|
Berlin (ots) - Ein erfolgreicher Cyberangriff ist mit dem Abfluss von Daten
meist noch lange nicht zu Ende. Besonders gefährlich wird es erst, wenn
beispielsweise die gestohlenen Kundendaten anschließend für täuschend echte
Phishing-Mails und weitere gezielte Angriffe genutzt werden. Genau diese Gefahr
zeigt der aktuelle Fall rund um Käufer von Steam-Hardware: Offenbar war nicht
Valve selbst, sondern ein Dienstleister in der Lieferkette von einem
Sicherheitsvorfall betroffen. Aus einem einzelnen Datenleck kann so eine ganze
Reihe weiterer Angriffe entstehen.
Gestohlene Kundendaten sind für Cyberkriminelle nicht zwangsläufig das
Endprodukt, sondern häufig erst der Anfang. Je mehr Informationen über eine
Person bekannt sind, desto glaubwürdiger lassen sich Folgeangriffe gestalten -
und desto schwieriger wird es für Betroffene, diese als Betrugsversuch zu
erkennen. Nachfolgend erfahren Sie, wie Kriminelle erbeutete Kundendaten für
personalisierte Angriffe nutzen, welche Rolle KI dabei spielen kann und warum
Unternehmen auch die Sicherheitsrisiken ihrer Dienstleister im Blick behalten
müssen.
Warum der Steam-Fall besonders aufschlussreich ist
Nach bisherigem Kenntnisstand wurden nicht die Systeme von Steam beziehungsweise
Valve selbst kompromittiert. Betroffen war vielmehr ein Logistikdienstleister,
der Daten von Käufern der Steam-Hardware verarbeitete.
Damit rückt ein Risiko in den Mittelpunkt, das Unternehmen nicht allein durch
die Absicherung der eigenen Systeme beherrschen können. Wer etwa Logistik-,
Cloud-, CRM- oder Supportanbieter einsetzt, muss Informationen mit Dritten
teilen. Wird einer dieser Dienstleister angegriffen, können deshalb auch Daten
des Auftraggebers betroffen sein.
Im konkreten Fall sollen keine Steam-Passwörter oder Kreditkartendaten
abgeflossen sein. Stattdessen geht es um Kunden- und Bestelldaten wie Namen,
Adressen, Telefonnummern, E-Mail-Adressen sowie Informationen zur bestellten
Hardware. Das begrenzt zwar die unmittelbaren Folgen; harmlos sind solche
Informationen deshalb jedoch nicht.
Echte Informationen machen Phishing glaubwürdig
Eine gewöhnliche Phishing-Nachricht muss zunächst eine plausible Geschichte
konstruieren. Die Behauptung, ein Paket habe nicht zugestellt werden können und
für einen erneuten Versand sei eine Gebühr fällig, erreicht schließlich auch
Menschen, die gerade keine Lieferung erwarten.
Mit gestohlenen Kundendaten verändert sich die Ausgangslage. Kennt ein Angreifer
den Namen, die Lieferadresse und die Tatsache, dass tatsächlich Steam-Hardware
bestellt wurde, kann er diese Informationen gezielt einsetzen. Statt einer
beliebigen Paketwarnung erhält das Opfer einen vermeintlichen Hinweis auf ein
konkretes Problem mit seiner tatsächlichen Bestellung.
Die Nachricht enthält damit Informationen, die stimmen. Für den Empfänger stellt
sich deshalb schnell die Frage: Woher sollte ein Betrüger wissen, dass ich
gerade dieses Produkt bestellt habe? Das Vertrauen entsteht somit durch die
Kombination echter Daten. Der ursprüngliche Datendiebstahl liefert die Grundlage
für den nächsten Angriff.
KI erleichtert personalisierte Angriffe in großem Maßstab
Generative KI kann diese Entwicklung zusätzlich verschärfen. Große Datensätze
lassen sich automatisiert auswerten und für individuelle Nachrichten verwenden.
