Ein mutmaßlicher Hacker drang nach der Einführung von KI-gestützten Hacking-Tools innerhalb von nur 44 Tagen in 60 südkoreanische Organisationen ein. Der Angriff war Teil einer größeren Kampagne, bei der mehr als 8,2 Millionen Datensätze mit personenbezogenen Informationen kompromittiert wurden.
Die Polizei in Seoul gab am 26. Okt. die Festnahme von sieben Verdächtigen bekannt, nachdem sie Angriffe auf Unternehmen, Krankenhäuser und Bildungseinrichtungen untersucht hatte. Die Ermittler werfen der Gruppe vor, die Opfer mit der Veröffentlichung der Daten bedroht zu haben, falls diese nicht zahlten.
Der Fall zeigt, wie KI-gestützte Tools Cyberangriffe beschleunigen können, während Organisationen mit den langfristigen Folgen gestohlener personenbezogener Daten umgehen müssen.
KI-Tools beschleunigten die Kampagne eines einzelnen Hackers
Zwischen dem 31. Aug. und dem 13. Okt. drang der mutmaßliche Hacker mithilfe KI-gestützter Methoden in 60 Organisationen ein, berichtete die Polizei in Seoul. Zu Beginn der Kampagne bediente er Scanner für Website-Schwachstellen noch manuell, bevor er einen KI-gestützten Programmierassistenten und ein autonomes Penetrationstest-System einsetzte.
Die Polizei identifizierte den Verdächtigen als einen 32-Jährigen, der sich das Hacken mithilfe von Online-Materialien selbst beigebracht hatte und von 2019 bis 2022 bei einem Sicherheitsunternehmen im Bereich Penetrationstests arbeitete. Die Ermittler identifizierten außerdem ARTEX als eines der verwendeten Werkzeuge.
Das Open-Source-System kann, wenn man ihm ein Ziel und eine Aufgabe vorgibt, exponierte Dienste untersuchen und anhand seiner Ergebnisse nachfolgende Testmethoden auswählen.
In kontrollierten Tests beobachteten Forscher von AhnLab, wie ARTEX eine verwundbare Funktion zum Hochladen von Dateien ausnutzte. Ein separates Experiment zeigte, dass das System nach der Kompromittierung eines exponierten Servers Befehle auf vier internen Rechnern ausführen konnte.
Diese Experimente belegen die Fähigkeiten des Tools, beweisen jedoch nicht, dass der Verdächtige bei den Angriffen in Südkorea dieselben Techniken eingesetzt hat.
Gestohlene persönliche Dateien wurden zum Druckmittel für Erpressung
Zu den kompromittierten Informationen gehörten südkoreanische Personenregistrierungsnummern und Kontaktdaten sowie Mitarbeiterdaten und interne Geschäftsdokumente. Einige Dateien von Akademien enthielten Informationen über Minderjährige, während Krankenhausdaten Details zu Patientengesprächen umfassten. Allein ein Bestattungsunternehmen verlor rund 1,22 Millionen Datensätze.
Erpresser-E-Mails richteten sich an 38 Organisationen. Die Verdächtigen forderten insgesamt 360 Millionen Won (rund 271.000 US-Dollar). In den Nachrichten wurde gewarnt, eine Veröffentlichung könne den Ruf der Opfer schädigen und zu aufsichtsrechtlichen Strafen oder Klagen von Kunden führen. Nachweislich zahlte nur eine Organisation: Sie überwies 300.000 Won (rund 226 US-Dollar).
Als die Empfänger nicht nachgaben, kontaktierten Komplizen Führungskräfte und Mitarbeiter per Anruf und SMS. Statt eine Zahlung für die Entschlüsselung der Systeme zu verlangen, setzte die Gruppe Datendiebstahl und Erpressung ein, um ihre Ziele mit der Aussicht auf eine öffentliche Veröffentlichung unter Druck zu setzen.
Die Ermittler nahmen den Fall nach einer Anzeige im Juni auf und spürten den mutmaßlichen Hacker anhand von Serverzugriffsprotokollen auf, bevor sie ihn am 15. Okt. festnahmen. Am 23. Okt. wurde er in Gewahrsam der Staatsanwaltschaft überstellt, während gegen sechs weitere Verdächtige ohne Inhaftierung ermittelt wird.
Nur 15 betroffene Organisationen hatten Anzeige erstattet. Die Polizei muss daher die übrigen Fälle untersuchen und klären, ob die Informationen weiterverbreitet wurden.
Gestohlene Datensätze erschweren die Reaktion auf Sicherheitsvorfälle
Für Organisationen, die Ziel einer Erpressung mit Datendiebstahl wurden, ist es wichtig, das Ausmaß des Verlusts zu bestimmen. Eine gestohlene Datenbank kann mehrere Datensätze enthalten, die zu ein und derselben Person gehören. Sicherheitsteams sollten daher feststellen, wie viele Personen betroffen sind und welche Arten von Informationen kompromittiert wurden.
Solche Erkenntnisse zeigen, wie umfangreich die Benachrichtigung von Kunden ausfallen muss und welche Schutzmaßnahmen die Opfer benötigen könnten.
Wenn Kriminelle Beispiele für gestohlene Informationen bereitstellen, sollten Ermittler die Beweise sichern, ohne davon auszugehen, dass sie alles Gestohlene abbilden. Ein Vergleich dieser Beispiele mit internen Datensätzen und Zugriffsprotokollen kann helfen, das Ausmaß des unbefugten Zugriffs zu bestimmen.
Rechts- und Datenschutzteams sollten die Pflichten zur Benachrichtigung prüfen, während Administratoren die betroffenen Systeme absichern.
Erpressung ohne Verschlüsselung verändert auch den Wiederherstellungsprozess. Die Wiederherstellung der Systeme macht kopierte personenbezogene Daten nicht rückgängig, und eine Zahlung an Kriminelle bietet keine Garantie dafür, dass die gestohlenen Datensätze gelöscht werden. Ein Plan zur Reaktion auf Sicherheitsvorfälle sollte sich daher mit der Offenlegung von Daten und deren anschließender missbräuchlicher Verwendung befassen, nicht nur mit der Wiederherstellung der betroffenen Dienste.
Weitere Nachrichten zur Cybersicherheit: Forschende warnen, dass anfällige iPhones mit Spyware infiziert werden können durch schädliche Anzeigen und manipulierte Websites, selbst wenn Nutzer nichts anklicken.