Beamte der Europäischen Union untersuchen einen Cybersicherheitsvorfall, nachdem Angreifer in Systeme eingedrungen sind, die zur Verwaltung mobiler Geräte von Mitarbeitern eingesetzt werden, und dabei möglicherweise begrenzte personenbezogene Daten offengelegt wurden.
Die Europäische Kommission erklärte , dass sie einen Cyberangriff auf ihre zentrale Infrastruktur zur Verwaltung mobiler Geräte entdeckt und schnell Maßnahmen zu seiner Eindämmung ergriffen habe.
„Die EU-Kommission hat gut daran getan, die Systeme schnell zu bereinigen und sicherzustellen, dass keine Mobilgeräte kompromittiert wurden“, sagte Ross Filipek, CISO bei Corsica Technologies , in einer E-Mail an eSecurityPlanet.
Er erklärte: „Die von den Angreifern gestohlenen Informationen sind jedoch weiterhin dem Risiko ausgesetzt, nach dem ersten Angriff in Phishing-Kampagnen eingesetzt zu werden. Diese zielen darauf ab, die Opfer weiter zu erpressen oder durch die Übernahme von Benutzerkonten noch tieferen Zugriff auf interne Systeme zu erlangen.“
Ross fügte hinzu: „Die Auswirkungen eines Angriffs auf die EU-Kommission betreffen nicht nur eine Behörde, sondern Hunderte von Organisationen und Netzwerken.“
„Es ist wahrscheinlich kein Zufall, dass dieser Angriff kurz nach dem Vorschlag der EU-Kommission für neue Gesetze zur Stärkung der Abwehrmaßnahmen gegen Angreifer erfolgt, die kritische Infrastrukturen ins Visier nehmen“, sagte Nick Tausek, Lead Security Automation Architect bei Swimlane , in einer E-Mail an eSecurityPlanet.
Er erklärte: „Die Integration von KI-Agenten in Sicherheitsmaßnahmen schafft durch kontinuierliche, automatisierte Scans von Sicherheitsumgebungen gleiche Wettbewerbsbedingungen im Kampf gegen fortschrittliche Bedrohungen.“
Nick fügte hinzu: „Auf diese Weise können diese Agenten Schwachstellen in den Abwehrmaßnahmen erkennen, bevor Angreifer sie ausnutzen können, und Sicherheitsteams alarmieren. Außerdem können sie vorhersehen, welche Lücken ausgenutzt werden, und Gegenmaßnahmen einleiten, die Bedrohungsakteure daran hindern, tief in internen Systemen Fuß zu fassen, um dort Schadsoftware einzuschleusen oder langfristige Überwachung zu betreiben.“
Ähnliche MDM-Angriffe breiten sich in Europa aus
Obwohl die Kommission den Einstiegspunkt nicht offengelegt hat, fällt der Vorfall mit einer größeren Angriffswelle zusammen, bei der Schwachstellen in weit verbreiteten Plattformen zur Verwaltung mobiler Geräte im öffentlichen Sektor Europas ausgenutzt werden.
Die Offenlegung erfolgte zudem kurz nach der Einführung neuer Cybersicherheitsgesetze durch die Kommission, die darauf abzielen, die Abwehrmaßnahmen gegen staatlich unterstützte und kriminelle Bedrohungen zu stärken.
Der Angriff auf die Kommission scheint einer Reihe nahezu identischer Angriffe zu entsprechen, die in ganz Europa gemeldet wurden.
Etwa zur selben Zeit wie die Bekanntgabe der Kommission bestätigten niederländische Behörden, dass sowohl die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, AP) als auch der Justizrat (Raad voor de rechtspraak, Rvdr) kompromittiert worden waren.
In diesen Fällen erlangten Angreifer Zugriff auf Namen von Mitarbeitern, geschäftliche E-Mail-Adressen und Telefonnummern, nachdem sie Schwachstellen in Ivanti Endpoint Manager Mobile (EPMM) ausgenutzt hatten.
Das niederländische Nationale Zentrum für Cybersicherheit (NCSC) erklärte, Ivanti habe es auf kritische Fehler in der EPMM-Software aufmerksam gemacht, die zur Verwaltung mobiler Geräte, Anwendungen und Inhalte in Behörden und Unternehmen eingesetzt wird.
