Zwei große japanische Unternehmen entschädigen Kunden, nachdem Cyberangriffe vertrauliche Informationen offengelegt und in einem Fall mit unbefugtem Finanzhandel in Verbindung gebracht wurden. GMO Internet erstattet bestätigte Handelsverluste, während der Carsharing-Anbieter Park24 voraussichtlich Milliarden Yen für die Reaktion auf einen separaten Datendiebstahl ausgeben wird.
Die Entschädigungspläne kommen zu einem Zeitpunkt, an dem GMO mit einem eskalierenden Erpressungsversuch konfrontiert ist, bei dem angeblich Kundendaten gestohlen wurden. Das Unternehmen hat die Forderungen der Angreifer zurückgewiesen und zusätzliche Zahlungen für Kunden angekündigt, deren Informationen in dem veröffentlichten Material bestätigt werden.
GMO erstattet Handelsverluste und leistet zusätzliche Zahlungen
Der Angriff zielte auf Onamae.com Desktop Cloud, einen von GMO Internet betriebenen Remote-Desktop-Dienst. Einige Kunden nutzen den Dienst, um auf Finanzhandelsplattformen zuzugreifen.
In einer Ankündigung vom 24. Oktoberbestätigte GMO den unbefugten Zugriff, den Diebstahl von Kundeninformationen und Berichte über Transaktionen, die Kunden nicht zuordnen konnten.
Das anfängliche Entschädigungspaket umfasst:
- 5.000 Yen für jeden aktuellen Dienstkunden, unabhängig davon, ob ihm finanzielle Verluste entstanden sind.
- Erstattung nachgewiesener Verluste durch unbefugten Handel, einschließlich realisierter Verluste und damit verbundener Gebühren, sofern GMO in seiner Untersuchung einen Zusammenhang mit dem Angriff feststellt.
- Sechs Monate Zugang zu einem alternativen Cloud-Dienst für betroffene Kunden.
Die Erstattung deckt keine Verluste ab, die durch normale Marktbewegungen, entgangene Anlagegewinne oder andere indirekte Schäden entstanden sind.
GMO begann am 19. Oktober mit der Untersuchung, nachdem Kundenanfragen eingegangen waren. Am folgenden Tag entdeckte das Unternehmen Schadsoftware und begann am 21. Oktober damit, Dienstserver herunterzufahren, um den Vorfall einzudämmen.
Die Angreifer forderten anschließend etwa 8 Milliarden Yen, also rund 50 Millionen US-Dollar, und drohten mit der Veröffentlichung der gestohlenen Informationen.
Am 27. Oktober bestätigte GMO, dass eine mutmaßlich verantwortliche Partei Informationen veröffentlicht hatte, die angeblich dem Unternehmen und seinen Kunden gehörten. Das Unternehmen überprüfte die Inhalte zu diesem Zeitpunkt noch.
Anschließend erweiterte GMO seinen Entschädigungsplanfür Kunden, deren Informationen in der Veröffentlichung bestätigt werden:
- ¥10,000 für grundlegende Informationen wie Namen und Kontaktdaten.
- ¥15,000 für Finanz- oder Authentifizierungsinformationen, einschließlich Zugangsdaten zu Handelskonten.
- ¥25,000 für besonders vertrauliche personenbezogene Informationen.
Die Zahlungen werden anhand der bestätigten Informationskategorie berechnet und erfolgen zusätzlich zur ursprünglichen Zahlung von 5.000 Yen sowie zur Erstattung unbefugter Handelsverluste. GMO kündigte außerdem einen Gesamtprämienfonds von 1 Million US-Dollar für Informationen an, die dabei helfen, die Täter zu identifizieren oder den Vorfall aufzuklären.
In seinem Update vom 28. Oktoberteilte GMO mit, dass die Domain, auf der die Angreifer ihr Material veröffentlicht hatten, gesperrt worden sei. Das Unternehmen warnte, dass Spiegelwebsites auftauchen könnten, und forderte Kunden auf, weder auf die gestohlenen Informationen zuzugreifen noch sie weiterzugeben.
