Wie Cyberkriminelle Supply-Chain-Partner ausnutzen, um Angriffe zu starten

Ihrer Natur nach erfordert eine Lieferkette eine kollaborative Partnerschaft zwischen Menschen und Organisationen. Während dies helfen kann, ein gemeinsames Ziel zu erreichen und Wachstum zu fördern, kann es auch eine Vielzahl von Problemen mit sich bringen.

Durch diese symbiotischen Beziehungen haben Unternehmen unwissentlich sensible Aspekte ihres Geschäfts offengelegt. Doch diese übersehene Schwäche hat Cyberkriminellen Gelegenheiten eröffnet, einen Fuß in ihre Zielorganisationen zu bekommen.

Die Häufigkeit solcher Angriffe wird durch eine Studie des Opus und Ponemon Institute unterstrichen, die zeigt, dass mindestens 59 % der Organisationen durch Drittanbieter-Unternehmen Opfer von Cyberangriffen geworden sind. Noch beunruhigender ist die Tatsache, dass nur 16 % der Organisationen in der Studie angaben, Cybersecurity-Risiken von Drittparteien effektiv zu mindern.

Es liegt auf der Hand, dass der erste Schritt zum Schutz Ihres Unternehmens vor solchen Risiken darin besteht, sie zu identifizieren. Im Folgenden finden Sie einige Wege, wie böswillige Akteure einen Angriff über einen Lieferkettenpartner initiieren können, illustriert durch reale Beispiele.

Software- und Hardware-Lieferketten

Fast jede Organisation nutzt externe Hardware und Software. Wenige wollen Technologie von Grund auf neu bauen. Vielmehr hat der Boom im Open-Source-Bereich zu einer massiven Welle von Outsourcing in fast jedem Aspekt des Geschäftsbetriebs geführt.

Trotz seiner Bequemlichkeit birgt diese Gelegenheit erhebliche Risiken. Der berüchtigte Equifax-Bruch von 2018 resultierte aus einem Fehler in der Software, die für den Betrieb von Online-Datenbanken zuständig war. Equifax machte auch einen bösartigen Download-Link auf seiner Seite verantwortlich, der von einem anderen Anbieter stammte.

Infolge dieser Schwachstellen in ihrer Lieferkette gelangten Kriminelle an die persönlichen Daten von mindestens 143 Millionen Menschen.

HVAC-Systeme als Einfallstor

Zahlreiche Unternehmen nutzen Heizungs-, Lüftungs- und Klimaanlagen (HVAC), die mit dem Internet verbunden sind, aber unzureichende Sicherheitsmaßnahmen aufweisen. Diese geben Hackern ein potenzielles Einfallstor in Unternehmenssysteme, wie beim massiven Target-Bruch 2014 der Fall war.

Hacker erhielten Zugriff auf Anmeldeinformationen, die dem Unternehmen gehörten, das Targets HVAC-System bereitstellte. Sie loggten sich ein und gelangten in dessen Zahlungssysteme, stahlen Informationen von schätzungsweise 70 Millionen Menschen. Dazu gehörten Namen, physische Adressen, E-Mail-Adressen und Telefonnummern, unter anderen sensiblen Daten.

Cloud-Service-Provider und Datenlecks

Ein weiteres Risiko geht von Cloud-Service-Providern aus, die vertrauliche Daten von Unternehmen speichern. Zweifellos investieren solche Entitäten erheblich in die Sicherheit ihrer Systeme; ihr Ruf hängt davon ab.

Aber wie jedes andere Organisationssystem sind auch diese kompromittierbar. Das war beim berüchtigten Paradise-Papers-Hack 2018 der Fall. Etwa 13,4 Millionen sensible Dateien wurden geleakt, die sensible Finanzgeschäfte globaler Konzerne und superreicher Einzelpersonen aus aller Welt enthüllten. Mindestens die Hälfte dieser Dateien, etwa 6,8 Millionen, stammten von Appleby, einem Offshore-Rechtsdienstleister.

Ein ähnlicher Angriff ereignete sich im Sommer 2018, als Deep Root Analytics die persönlichen Daten von etwa 200 Millionen Wählern preisgab. Deep Root ist eine Marketingfirma, die von sowohl der Republikanischen als auch der Demokratischen Partei genutzt wird. Der Bruch resultierte daraus, dass die Firma die Daten versehentlich auf einem öffentlich zugänglichen Server ablegte.

