Hacker haben Datensätze von mehr als 41.000 Beschäftigten und Auftragnehmern des US-Heimatschutzministeriums (DHS) offengelegt, darunter Tausende, die für Immigration and Customs Enforcement (ICE) sowie Customs and Border Protection (CBP) arbeiten.
Die am 28. Okt. online veröffentlichten Daten enthalten Kontaktinformationen von Beschäftigten, Angaben zu ihren Aufgaben sowie Details über den Zugriff auf Regierungsanwendungen. Eine Gruppe namens Department of Peace behauptet, für die Beschaffung der Datensätze verantwortlich zu sein. Das DHS untersucht einen möglichen Sicherheitsvorfall, während die Methode, mit der die Angreifer auf die Informationen zugriffen, weiterhin unbestätigt ist.
DHS-Leak enthüllt Identitäten von Beschäftigten und sensible Aufgabenbereiche
Die geleakten Informationen umfassen Namen, E-Mail-Adressen, Telefonnummern, Bürostandorte und Berufsbezeichnungen aus mehreren DHS-Behörden.
Laut BBC umfasst der Datensatz mehr als 21.000 CBP-Mitarbeiter und fast 6.600 ICE-Beschäftigte. Weitere Datensätze betreffen die Einheit Homeland Security Investigations von ICE, den Federal Protective Service sowie die Cybersecurity and Infrastructure Security Agency (CISA).
Die Datensätze weisen außerdem Beschäftigte aus, die in den Bereichen Überwachung, Human Intelligence, Computerforensik, Spezialoperationen und verdeckte Arbeit eingesetzt werden.
Reuters glich Informationen über sechs DHS-Beschäftigte unabhängig mit anderen Datensätzen ab und bestätigte Einzelheiten telefonisch mit drei Beschäftigten. Die Nachrichtenagentur konnte jedoch die Authentizität des gesamten Datensatzes nicht überprüfen.
Die gemeinnützige Organisation Distributed Denial of Secrets (DDoSecrets) veröffentlichte das Archiv namens Icepick. Der Cybersicherheitsforscher und Journalist maia arson crimew entwickelte eine durchsuchbare Oberfläche für die Datensätze.
Hacker behaupten, DHS-Daten stammten vom Okta-Anmeldedienst
Das Department of Peace behauptet, die Datensätze über einen von DHS-Beschäftigten und Auftragnehmern genutzten Okta-Single-Sign-on-Dienst erhalten zu haben, mit dem sie auf interne Systeme zugreifen.
Die mutmaßliche Zugriffsmethode ist weiterhin unbestätigt. Reuters konnte die Behauptung nicht unabhängig corroborieren, und Okta erklärte, keine Hinweise darauf gefunden zu haben, dass die eigenen Systeme oder Daten kompromittiert wurden.
„Okta ist sicher, und wir haben keine Hinweise darauf, dass unsere Daten oder Systeme kompromittiert wurden“, teilte das Unternehmen Reuters mit.
Unterdessen TechCrunch berichtete, dass Zeitstempel in den Datensätzen der Beschäftigten darauf hindeuten, dass die Daten etwa Mitte August extrahiert worden sein könnten. Das Datum des ursprünglichen Eindringens und die Frage, ob das zugrunde liegende Sicherheitsproblem behoben wurde, sind weiterhin unbekannt.
Das DHS bestätigte einen möglichen Sicherheitsvorfall, hat jedoch öffentlich nicht bestätigt, wie auf die Datensätze zugegriffen wurde.
Offengelegte Zugriffsgruppen enthüllen mehr als nur Kontaktdaten von Beschäftigten
Neben der Identifizierung von DHS-Mitarbeitern umfasst der Datensatz Berichten zufolge auch Mitgliedschaften in Active-Directory-Gruppen. Diese geben an, für welche internen Anwendungen und Drittanbieterdienste Beschäftigte möglicherweise zur Nutzung berechtigt sind.
TechCrunch fand Verweise auf Microsoft 365, Citrix, den Überwachungsanbieter Penlink und Mobile Fortify, eine von Einwanderungsbehörden eingesetzte Anwendung zur Gesichtserkennung.
Einige Einträge verwiesen außerdem auf Ermittlungen im Zusammenhang mit den China zugerechneten Hackergruppen Salt Typhoon und Volt Typhoon.