Entscheidend ist, dass GMO eigenen Angaben zufolge keine Ransomware-Ausführung bestätigt hatte– zum Stand vom 27. Oktober, 13:55 Uhr japanischer Zeit. Datendiebstahl, Erpressung und unbefugte Transaktionen sollten nicht als Beleg dafür beschrieben werden, dass Ransomware ausgeführt wurde.
Park24 stellt nach Times-Car-Datenschutzverletzung 5,5 Milliarden Yen zurück
Park24, das über seine Tochtergesellschaft Times Mobility den Carsharing-Dienst Times Car betreibt, hat einen anderen Entschädigungsansatz angekündigt.
Das Unternehmen teilte mit, dass Angreifer eine Schwachstelle in seinem Websystem ausgenutzt und personenbezogene Informationen zu etwa 6,62 Millionen Konten offengelegt hätten.
Bei rund 1,46 Millionen dieser Konten waren verschlüsselte Bilder von Identitätsdokumenten, darunter Führerscheine, betroffen, bei denen Zugriffe und eine Übermittlung nach außen festgestellt wurden.
Park24 bietet berechtigten Kunden 3.000 Yen in bar oder als Geschenkkarte.
Nach Angaben des Unternehmens in seiner Finanzmitteilung vom 23. Oktoberrechnet es mit einem außerordentlichen Verlust von 5,5 Milliarden Yen, der Entschädigungen und weitere Kosten für die Reaktion auf den Vorfall abdeckt.
Dieser Betrag entspricht den insgesamt erwarteten vorfallbezogenen Aufwendungen, nicht ausschließlich dem für Kundenzahlungen vorgesehenen Betrag.
Park24 plant außerdem, Bilder von Identitätsdokumenten nach abgeschlossener Überprüfung nicht länger aufzubewahren. Dadurch soll die Menge der für künftige Angriffe gespeicherten vertraulichen Informationen reduziert werden.
Anders als GMO hat Park24 keinen unbefugten Finanzhandel im Zusammenhang mit seinem Vorfall gemeldet. Die Entschädigung bezieht sich hauptsächlich auf die Offenlegung personenbezogener Informationen.
Sicherheitsexperte warnt vor Finanzbetrug und Erpressung
Der Vorfall bei GMO wirft die Frage auf, wie weit Angreifer nach dem Zugriff auf einen Remotedienst vordringen können – insbesondere wenn Kunden diesen Dienst für sensible Finanzaktivitäten nutzen.
Phillip Wylie, Chief Security Evangelist bei Suzu Labs, gab folgende Einschätzung ab:
„Was am Vorfall bei GMO Internet auffällt, ist, dass die Angreifer Berichten zufolge über den Diebstahl von Kundeninformationen hinausgingen und Zugriff auf Handelskonten erlangten, wodurch sie unbefugte Finanztransaktionen durchführen konnten. Das zeigt, dass eine Schwachstelle in einem Remotezugriffsdienst weitreichende Folgen haben kann, die über das kompromittierte System hinausgehen.
„Angreifer müssen nicht unbedingt Ransomware einsetzen, um erheblichen Schaden anzurichten. Wenn sie vertrauliche Informationen stehlen, Konten kompromittieren und mit der öffentlichen Veröffentlichung von Daten drohen können, haben sie bereits mehrere Möglichkeiten, Druck auf ein Unternehmen auszuüben.
„Die gemeldete Lösegeldforderung von 50 Millionen US-Dollar zeigt außerdem, wie sich Erpressungstaktiken weiterentwickeln. Unternehmen müssen sich auf mehr als herkömmliche Ransomware-Angriffe mit verschlüsselten Dateien vorbereiten. Datendiebstahl, Finanzbetrug und Drohungen mit einer öffentlichen Veröffentlichung können ebenso folgenschwer sein.