Während das ein relativ kleines Unternehmen mit nur etwa 50 Mitarbeitern ist, haben ähnliche Vorfälle auch bei größeren Organisationen stattgefunden. Im Fall des Verizon-Bruchs legte Nice Systems 6 Millionen Kundendatensätze auf einem öffentlichen Amazon S3-Speicherserver ab. Die Datensätze bestanden aus sechs Monaten Kundenservice-Anruflogs. Sie enthielten persönliche und Kontoinformationen. Nice hat über 3.500 Mitarbeiter.

Deloitte, mit mehr als 250.000 Mitarbeitern, hat einen ähnlichen Datenschutzverletzung erlebt. Im September 2018 erhielten Hacker Zugriff auf vertrauliche Pläne und E-Mails einiger seiner Blue-Chip-Kunden. Die Lücke war in diesem Fall schwache Zugriffskontrollen auf einem seiner Administratorkonten.

Bei großen Unternehmen mag die Sicherheit intern wasserdicht sein. Dies mag jedoch nicht einmal für die IT-Systeme von Anbietern gelten. Das scheint bei Domino’s Pizza in Australien letzten Herbst passiert zu sein. Laut Berichten zu dieser Zeit resultierte der Vorfall aus den schwachen Cybersicherheitssystemen eines ehemaligen Lieferanten. Infolgedessen wurden Kundennamen und E-Mail-Adressen geleakt. Der Bruch kam nur ans Licht, als betroffene Kunden begannen, personalisierte Spam-E-Mails zu erhalten. Obwohl Domino’s insistierte, es gab keinen böswilligen Hack persönlicher Daten und seine Systeme seien nicht schuld, war der Schaden bereits angerichtet.

IoT-Sensoren als Angriffsvektor

Eine weitere Lücke, die Cyberkriminelle ausnutzen könnten, sind Internet-of-Things-Sensoren (IoT). Viele Geschäftsbetreiber sind sich der Sicherheitsrisiken von Computern, Telefonen und Netzwerken bewusst. Aber sie übersehen oft IoT-Geräte, die Angreifern ermöglichen können, in Unternehmenssysteme zu springen.

Diese Geräte verfügen über Sensoren, die sie für Kommunikationszwecke mit dem Internet verbinden. Sie sind in Lieferketten üblich, da sie bei der Vorhersage von Maschinenausfällen und Bestandsmanagement helfen können. Trotz ihres funktionalen Werts sind sie ein beliebter Angriffsvektor, der Angreifern Zugriff auf sensible Daten geben und Sabotage und Botnet-Angriffe erleichtern kann.

Ein Beispiel für einen solchen Angriff nutzte ein Botnet namens Mirai, um Dyn zu kompromittieren, ein Unternehmen, das Domain-Name-Services für Reddit, Netflix und Github unter anderen bereitstellt. Mirai ist ein IoT-spezifisches Botnet, das entwickelt wurde, um Distributed-Denial-of-Service-Angriffe (DDOS) zu verüben.

Verantwortung und Due Diligence

Die obigen Beispiele geben der Tatsache Glaubwürdigkeit, dass Angreifer ein schwaches Glied in Ihrer Lieferkette nutzen können, um Zugriff auf Systeme zu erlangen. Leider können Sie keine direkte Kontrolle über die Sicherheitsmaßnahmen ausüben, die Ihre Lieferkettenpartner implementieren. Aber am Ende des Tages interessiert es Kunden nicht, wie Sie kompromittiert wurden. Sie wollen einfach wissen, dass ihre Daten sicher sind. Und das legt die Verantwortung für die Gewährleistung strenger Sicherheit in Ihre Hände.

Due Diligence bei der Bewertung von Drittanbieter-Sicherheitssystemen und deren Datenschutzrichtlinien ist unerlässlich. Wie wir gesehen haben, können Organisationen groß und klein diesen Taktiken zum Opfer fallen. Unabhängig von der Größe Ihrer Partner ist es essenziell, ihr Engagement für Sicherheit zu bewerten.

Machen Sie es zu einem obersten Ziel, zu bewerten, wo Ihre Schwachstellen liegen, und priorisieren Sie das Schließen aller Lücken.

Olivia Scott ist Marketing Manager bei VPNpro.com.