Bedrohungsakteure übernehmen die Verantwortung für einen der möglicherweise größten Datendiebstähle in der Geschichte Chinas – angeblich wurden mehr als 10 Petabyte Daten aus einer wichtigen nationalen Supercomputing-Einrichtung gestohlen, die mit wissenschaftlicher Forschung und Verteidigungsforschung verbunden ist.
„Die Berichte, dass Hacker unter dem Alias FlamingChina 10 Petabyte Daten mit chinesischen Militärgeheimnissen gestohlen haben, sind auf eine Weise schockierend und unvorstellbar“, sagte Jeff Wichman, Director of Incident Response bei Semperis, in einer E-Mail an eSecurityPlanet.
Er erklärte: „Um diesen massiven Diebstahl in einen Kontext zu setzen: Die Library of Congress der USA würde, wenn sie vollständig digitalisiert wäre (Videos, Bilder, Bücher, Manuskripte, Audio), mehrere Petabyte umfassen – nur etwa ein Drittel dessen, was FlamingChina gestohlen hat und nun weiterzuverkaufen versucht.“
Der mutmaßliche Angriff auf das Supercomputing-Zentrum in Tianjin
Das National Supercomputing Center in Tianjin ist ein wichtiger Bestandteil der modernen Computerinfrastruktur Chinas und unterstützt mehr als 6.000 Kunden aus den Bereichen Wissenschaft, Industrie und Verteidigung.
Diese Zentralisierung birgt erhebliche Risiken, da ein einziger Sicherheitsvorfall sensible Forschungsergebnisse, geistiges Eigentum und Daten zur nationalen Sicherheit von Tausenden Organisationen auf einmal offenlegen könnte.
Erste Berichte deuten darauf hin, dass die gestohlenen Daten möglicherweise Raketenentwürfe und Verteidigungsdokumente umfassen. Das wirft Fragen zu geopolitischen Risiken und Auswirkungen auf die technologische Wettbewerbsfähigkeit auf.
Wie sich der mutmaßliche Angriff abgespielt haben soll
Der Angriff könnte über eine kompromittierte Domain eines virtuellen privaten Netzwerks (VPN) seinen Ausgang genommen haben.
Nachdem der Angreifer ersten Zugriff erlangt hatte, nutzte er Berichten zufolge ein Botnetz, um seinen Zugriff auszuweiten, sich seitlich durch die Systeme zu bewegen und über einen Zeitraum von etwa sechs Monaten große Datenmengen zu exfiltrieren.
Wenn die Angaben zutreffen, deutet der Angriff auf eine Kombination aus kompromittierten Zugangsdaten und unzureichender Netzwerksegmentierung hin – beides häufige Herausforderungen in komplexen, verteilten Umgebungen.
Die gemeldete Verweildauer von sechs Monaten deutet auf Lücken bei der Überwachung oder der Transparenz hin und gab den Angreifern viel Zeit, sensible Daten zu identifizieren und zu extrahieren.
Die Veröffentlichung von Beispieldaten entspricht einer gängigen Taktik: Begrenzte Offenlegungen sollen Glaubwürdigkeit schaffen und Aufmerksamkeit erregen, bevor eine vollständige Überprüfung erfolgt.
Die chinesischen Behörden haben den Sicherheitsvorfall zwar nicht bestätigt, doch Umfang und Sensibilität der Behauptungen stoßen bei Sicherheitsexperten auf großes Interesse.
CNN berichtete, das chinesische Ministry of Science and Technology sowie die Cyberspace Administration of China um eine Stellungnahme gebeten zu haben, erhielt bis zum Zeitpunkt der Veröffentlichung jedoch keine Antwort.
So können Unternehmen ihre Cyberabwehr stärken
Der Vorfall in Tianjin ist zwar unbestätigt, unterstreicht jedoch mehrere praktische Maßnahmen, die Unternehmen – insbesondere Betreiber von Hochleistungsrechnern oder zentralisierten Infrastrukturen – priorisieren sollten.
- Fernzugriff absichern und strenge Identitätskontrollen durchsetzen durch Absicherung von VPNs, Aktivierung von MFA und Einführung von Zero-Trust-Prinzipien.
- seitliche Bewegungen durch Netzwerksegmentierung begrenzen sowie Zugriffe nach dem Prinzip der geringsten Privilegien für Benutzer, Systeme und Workloads umsetzen.
- Auf ungewöhnliche Aktivitäten überwachen mit Tools wie EDR/XDR sowie zentralisierter Protokollierung, um Persistenz und ungewöhnliches Verhalten zu erkennen.
- Risiken bei der Datenexfiltration durch die Implementierung von Data Loss Prevention (DLP), die Überwachung des ausgehenden Datenverkehrs und die Einschränkung großer oder ungewöhnlicher Übertragungen kontrollieren.
- Privileged-Access-Management durch Just-in-Time-Zugriff stärken, die regelmäßige Rotation von Zugangsdaten und die Überwachung von Sitzungen administrativer Konten.
- Sichtbarkeit und Resilienz durch kontinuierliche Bedrohungssuche verbessern, langfristige Protokollaufbewahrung und den Einsatz von Täuschungstechnologien, wo dies angebracht ist.
- Regelmäßig Incident-Response-Pläne testen und optimieren und gleichzeitig Konfigurationen, Zugriffskontrollen und Systemaktivitäten prüfen, um die Einsatzbereitschaft sicherzustellen.
Zusammengenommen helfen diese Maßnahmen Unternehmen, ihre Widerstandsfähigkeit gegenüber ähnlichen Bedrohungen zu stärken und zugleich den möglichen Schadensradius einer erfolgreichen Kompromittierung zu begrenzen.
Wachsende Risiken für zentralisierte Computing-Umgebungen
Dieser Vorfall unterstreicht, dass hochwertige Computerinfrastrukturen weiterhin die Aufmerksamkeit von Cyberakteuren auf sich ziehen.
Supercomputing-Zentren unterstützen fortschrittliche Forschungs-, Verteidigungs- und industrielle Workloads und sind damit sensible Umgebungen, in denen eine einzige Kompromittierung weitreichende Folgen haben kann.
Je mehr Unternehmen kritische Workloads zentralisieren, desto größer werden die möglichen Auswirkungen eines Sicherheitsvorfalls auf mehrere Organisationen.
Diese Risiken steigern das Interesse an Zero-Trust-Lösungen, die Unternehmen helfen, ihre Angriffsfläche zu verringern, indem sie Zugriffe kontinuierlich überprüfen und Vertrauen begrenzen.