Eine Hackergruppe behauptet, in FBI-Systeme eingedrungen zu sein und vertrauliche Informationen zu Tausenden von FBI-Mitarbeitern und Bewerbern gestohlen zu haben, darunter auch Angaben über die Ehepartner einiger Mitarbeiter.
ShinyHunters behauptete am 22. September, in das FBI eingedrungen zu sein und vertrauliche Informationen über Mitarbeiter und Bewerber erlangt zu haben, laut einem Bericht von 404 Media, der zuerst über den mutmaßlichen Angriff berichtete. Die Publikation prüfte eine Stichprobe mit 5.000 mutmaßlichen FBI-Datensätzen, darunter Namen, Adressen, Telefonnummern und Informationen über die Ehepartner einiger Mitarbeiter.
Das FBI hat nicht bestätigt, dass seine Systeme gehackt oder Daten gestohlen wurden. Die Behörde erklärte in einer Stellungnahme gegenüber mehreren Nachrichtenorganisationen, sie sei über Behauptungen zu unbefugten Aktivitäten im Zusammenhang mit FBIJobs.gov informiert und untersuche den Vorfall.
Sollten sich die Behauptungen von ShinyHunters als zutreffend erweisen, könnten die offengelegten Informationen Risiken schaffen, die über herkömmlichen Identitätsdiebstahl hinausgehen. Bedrohungsakteure könnten persönliche Details für gezieltes Phishing, Identitätsmissbrauch, Doxxing und andere Angriffe auf Strafverfolgungsbeamte und ihre Familien nutzen.
ShinyHunters behauptet, Daten von FBI-Mitarbeitern und Bewerbern gestohlen zu haben
ShinyHunters behauptet, nach dem Eindringen in mit FBIJobs.gov verbundene Systeme vertrauliche Informationen über FBI-Mitarbeiter und Bewerber erlangt zu haben.
404 Media zufolge enthielt die von den Hackern bereitgestellte Stichprobe 5.000 mutmaßliche FBI-Datensätze mit Namen, Adressen, Telefonnummern und Angaben über die Ehepartner einiger Mitarbeiter. Die Publikation erklärte, sie habe Teile der Daten überprüft, indem sie die Stichprobe mit öffentlichen Unterlagen verglich.
Die Gesamtzahl der möglicherweise betroffenen Personen ist jedoch weiterhin unbekannt.
Als TechCrunch ShinyHunters fragte, wie viele Opfer es gebe, nannten die Hacker keine genaue Zahl. Stattdessen behauptete die Gruppe, sie sei sich „sehr sicher“, über Informationen zu den meisten FBI-Mitarbeitern sowie über eine beträchtliche Menge an Bewerberdaten zu verfügen.
ShinyHunters behauptete außerdem, Terabytes an Informationen gestohlen zu haben. Weder die Datenmenge noch die Behauptungen der Gruppe zum Gesamtumfang des Vorfalls wurden unabhängig bestätigt.
Der Vorfall ereignet sich nach einer weiteren FBI-Untersuchung zu verdächtigen Aktivitäten, die Anfang dieses Jahres ein zur Verwaltung von Überwachungs- und Abhörgenehmigungen eingesetztes System betrafen.
Angreifer behaupten, PeopleSoft habe den ursprünglichen Zugang ermöglicht
Der mutmaßliche Angriff könnte mit einem Unternehmenssystem begonnen haben, das zur Verwaltung vertraulicher Informationen über die Belegschaft eingesetzt wird.
ShinyHunters behauptet, eine neue Zero-Day-Schwachstelle in Oracle PeopleSoft ausgenutzt zu haben, um Zugriff auf mit dem FBI verbundene Systeme zu erlangen und Mitarbeiter- sowie Bewerberdaten zu stehlen.
BleepingComputer berichtete, dass die Gruppe behauptete, die PeopleSoft-Schwachstelle genutzt zu haben, um FBI-Systeme zu kompromittieren. Die Schwachstelle und die vollständige Angriffskette wurden nicht unabhängig überprüft.
Die Behauptung folgt auf eine umfassendere Kampagne gegen Oracle-PeopleSoft-Systeme. Während dieser Kampagne erklärte ShinyHunters gegenüber BleepingComputer zuvor, ein früherer Versuch, ein PeopleSoft-Portal des FBI zu kompromittieren, sei gescheitert.
Die Verbindung zu PeopleSoft würde in ein größeres Angriffsmuster gegen HR- und Enterprise-Resource-Planning-Plattformen passen, auf denen große Mengen vertraulicher Mitarbeiter- und Bewerberdaten in einer einzigen Umgebung zusammenlaufen können.
ShinyHunters behauptete zuvor, mehr als 800.000 Datensätze aus der PeopleSoft-Umgebung von Wynn Resorts gestohlen zu haben. Wie eSecurityPlanet berichtete im Februar, bestätigte Wynn den unbefugten Zugriff auf Mitarbeiterdaten, bestätigte jedoch nicht die von ShinyHunters genannte Opferzahl.
Die Gruppe nahm auch andere große Organisationen und Unternehmenssysteme ins Visier. Im Mai behauptete ShinyHunters, nach einer Kampagne mit Social Engineering und kompromittierten Identitäten 42 Millionen Datensätze von Charter Communications gestohlen zu haben.
