Abrigo schaltete seine Kreditvergabeplattform Sageworks am 30. Okt. ab, nachdem das Unternehmen verdächtige Aktivitäten in seinen Systemen festgestellt hatte. In einem Status-Update vom 2. Nov. teilte Abrigo mit, dass die Plattform mit Ausnahme der Funktionen für Kreditnehmer wieder verfügbar sei.
Sageworks unterstützt die Kreditvergabe und Kreditanalyse bei US-amerikanischen Banken und Kreditgenossenschaften. Die Abschaltung betraf Sageworks Analyst, Sageworks API und Online Portal Now, über das Kreditnehmer auf Online-Kreditdienste zugreifen. Abrigo hat weder einen Cyberangriff noch eine Datenschutzverletzung bestätigt, und die Zahl der betroffenen Institute ist weiterhin unbekannt. Banken müssen nun überprüfen, ob ihre Systeme funktionieren, während des Ausfalls bearbeitete Anträge prüfen und bestätigen, wann Kunden die Plattform wieder sicher nutzen können.
Abrigo schaltete Sageworks während der Untersuchung unregelmäßiger Aktivitäten ab
BleepingComputer berichtete, dass Abrigo am 30. Okt. unregelmäßige Aktivitäten festgestellt und Sageworks gegen 11:25 Uhr ET deaktiviert hatte. Die Abschaltung dauerte über das Wochenende an.
Von dem Überwachungsdienst IsDown erfasste Status-Updates von Abrigodokumentieren die Untersuchung und die Ankündigung vom 2. Nov., dass die Plattform mit Ausnahme der Funktionen für Kreditnehmer wieder verfügbar sei. Das für diesen Bericht zuletzt unabhängig verifizierte Update datiert vom 2. Nov.
Ross Filipek, CISO bei Corsica Technologies, sagte, die Abschaltung deute darauf hin, dass Abrigo den fortgesetzten Betrieb während der Untersuchung als zu riskant eingestuft habe. Die Entscheidung belege jedoch nicht, was die ungewöhnlichen Aktivitäten verursacht habe.
„Die Deaktivierung eines kompromittierten Kontos ist das eine. Einen Dienst zu stoppen, auf den Kunden angewiesen sind, verursacht ganz andere Kosten“, sagte Filipek.
Abrigo hat nicht öffentlich geklärt, ob Angreifer auf seine Systeme oder Kundendaten zugegriffen haben. Die Entscheidung, die Dienste einzustellen, sollte nicht als Beweis für einen Sicherheitsvorfall missverstanden werden.
Eine wiederhergestellte Kreditvergabeplattform kann Kreditnehmer weiterhin warten lassen
Sageworks unterstützt die Kreditentstehung, Kreditanalyse und Überwachung von Portfoliorisiken. Abrigos Entwicklerdokumentation beschreibt, wie Finanzinstitute API-Zugangsdaten nutzen können, um Kreditnehmer zu registrieren, Anmeldetoken abzurufen und Sitzungen im Online-Portal zu starten.
Wenn diese Funktionen weiterhin nicht verfügbar sind, können Kreditnehmer ihre Anträge möglicherweise nicht online abschließen, während Kreditsachbearbeiter die Einreichungen über genehmigte alternative Kanäle verfolgen müssen. Während der Unterbrechung eingegangene Anträge müssen bei der Rückkehr der Systeme möglicherweise ebenfalls abgeglichen werden.
Filipek warnte, dass unterbrochene Kreditvergabeprozesse auch über den Ausfall hinaus Rückstände verursachen könnten. Er forderte die Institute auf, die Integrität der Finanzdaten zu überprüfen und Kunden klare Anweisungen für sichere Alternativen zu geben.
Abrigo gibt an, mehr als 2.400 Finanzinstitute zu bedienen; diese unternehmensweite Zahl sagt jedoch nicht aus, wie viele von einer Unterbrechung betroffen waren.
Banken brauchen mehr als eine Meldung über die Wiederherstellung des Dienstes
Bevor sie zur routinemäßigen Bearbeitung zurückkehren, sollten die Teams für Banksicherheit, Kreditvergabe und Lieferantenmanagement ihre Fähigkeit zur Wiederherstellung nach Betriebsunterbrechungen prüfen, zunächst anhand von drei Punkten:
- Den gesamten Weg des Kreditnehmers testen. Portalzugang, Antragseinreichungen und Bestätigungen überprüfen. Ausstehende Anfragen mit manuell erfassten Formularen abgleichen und Antragstellern anschließend mitteilen, welche Kanäle sie sicher nutzen können.
- Integrationen und Datensätze prüfen. API-Protokolle, Zugriffsbereiche und Transaktionsverläufe überprüfen. Abrigos API-Leitfaden erläutert, wie Institute Client-Zugangsdaten verwalten. Eine vorsorgliche Rotation sollte mit dem Anbieter abgestimmt werden, da ein Diebstahl von Zugangsdaten nicht bestätigt wurde.
- Wiederherstellungs- und Meldeplan bestätigen. Abrigo fragen, welche Dienste vollständig wiederhergestellt sind, ob die Prüfungen der Datenintegrität abgeschlossen wurden und wie die Institute Updates erhalten. Leitlinien für Banken auf Bundesebene betonen die Überwachung kritischer Dienstleister und die Planung der Betriebskontinuität.
Nach den Bundesvorschriften zur Meldung von Sicherheitsvorfällen müssen betroffene Bankorganisationen ihre zuständige Bundesaufsichtsbehörde so bald wie möglich, spätestens jedoch 36 Stunden nach der Feststellung eines meldepflichtigen Vorfalls benachrichtigen. Betroffene Dienstleister müssen betroffene Bankkunden so bald wie möglich benachrichtigen, nachdem sie festgestellt haben, dass ein Computersicherheitsvorfall die abgedeckten Dienste für vier oder mehr Stunden wesentlich gestört oder beeinträchtigt hat – oder dies mit hinreichender Wahrscheinlichkeit tun wird. Ob diese Schwellenwerte in diesem Fall erreicht wurden, ist nicht geklärt.
„Der Druck, die Dienste wiederherzustellen, sollte nicht schwerer wiegen als die Notwendigkeit, die Integrität der Plattform sicherzustellen“, sagte Filipek.
Eine Bank sollte einem Antragsteller sagen können, ob ein Kreditantrag eingegangen ist, ob er erneut eingereicht werden muss und ab wann die Online-Bearbeitung wieder sicher ist. Solange die Mitarbeiter diese Fragen nicht beantworten können, ist Abrigos Meldung über die Wiederherstellung nur ein Teil der Bewältigung des Vorfalls.
Auch lesenswert: Group-IB-Forscher deckten auf, wie Hacker Open-Banking-Dienste ausnutzten, um gestohlene Bank-Log-ins kostenlos zu testen, was Bedenken hinsichtlich des Missbrauchs von Zugangsdaten und der Sicherheit von Finanzplattformen aufkommen ließ.