Hackergruppe Spammy Bear kaperte 78 Domains

Ein Kommentar von Broderick Perelli-Harris, Senior Director Professional Services bei Venafi

[datensicherheit.de, 28.01.2019] Untersuchungen in den USA und Kanada haben ergeben, dass die Fehlalarme über angebliche Bombendrohungen Mitte Dezember auf eine Schwachstelle in GoDaddy zurückzuführen ist. Die Drohungen hatten zu Evakuierungen und Schließungen in beiden Ländern geführt.

Eine Hackergruppe namens Spammy Bear hatte 78 Domains gekapert, darunter die von Expedia, Yelp und Mozilla, um dort Lösegeld in Form von Bitcoin zu erpressen. Ausgelöst wurden die Angriffe durch Spam-E-Mails, die die Opfer vor der Bombe warnten oder aber diese mit angeblichen Webcam-Video-Aufzeichnungen erpresste, auf denen die Opfer angeblich sexuelle Handlungen vollziehen. In beiden Fällen wurden Bitcoin als Lösegeld gefordert. Der Sicherheitsforscher, der den Fehler entdeckt hat, schätzt nun, dass weltweit über eine halbe Million Domains anfällig für Angriffe dieser Art sind. Er rechnet daher mit Nachahmern und weiteren betroffenen Unternehmen.

Bild: Venafi

Broderick Perelli-Harris, Senior Director Professional Services bei Venafi

Hinweis, dass Hacker das Maschinenidentitätssystem missbrauchen, um ihre Angriffe durchzuführen

Dies ist ein weiterer Hinweis, dass Hacker das Maschinenidentitätssystem missbrauchen, um ihre Angriffe durchzuführen. Maschinenidentitäten sind die Grundlage für das Vertrauen in der digitalen Welt und Hacker nutzen sie, um ahnungslosen Benutzern vertrauenswürdig zu erscheinen. GoDaddy ist sicherlich nicht unschuldig an der Misere. Die Organisationen und Unternehmen, die Opfer dieser Attacken geworden sind, sollten sich jedoch fragen, warum sie die Maschinenidentitäten auf ihren Domain-Servern nicht besser geschützt haben. Denn dann hätten sie verhindern können, dass die Hacker sie für ihre Attacken missbrauchen. Indem sie ihr Abonnement für GoDaddy ablaufen ließen, ohne die Domain-Name-Server zu aktualisieren, gewährten sie jedem informierten Angreifer einen einfachen Zugang zu ihren IT-Systeme. Die Erkenntnis, dass Maschinenidentitäten geschützt werden müssen, ist leider nicht weit verbreitet. Wenn Unternehmen weiterhin den Schutz ihrer Maschinenidentitäten vernachlässigen, werden diese Angriffe nur noch häufiger auftreten.

Weitere Informationen zum Thema:

datensicherheit.de, 27.01.2019
Ransomware-Angriffe: Warnung an Skilift- und Gondelbetreiber

datensicherheit.de, 11.12.2018
Sextortion: Erpressung und Ransomware-Angriff

datensicherheit.de, 10.12.2018
Dr. Shifro: Check Point deckt neues Ransomware-Geschäftsmodell auf

datensicherheit.de, 27.11.2018
Apple-Betriebssysteme: Ransomware-Angriffe steigen um 500 Prozent an

[datensicherheit.de, 26.07.2017] Laut einer Mitteilung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) hat der Europäische Gerichtshof (EuGH) mit seinem heutigen Gutachten vom 26. Juli 2017 „die Linie seiner datenschutzfreundlichen Urteile“ fortgesetzt: Das geplante Fluggastdaten-Abkommen zwischen Kanada und der EU verstößt demnach in weiten Teilen gegen die Grundrechte des Datenschutzes, der Achtung des Privatlebens und der Familie sowie der Nichtdiskriminierung.

Ausrichtung auf das absolut Notwendige gefordert

Grundsätzlich werde zwar die „Zulässigkeit der Verarbeitung sämtlicher Fluggastdaten zum Zweck der Gewährleistung der Öffentlichen Sicherheit im Rahmen der Bekämpfung der grenzüberschreitenden schweren Kriminalität und terroristischer Straftaten“ durch den EuGH anerkannt. Er fordere jedoch in einem dreistufigen Modell eine enge Ausrichtung auf das absolut Notwendige.
Insbesondere habe er moniert, dass auf der Stufe der Übermittlung von sensiblen Passagierdaten an Kanada die hohen Hürden der Bestimmtheit sowie der Erforderlichkeit eingehalten werden müssten. Dies beziehe sich insbesondere auf sensible Daten, etwa über die rassische oder ethnische Herkunft, religiöse Überzeugungen oder das Sexualleben einer Person. Angesichts des hohen Stellenwerts des Grundrechts der Nichtdiskriminierung und der Gefahr der Stigmatisierung durch eine missbräuchliche Verarbeitung dieser Daten reiche die Gewährleistung der Öffentlichen Sicherheit im Rahmen der Bekämpfung der grenzüberschreitenden schweren Kriminalität und terroristischer Straftaten als Rechtfertigungsgrund nicht aus.