Angreifer könnten die geleakten Beschäftigtendaten und Angaben zu Anwendungszugriffen nutzen, um hochwertige Ziele zu identifizieren, Kollegen zu imitieren oder überzeugende Phishing-E-Mails zu senden.
Die aufgeführten Gruppenmitgliedschaften belegen für sich genommen weder aktuelle Berechtigungen noch die tatsächliche Nutzung der Anwendungen oder eine Kompromittierung der genannten Systeme.
Sicherheitsteams sollten Identitätszugriffe und die Gefährdung von Beschäftigten überprüfen
Der Vorfall beim DHS zeigt, wie Mitarbeiterverzeichnisse und Aufzeichnungen zur Zugriffsverwaltung organisatorische Beziehungen offenlegen können, selbst wenn Passwörter nicht öffentlich bekannt werden.
Für Organisationen, die mit sensiblen Personaldaten umgehen, können mehrere Maßnahmen dazu beitragen, vergleichbare Risiken zu verringern:
- Aktivitäten von Identitäten prüfen: Authentifizierungsprotokolle, ungewöhnliche Kontozugriffe, unerwartete Verzeichnisexporte und Änderungen an Anwendungsberechtigungen überprüfen.
- Unnötigen Verzeichniszugriff beschränken: Sicherstellen, dass Beschäftigte und Auftragnehmer nur die für ihre Aufgaben erforderlichen Personal- und Systemzugriffsinformationen einsehen können.
- Potenziell betroffene Beschäftigte warnen: Beschäftigte auf gezieltes Phishing, Identitätsmissbrauch und verdächtige Anfragen vorbereiten, die sich auf interne Aufgaben beziehen.
- Mitgliedschaften in Anwendungsgruppen überprüfen: Übermäßige Berechtigungen ermitteln und Zugriffe entfernen, die nicht mehr benötigt werden.
- Operative Gefährdung bewerten: Ermitteln, ob offengelegte Organisationsinformationen vertrauliche Ermittlungen oder die Sicherheit von Beschäftigten beeinträchtigen könnten.
Das DHS teilte Reuters mit, an der Behebung des möglichen Sicherheitsvorfalls und am Schutz der betroffenen Beschäftigten zu arbeiten.
Das Ministerium hat weder eine Ursache öffentlich bestätigt noch detaillierte Maßnahmen zur Behebung genannt. Die oben genannten Empfehlungen befassen sich mit potenziellen Risiken durch die Offenlegung; sie sind keine Feststellungen darüber, wie die DHS-Datensätze erlangt wurden.
Für Sicherheitsteams stellt sich praktisch die Frage, welche Schlüsse sich durch die Kombination der offengelegten Informationen ziehen lassen. Ein Name und eine geschäftliche E-Mail-Adresse bieten einen Kontaktpunkt. Kommen eine Aufgabe oder eine Anwendungsgruppe hinzu, könnte ein Identitätsbetrüger einen glaubwürdigeren Grund haben, diese Person anzusprechen.
Eine Analyse der Gefährdung sollte daher Beschäftigte identifizieren, deren Verantwortlichkeiten und geschäftlicher Zugriff sie zu wertvollen Zielen machen könnten. Warnungen sollten die wahrscheinlichen Vorwände erläutern: Anfragen, die sich auf einen Kollegen, ein internes Tool oder eine sensible Aufgabe beziehen. Beschäftigte sollten unerwartete Anfragen über unabhängig beschaffte Kontaktdaten verifizieren, insbesondere bevor sie Informationen weitergeben oder Zugriffe genehmigen.
Teams sollten außerdem offengelegte Gruppenmitgliedschaften mit den aktuellen Zugriffsdatensätzen abgleichen. Das Entfernen veralteter Berechtigungen kann das Zugriffsrisiko verringern, löscht jedoch nicht die bereits offengelegten Organisationsinformationen. Bei der anschließenden Überwachung sollten sowohl verdächtige Authentifizierungsaktivitäten als auch Meldungen über Identitätsmissbrauch berücksichtigt werden, statt eine Zugriffsüberprüfung als Abschluss der Reaktion zu betrachten.
Weiterlesen: Der Pentagon-Datenschutzverstoß, von dem mehr als 3 Millionen Menschen betroffen waren zeigt, wie offengelegte persönliche Informationen und militärische Tätigkeitsdetails dauerhafte Risiken für Identität und gezielte Angriffe auf Beschäftigte schaffen können.