Das Ausmaß des Datenlecks bei McKesson wird immer deutlicher – und 284 Millionen gestohlene Datensätze bedeuten nicht zwangsläufig 284 Millionen Betroffene.
Have I Been Pwned (HIBP) zufolge enthalten die nach der Erpressungskampagne von ShinyHunters im August veröffentlichten Daten 6,4 Millionen eindeutige E-Mail-Adressen sowie Informationen zu Patienten, Mitarbeitern, Gesundheitsdienstleistern und Empfängern von Marketingnachrichten.
Das durchgesickerte Material umfasst Berichten zufolge neben persönlichen Gesundheitsdaten auch Kontakt- und Beschäftigungsdaten, wodurch der potenzielle Wert der Informationen für Phishing, Identitätsbetrug und weitere Folgeangriffe deutlich steigt.
Wie ShinyHunters angeblich an McKessons Daten gelangte
ShinyHunters begann Berichten zufolge damit, Mitarbeiter von McKesson zu täuschen. Dadurch erhielten die Angreifer einen legitim wirkenden Zugang und konnten auf Dienste zugreifen, die diesen Mitarbeitern zur Verfügung standen, anstatt direkt in McKessons Systeme einzudringen.
Wie bei der üblichen Methode „zahlen oder veröffentlichen“ von ShinyHunters, einer Hackergruppe zur Daten-Erpressung, teilte The Register mit, dass die Gruppe 55,2 Millionen US-Dollar dafür gefordert habe, die gestohlenen Daten nicht zu veröffentlichen. Nun sieht es jedoch so aus, als sei die Forderung nicht erfüllt worden.
Die durchgesickerten Daten umfassen Namen, E-Mail- und Postadressen, Geschlecht, Geburtsdaten, Telefonnummern und Angaben zum Arbeitgeber. Laut The Register enthalten sie außerdem Termindaten und Notizen sowie persönliche Gesundheitsinformationen, etwa die Orte, an denen sich die Krebserkrankungen von Patienten befinden, da McKesson einen Bereich für Onkologie betreibt, der 3.300 Onkologen unterstützt.
ShinyHunters behauptete außerdem, Sozialversicherungsnummern gestohlen zu haben. In den von HIBP auf seiner Website aufgeführten Daten fehlten solche Angaben jedoch.
Die ständige Ausnutzung von Identität und Vertrauen
Der Vorfall bei McKesson spiegelt ein Muster wider, das bei großen Datenlecks immer wieder auftaucht: Angreifer nehmen zunehmend Menschen und vertrauenswürdige Zugänge ins Visier, anstatt sich ausschließlich auf Software-Schwachstellen zu verlassen. Sobald ein Angreifer ein legitimes Konto kompromittiert, können Sicherheitstools Schwierigkeiten haben, ihn vom Mitarbeiter zu unterscheiden.
Dadurch wird der Schutz der Identität ebenso wichtig wie die Absicherung des Perimeters, insbesondere da Unternehmen immer mehr Cloud-Dienste miteinander verbinden.
ShinyHunters hat dieses Modell wiederholt eingesetzt. Das Muster ist auch außerhalb von ShinyHunters aufgetreten und betrifft mehrere Sicherheitsvorfälle in Unternehmen, die für Schlagzeilen gesorgt haben.
Hier kommt das Risiko in der Lieferkette ins Spiel. Die Sicherheit eines Unternehmens kann nicht nur durch die eigenen Mitarbeiter oder Systeme untergraben werden, sondern auch durch einen vertrauenswürdigen Drittanbieterdienst, der bereits Zugriff auf die Daten des Unternehmens hat. Wenn Angreifer diese Vertrauensbeziehung kompromittieren, können sie sich durch eine Umgebung bewegen und ihre Angriffe skalieren – wie die 6,4 Millionen von McKesson betroffenen Personen zeigen.
Das sollten Sie jetzt tun
Beginnen Sie damit, die HIBP-Datenbank zu überprüfen, um festzustellen, ob Ihre E-Mail-Adresse im McKesson-Datenleck auftaucht. Wenn Sie mehrere E-Mail-Adressen verwenden, sollten Sie außerdem die Gelegenheit nutzen, jede einzelne zu überprüfen und festzustellen, ob sie in anderen Datenlecks vorkommt.
Betrachten Sie ein HIBP-Ergebnis jedoch nicht als vollständiges Bild dessen, was offengelegt wurde. McKesson hat mitgeteilt, dass die Untersuchung des Vorfalls noch läuft. Das Unternehmen erklärte außerdem, den vom Datenleck betroffenen Personen eine Kreditüberwachung, einen Schutz vor Identitätsdiebstahl und einen eigenen Kommunikationskanal zur Verfügung zu stellen.
Beobachten Sie McKessons offizielle Cybersicherheits-Updates und befolgen Sie alle darin enthaltenen Anweisungen, sobald das Unternehmen mit der direkten Benachrichtigung beginnt.
Bis direkte Benachrichtigungen eintreffen, sollten Sie unerwarteten E-Mails, Anrufen und Textnachrichten, die angeblich von McKesson, einem Gesundheitsdienstleister, Versicherer oder einer Apotheke stammen, mit besonderer Vorsicht begegnen.
Namen, Telefonnummern, Adressen und gesundheitsbezogene Informationen können Phishing-Nachrichten ungewöhnlich überzeugend machen. Überprüfen Sie Anfragen über eine unabhängig ermittelte offizielle Kontaktmöglichkeit, anstatt auf Links zu klicken oder Nummern anzurufen, die in einer unaufgeforderten Nachricht angegeben sind.
Weitere Nachrichten: Forschende entdeckten DoppelCart, ein riesiges Fake-Shopping-Netzwerk mit mehr als 119.000 Domains, die seriöse Marken imitieren, um die Kartendaten und persönlichen Informationen von Kunden zu stehlen.