDash sagte auch, dass einer nicht offengelegten Anzahl von Kunden ihre Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und teilweisen Zahlungskartennummern von demselben böswilligen Akteur gestohlen wurden, den manche Scatter Swine nennen. Der Bedrohungsakteur hat die Namen, Telefonnummern und E-Mail-Adressen einer unbekannten Anzahl von DoorDash-Auftragnehmern erhalten.

Wie bereits berichtet, war der erste Phishing-Angriff auf Twilio gut geplant und mit chirurgischer Präzision ausgeführt. Bedrohungsakteure hatten private Telefonnummern von Mitarbeitern, über 169 gefälschte Domains, die Okta und andere Sicherheitsanbieter nachahmen, und die Möglichkeit, 2FA-Schutzmaßnahmen zu umgehen, die Einmalpasswörter verwendeten.

Die Fähigkeit des Bedrohungsakteurs, Daten aus einem Verstoß zu nutzen, um Lieferkettenangriffe gegen die Kunden der Opfer zu starten, und seine Fähigkeit, seit März unentdeckt zu bleiben, demonstriert seinen Einfallsreichtum und sein Können. Es ist nicht ungewöhnlich, dass Unternehmen, die Verstöße melden, ihre Offenlegungen innerhalb von Tagen oder Wochen aktualisieren, um zusätzliche kompromittierte Informationen aufzunehmen. Es wird Sie nicht überraschen, wenn ein oder mehrere Opfer hier dasselbe tun.

Wenn es eine Lektion in diesem ganzen Durcheinander gibt, dann die, dass nicht alle 2FAs gleich geschaffen sind. Einmalige Passwörter, die per Textnachricht gesendet oder von Authentifizierungs-Apps generiert werden, sind genauso phishbar wie Passwörter, und das hat es Hackern ermöglicht, diese letztere Form der Verteidigung gegen Kontoübernahmen zu umgehen.

Ein Unternehmen, das...