Monetisierte Attacken treiben neue Bedrohungen: Experten-Security-Steps zur Abwehr

In einem offenen Gespräch teilt Ted Harrington, Executive Partner bei Independent Security Evaluators (ISE), kritische Insights, wie erfolgreiche Cyberattacks neue Bedrohungen züchten, und skizziert konkrete Security Measures, um sie zu stoppen.

Threat Modeling: Verstehen, wo die echten Risiken liegen

Harrington erklärt, dass die „größte Bedrohung“ je nach Organisation variiert. „Threat Modelling ist eine Übung, wo Sie die Assets identifizieren, die Sie schützen müssen, die Adversaries, denen Sie gegenüberstehen, und die Attack Surfaces, die sie ausnutzen werden“, sagt er. „Was für eine Company Critical ist, mag für eine andere Trivial sein.“

Data Leakage in Web Browsers: Eine Study's Takeaway

In einer kürzlichen ISE Study versagten 21 High-Profile Sites across Finance, Healthcare, Insurance und Utilities – 70 % der Getesteten –, Browser davon abzuhalten, Sensitive Data auf Disk zu cachen. Dies ließ Unencrypted Content auf End-User Machines. Harrington merkt an: „Die Study zeigt, dass sogar Well-Meaning Developers Key Attack Vectors missen können, wenn sie nicht verstehen, wie Angreifer Systeme brechen.“

Er empfiehlt:

• Executive Education – Decision-Makern klare, actionable Security Insights liefern.
• Exploit Demonstration – Abstrakte Risiken in Tangible Threats verwandeln, um Cognitive Biases zu counteren.
• Empathy – Developers und UX Teams zuhören, damit Security Solutions Real-World Workflows fitten.

Der Romantik Seehotel Attack: Lessons für Hospitality und Beyond

Als Hacker die Hotel-Türschlösser hijackten und 1.600 $ in Bitcoin forderten, zahlte der Owner, um Gäste Safe zu halten. Harrington listet drei Key Lessons:

1. Adversaries Evolve – Ransomwares neue Nutzung – Payment Erpressung durch Disruption Guest Experience – zeigt, Attackers adaptieren schnell.
2. Success Breeds Copy-cats – Ein Profitable Attack lädt Imitatoren ein; Hospitality Sector muss Follow-up Threats antizipieren.
3. Security Is Multifaceted – PCI Compliance und PII Protection allein können Brand Reputation, Guest Safety oder Experience nicht safeguarden.

ISEs Industry-Wide Impact

Harrington hat die Door Lock Security Working Group für Hospitality Technology Next Generation geleitet, producing Abstracted Threat Model und Best-Practice Guidelines für RFID, Online und Mobile Lock Systems. Er co-chairt nun die IoT Working Group mit Interel, um Secure Device Adoption zu guide'n.

Healthcare: Patient Health schützen, nicht nur Data

Während HIPAA Data Security treibt, warnt Harrington, dass Hospitals oft das Bigger Picture missen: Patient Health. Eine Two-Year Study mit 12 Hospitals uncovered, dass Angreifer Serious Harm – oder Death – verursachen könnten, indem sie Medical Devices kompromittieren. „Patient Data allein zu schützen ist insufficient“, sagt er.

Top Three Actions für IoT Service Providers

Harrington betont, Security in every Development Stage zu bauen, von Requirements bis Post-Deployment. Er empfiehlt:

• Third-Party Security Assessments – Independent Experts können Vulnerabilities aufdecken, die Your Team Missen könnte.
• Adopt an Adversarial Mindset – Beyond Automated Scans und Standard Pen Tests gehen; Like the Attacker Thinken.

Ted Harrington, Executive Partner von Independent Security Evaluators, wurde von Editorial Director Jeremy Cowan interviewt.

---