„Aus Sicht der offensiven Sicherheit ist dies der Grund, warum es so wichtig ist, Systeme aus der Perspektive eines Angreifers zu testen. Unternehmen müssen nicht nur verstehen, ob eine Schwachstelle existiert, sondern auch, was ein Angreifer durch ihre Ausnutzung erreichen könnte. Remotedienste sind besonders attraktive Ziele, weil sie einen Weg zu sensiblen Systemen und Kundenumgebungen eröffnen können.
„Unternehmen sollten der Absicherung ihrer Remotezugriffsinfrastruktur, der Implementierung einer Multifaktor-Authentifizierung, der Überwachung verdächtiger Kontoaktivitäten und regelmäßigen Penetrationstests Vorrang geben, bei denen potenzielle Angriffswege bewertet werden.
„Die wichtigste Erkenntnis ist, dass die Verhinderung der anfänglichen Kompromittierung zwar wichtig ist, die Einschränkung dessen, was Angreifer nach ihrem Zugriff tun können, aber ebenso entscheidend ist.
„Eine wichtige Unterscheidung: In seinem Update vom 27. Oktober hatte GMO bis 13:55 Uhr japanischer Zeit keine Ausführung von Ransomware bestätigt. Die gemeldete Veröffentlichung von Daten und die unbefugten Transaktionen sind ernste Entwicklungen, sollten aber nicht als Bestätigung dargestellt werden, dass Ransomware ausgeführt wurde.“
Die Unterscheidung zwischen Datendiebstahl und Ransomware ist auch für andere aktuelle Vorfälle relevant. In Japan legte Burger King eine Datenschutzverletzung offen, von der etwa 11,18 Millionen Kundendatensätze betroffen waren, während Good Smile Company unbefugten Zugriff meldete auf Kunden- und Kaufinformationen.
Die finanziellen Folgen können über den direkten Diebstahl hinausgehen. Angreifer haben telefonbasierte Betrugsmaschen eingesetzt, um Finanzinstitute ins Visier zu nehmen, wobei sie die Kompromittierung von Konten und gestohlene Informationen mit Erpressungsversuchen kombinierten.
Japan steht unter wachsendem Druck, Cyberangriffe einzudämmen
Die Reaktion von GMO umfasste neben der eigenen Untersuchung und der Zusammenarbeit mit der Polizei auch Anträge auf staatliche Unterstützung im Rahmen des aktiven Cyberabwehrsystems Japans.
Das Unternehmen hat Kunden außerdem aufgefordert, ihre Geräte zu scannen, Daten zu sichern und seine offiziellen Sicherheitshinweise zu befolgen. In den jüngsten Mitteilungen wird vor Phishing-Nachrichten und betrügerischen Angeboten zur Wiederbeschaffung gestohlener Gelder gewarnt.
Die beiden Entschädigungspläne spiegeln unterschiedliche Arten der Betroffenheit wider: GMO sieht sich mit dem Diebstahl von Kundendaten und gemeldetem unbefugtem Handel konfrontiert, während Park24 auf die Offenlegung von Identitätsdokumenten und anderen personenbezogenen Informationen reagiert.
Für betroffene Kunden stellt sich als Nächstes die Frage, ob bestätigt wurde, dass ihre Informationen offengelegt wurden, welche Entschädigung ihnen zusteht und ob es zu weiterer missbräuchlicher Verwendung kommt.
Für die Unternehmen müssen die Untersuchungen noch das volle Ausmaß des Schadens und die Frage klären, ob die nach den Vorfällen eingeführten Sicherheitsänderungen ausreichen, um eine erneute Kompromittierung zu verhindern.
Lesen Sie auch: Japans Netzwerkverletzung der Regierung setzte Informationen zu etwa 246.000 Beschäftigten einem Risiko aus, nachdem Angreifer anfällige Netzwerkgeräte ausgenutzt hatten.