Auch finnische Behörden meldeten eine entsprechende Datenpanne. Valtori legte einen Angriff auf seinen Dienst zur Verwaltung mobiler Geräte offen, von dem bis zu 50.000 Nutzer betroffen sein könnten.
Ivanti warnte seine Kunden vor zwei kritischen EPMM-Schwachstellen, die unter den Bezeichnungen CVE-2026-1281 und CVE-2026-1340 erfasst sind.
Bei beiden handelt es sich um Fehler zur Code-Injektion, die es nicht authentifizierten Angreifern aus der Ferne ermöglichen, beliebigen Code auf ungepatchten Systemen auszuführen, wodurch sie effektiv die vollständige Kontrolle über die betroffenen Server erlangen.
Die Europäische Kommission hat zwar nicht bestätigt, dass Ivanti EPMM der Einstiegspunkt für den Angriff war, doch Zeitpunkt, Umfang und technische Ähnlichkeiten deuten auf einen möglichen Zusammenhang hin.
MDM-Plattformen sind sensible Systeme, da sie in Identitätsdienste, Geräterichtlinien und administrative Zugriffsrechte integriert sind.
Selbst die begrenzte Offenlegung von Daten auf Verzeichnisebene, etwa Namen und Telefonnummern, kann das Risiko gezielter Phishing-Angriffe, von Social Engineering oder nachfolgender Eindringversuche erhöhen.
Risiken bei Plattformen zur Verwaltung mobiler Geräte reduzieren
Plattformen zur Verwaltung mobiler Geräte geraten zunehmend ins Visier von Angreifern, da sie weitreichenden administrativen Zugriff in Unternehmens- und Behördenumgebungen ermöglichen.
Organisationen sollten die MDM-Infrastruktur als kritisch einstufen und mehrschichtige Schutzmaßnahmen einsetzen, um die Angriffsfläche zu verringern, die Auswirkungen zu begrenzen und die Bereitschaft zur Reaktion zu stärken.
- Anwenden von Anbieter-Patches und Befolgen von Maßnahmenempfehlungen für ungepatchte Schwachstellen.
- Zugriff auf die MDM-Infrastruktur beschränken und absichern durch Netzwerkisolierung, starke Authentifizierung und das Prinzip der geringsten Rechte.
- Überwachen Sie MDM-Systeme auf Anzeichen einer Kompromittierung, darunter anomale Befehle, Konfigurationsänderungen und ausgehenden Datenverkehr.
- Angriffsfolgen begrenzen, indem MDM-Server segmentiert werden, eine Positivlistenverwaltung für Anwendungen durchgesetzt und ausgehender Datenverkehr strenger kontrolliert wird.
- Zugangsdaten, API-Schlüssel und Verzeichniszugriffe rotieren und minimieren , die von MDM-Plattformen verwendet werden, um die Auswirkungen einer Kompromittierung zu begrenzen.
- Offengelegte Kontaktdaten von Mitarbeitern als hohes Risiko einstufen und die Wachsamkeit gegenüber Phishing, Identitätsmissbrauch und Folgeangriffen erhöhen.
- Regelmäßig Incident-Response- und Wiederherstellungspläne testen , einschließlich Eindämmung, Zurücksetzung von Zugangsdaten und Wiederherstellung der Systeme nach einer MDM-Kompromittierung.
Zusammen tragen diese Maßnahmen dazu bei, die Angriffsfläche von MDM-Systemen zu verringern, die Auswirkungen im Falle einer Kompromittierung zu begrenzen und die Fähigkeit einer Organisation zu verbessern, Vorfälle schnell einzudämmen und sich davon zu erholen.
Da die Infrastruktur für die Mobilgeräteverwaltung zunehmend ins Visier genommen wird, unterstreicht der Vorfall bei der Europäischen Kommission die Notwendigkeit, die Absicherung dieser Systeme neu zu bewerten.
zu Zero-Trust-Lösungen zu tendieren, die impliziten Zugriff beschränken und die Abhängigkeit von perimeterbasierten Abwehrmaßnahmen verringern.