So könnten Angreifer anhand des Landes die passende Sprache bestimmen, einen
dort auch tatsächlich existierenden Paketdienst imitieren und Formulierungen an
typische Versandbenachrichtigungen anpassen. Namen, Bestelldaten oder
Lieferinformationen lassen sich gleichzeitig automatisiert integrieren.
Damit verliert ein bisher wichtiger Schutzmechanismus an Bedeutung: Phishing
lässt sich nicht mehr zuverlässig an schlechtem Deutsch, auffälligen
Übersetzungen oder unpersönlichen Massenmails erkennen. Sprachlich einwandfreie
und kontextbezogene Nachrichten können inzwischen mit geringem Aufwand erzeugt
werden.
Das Datenleck kann erst der Anfang sein
Aus einem Sicherheitsvorfall kann dadurch eine mehrstufige Angriffskette
entstehen. Zunächst kompromittieren Kriminelle einen Dienstleister und gelangen
an Kundendaten. Anschließend verwenden sie diese Informationen für
personalisierte E-Mails oder SMS. Vertraut ein Empfänger der Nachricht und
öffnet eine präparierte Website, können die Täter dort jene sensiblen
Informationen abfragen, die beim ursprünglichen Angriff gar nicht erbeutet
wurden.
Erst in diesem zweiten Schritt könnten beispielsweise Zugangsdaten oder
Zahlungsinformationen kompromittiert werden.
Deshalb wäre es falsch, aus dem Steam-Fall abzuleiten, dass sich allein mit den
entwendeten Daten automatisch Steam-Konten übernehmen ließen. Die eigentliche
Gefahr liegt darin, dass echte Kundeninformationen einen Folgeangriff erheblich
glaubwürdiger machen.
Unternehmen müssen auch Dienstleister berücksichtigen
Der Vorfall verdeutlicht, weshalb Informationssicherheit nicht an der eigenen
Unternehmensgrenze enden darf. Externe Anbieter sind Bestandteil moderner
Geschäftsprozesse - und damit auch Bestandteil der Angriffsfläche.
Unternehmen sollten deshalb wissen, welche Dienstleister Zugriff auf Daten
erhalten, welche konkreten Informationen übermittelt werden und ob dieser Umfang
tatsächlich erforderlich ist. Ebenso relevant sind Aufbewahrungsfristen,
Sicherheitsmaßnahmen des Anbieters und klare Prozesse für den Fall eines
Sicherheitsvorfalls.
Dabei gilt ein einfacher Grundsatz: Daten, die ein Dienstleister nicht besitzt,
können bei ihm auch nicht gestohlen werden. Werden notwendige Informationen
zudem nur so lange gespeichert, wie sie tatsächlich gebraucht werden, reduziert
sich der mögliche Schaden.
Der Steam-Fall zeigt damit ein grundlegendes Problem moderner Cyberangriffe: Ein
Datenleck ist nicht zwangsläufig der Abschluss eines Angriffs. Unter Umständen
liefert es erst die Informationen, mit denen der wesentlich gefährlichere zweite
Angriff möglich wird.
Über Joachim Reinke
Joachim Reinke ist Fachbuchautor, Experte für Informationssicherheit und
Mitglied des Teams von einfachISO. Er begleitet IT-Dienstleister,
Software-Agenturen und SaaS-Unternehmen auf ihrem Weg zur ISO
27001-Zertifizierung. Sein Schwerpunkt liegt auf klar strukturierten,
praxisnahen Lösungen speziell für kleine und mittlere Unternehmen. Bereits über
100 Unternehmen hat er erfolgreich bis zur Zertifizierung geführt. Weitere
Informationen unter: https://einfachiso.de/
Pressekontakt:
einfachISO GmbH
Vertreten durch: Jörn Bungartz, Joachim Reinke
E-Mail: mailto:info@einfachiso.de
Website: https://einfachiso.de/
Weiteres Material: http://presseportal.de/pm/182384/6351184
OTS: einfachISO GmbH
|