Gestohlene FBI-Daten könnten Risiken schaffen, die über Identitätsdiebstahl hinausgehen
Sollten die gestohlenen Informationen so umfangreich sein, wie ShinyHunters behauptet, könnten die Folgen weit über den unmittelbaren Datenverstoß hinausgehen.
Namen, Privatadressen, Telefonnummern, familiäre Beziehungen und Beschäftigungsdaten könnten Angreifern das Rohmaterial für hochgradig gezieltes Social Engineering liefern. Statt auf allgemeine Phishing-Nachrichten angewiesen zu sein, könnten Angreifer überzeugende Nachrichten erstellen, die persönliche Informationen über einen Mitarbeiter, dessen Ehepartner, Arbeitsplatz oder berufliche Beziehungen nutzen.
Informationen, die Strafverfolgungsbeamte und ihre Familien identifizieren, könnten außerdem Belästigung, Doxxing, Identitätsmissbrauch oder Versuche erleichtern, weitere Informationen zu sammeln.
Besonders groß wird das Risiko, wenn verschiedene Teile der gestohlenen Informationen miteinander kombiniert werden. Ein Angreifer, der den Namen, die Telefonnummer, die Privatadresse und die familiären Beziehungen eines Mitarbeiters kennt, verfügt über deutlich mehr Kontext für einen glaubwürdigen Identitätsmissbrauch als jemand, der nur eine E-Mail-Adresse hat.
ShinyHunters erklärte, das FBI als Reaktion auf eine öffentliche Mitteilung ins Visier genommen zu haben, die nach Angaben der Gruppe falsche Anschuldigungen gegen sie enthielt.
Die Hacker sollen außerdem FBIJobs.gov manipuliert haben. Die Jobwebsite des FBI und das Bewerberportal für Special Agents zeigten anschließend Nachrichten an, denen zufolge die Dienste nicht verfügbar waren oder gewartet wurden.
Was Sicherheitsteams aus der Behauptung über den FBI-Hack lernen können
Für Sicherheitsteams in Unternehmen könnte die wichtigste Lehre hinter der FBI-Schlagzeile liegen: HR-, Recruiting- und ERP-Plattformen können aufgrund der Menge und Sensibilität der dort gespeicherten Informationen zu besonders wertvollen Zielen werden.
Systeme wie PeopleSoft können Mitarbeiterakten, Bewerberdaten, Kontaktdaten, Gehaltsinformationen und andere personenbezogene Daten enthalten. Ein erfolgreicher Angriff verschafft einem Angreifer daher mehr als nur eine Datenbank, die er verkaufen oder veröffentlichen kann. Er kann eine detaillierte Karte für nachfolgende Angriffe auf die Belegschaft einer Organisation liefern.
Sicherheitsteams sollten mehrere Schutzmaßnahmen in Betracht ziehen:
- HR- und ERP-Plattformen als kritische Werte behandeln. Robuste Überwachung und Zugriffskontrollen auf Systeme anwenden, die Mitarbeiter- und Bewerberdaten enthalten.
- Unnötige Erreichbarkeit aus dem Internet reduzieren. Prüfen, ob PeopleSoft und andere Verwaltungsoberflächen öffentlich zugänglich sein müssen, und den externen Zugriff nach Möglichkeit beschränken.
- Auf ungewöhnliche Datenzugriffe achten. Große Datenbankabfragen, Massenexporte oder unerwartete ausgehende Übertragungen können Warnzeichen für Datenexfiltration sein.
- Vertrauliche Systeme segmentieren. Die Kompromittierung einer Recruiting- oder HR-Anwendung sollte einem Angreifer keinen einfachen Weg zu unabhängigen Cloud-Diensten oder zur internen Infrastruktur eröffnen.
- Privilegierte Zugriffe absichern. Multi-Faktor-Authentifizierung, Zugriffe nach dem Prinzip der geringsten Privilegien und zusätzliche Kontrollen für Administratorkonten durchsetzen.
- Auf Folgeangriffe vorbereiten. Wenn Mitarbeiterinformationen offengelegt werden, sollten Organisationen gezieltes Phishing, Identitätsmissbrauch, den Diebstahl von Zugangsdaten und andere Social-Engineering-Versuche erwarten, die gestohlene Informationen als Kontext nutzen.
Für die Verteidiger lautet die offene Frage nicht nur, ob sich die Behauptungen von ShinyHunters über das FBI letztlich als zutreffend erweisen. Organisationen sollten sich auch fragen, was ein Angreifer über ihre Belegschaft erfahren könnte, wenn eine HR- oder Recruiting-Plattform kompromittiert würde, und ob diese Informationen als Ausgangspunkt für den nächsten Angriff dienen könnten.
Bis das FBI, Oracle oder unabhängige Sicherheitsforscher zusätzliche technische Beweise vorlegen, sollten der behauptete Zero-Day in PeopleSoft, die Gesamtzahl der betroffenen Personen und die mutmaßlich gestohlene Datenmenge allesamt als unbestätigt gelten.
Weiterführende Lektüre: ShinyHunters ist nicht allein beim Angriff auf Personalverwaltungssysteme: Ein Einbruch in ein Starbucks-HR-Portal legte vertrauliche Mitarbeiterdaten offen, nachdem Angreifer Mitarbeiterzugangsdaten per Phishing kompromittiert hatten.