Klare Regeln für Weiterverwendung der PNR-Daten!

Auf der nächsten Stufe knüpft der EuGH laut HmbBfDI eine Weiterverwendung der PNR-Daten (Passenger Name Record) nach Einreise des Passagiers in das kanadische Hoheitsgebiet an klare rechtsstaatliche Voraussetzungen. So müssten neue sachliche Umstände vorliegen und es bedürfe grundsätzlich einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Verwaltungsstelle.
In diesem Zusammenhang bezieht dich der EuGH offensichtlich auf seine Rechtsprechung im „Safe Harbor“-Urteil, wonach im Empfängerland ein angemessenes Datenschutzniveau zur Absicherung der Datenschutzrechte bestehen müsse.
Die dritte Stufe betrifft die Speicherung der Daten nach Ausreise des Fluggastes. Hierzu fordert der EuGH die Begrenzung der Speicherdauer – die bisher vorgesehene fünfjährige Speicherfrist der PNR-Daten sehe er als unzulässig an, wenn nach Ausreise des Passagiers keine objektiven Anhaltspunkte dafür bestehen, dass von ihm eine besondere Gefahr des Terrorismus oder der
grenzüberschreitenden schweren Kriminalität ausgeht.

Grundsatz der Verhältnismäßigkeit betont

Im Übrigen mache der EuGH insbesondere Vorgaben für eine Weitergabe der PNR-Daten durch Kanada an ein Nicht-EU-Land, für die Begrenzung der Verwendung von Datenbanken, für die individuelle Information der Fluggäste über die verwendeten PNR-Daten und über die Kontrolle der Einhaltung und Regeln durch eine unabhängige Kontrollstelle.
„Mit seinem heutigen Gutachten zieht der EuGH eine klare rechtsstaatliche Rote Linie für mögliche Maßnahmen zur Bekämpfung von Terrorismus und grenzüberschreitender schwerer Kriminalität. Gerade dort, wo anlasslos die Daten von Bürgern gespeichert und verarbeitet werden, gilt es, dem Bestimmtheitsgebot besonders Rechnung zu tragen und den Grundsatz der Verhältnismäßigkeit zum Schutz der informationellen Selbstbestimmung als zentralen Maßstab anzulegen“, betont Johannes Caspar, HmbBfDI. Es bleibe zu hoffen, so Caspar, dass die ständige Rechtsprechung des EuGH Anstoß zu einem „abgewogeneren Ausgleich zwischen Kontrollmaßnahmen des Staates und dem Schutz von digitalen Grundrechten insbesondere im Licht des Schutzes vor Diskriminierungen“ gebe. Erlassene Maßnahmen nicht nur von EU-Organen, sondern auch des nationalen Gesetzgebers zum Schutz der Inneren Sicherheit müssten die Grundrechte beachten. Dies gelte auch in Zeiten vermehrter terroristischer Aktivitäten.

Weitere Informationen zum Thema:

datensicherheit.de, 23.06.2017
Kritik an Diskrepanz zwischen digitalen Grundrechten und staatlicher Sicherheitspolitik

[datensicherheit.de, 08.07.2009] Ein in Winnipeg lebender Mann, der in Teulon, ca. 45 Kilometer nördlich der Hauptstadt der kanadischen Provinz Manitoba, bis Ende Mai 2009 unterrichtete, wird wegen Besitz und Zugang zu kinderpornographischem Material im Internet angeklagt. Zudem beschuldigt man ihn, Dutzende illegaler Bilder in Umlauf gebracht zu haben, berichtet die „Winnipeg Free Press“:
Die Untaten unter Nutzung eines Schul-Computers soll er nach Angaben der Polizei zwischen März 2008 und März 2009 begangen haben.
Der Internet-Provider der Schule aus den USA hatte die Behörden in der kanadischen Hauptstadt Ottawa benachrichtigt; diese informierten dann die für Kindesmissbrauch zuständige „Internet child exploitation unit“ der Polizei in Winnipeg.

Weitere Informationen zum Thema:

Winnipeg Free Press, 08.07.2009
Teacher facing child porn charges / Images downloaded at Teulon school