bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · SicherheitKuratiert

Target: Das Datenleck vor der Bestätigung

Zusammenfassung

Brian Krebs meldet im Dezember 2013 als Erster, dass die US-Handelskette Target ein Datenleck mit möglicherweise Millionen Kartendatensätzen untersucht. Gestohlen wurden die Daten vom Magnetstreifen, mit denen sich Kartenduplikate herstellen lassen. Target bestätigte den Vorfall am nächsten Morgen und nannte bis zu 40 Millionen betroffene Kartenkonten.

Wie die Angreifer hineinkamen

Brian Krebs berichtete im Februar 2014, dass die Angreifer am 15. November 2013 mit gestohlenen Zugangsdaten von Fazio Mechanical Services eindrangen, einem Dienstleister für Kälte- und Klimatechnik. Fazio erklärte, die Verbindung zu Target diene ausschließlich Abrechnung, Vertragsunterlagen und Projektverwaltung. Bis zum 28. November testeten die Täter ihre Schadsoftware auf wenigen Kassen, zwei Tage später lief sie auf den meisten.

Die Kartendaten gingen nicht direkt nach Osteuropa, sondern auf gehackte Zwischenserver, unter anderem in Miami und Brasilien. Die Analystin Avivah Litan wies darauf hin, dass der Kartenstandard PCI DSS für Fernzugänge von Dienstleistern eine Zwei-Faktor-Anmeldung verlangt.

Die Bilanz

Im Mai 2014 fasste Brian Krebs die Folgen zusammen: 40 Millionen Karten und 70 Millionen Datensätze mit Name, Adresse, E-Mail und Telefonnummer, ein Gewinnrückgang von 46 Prozent im vierten Quartal 2013 und rund 200 Millionen US-Dollar Kosten für Kreditgenossenschaften und kleinere Banken, die 21,8 Millionen Karten neu ausgaben. Vorstandschef Gregg Steinhafel trat zurück. Chipkarten hätten den Diebstahl laut Brian Krebs ohne Ende-zu-Ende-Verschlüsselung nicht verhindert, weil Kartennummer und Ablaufdatum trotzdem für Onlinekäufe taugen.

Ideen

  • Unabhängige Quellen bei Kartenherausgebern sahen das Leck vor der Bestätigung.
  • Magnetstreifendaten erlauben das Herstellen gefälschter Karten.
  • Der Einstieg gelang über die Zugangsdaten eines Klimatechnik-Dienstleisters.
  • Die Täter testeten ihre Kassensoftware zwei Wochen vor dem Großeinsatz.
  • Gestohlene Daten liefen über gehackte Zwischenserver in mehreren Ländern.
  • Chipkarten allein hätten den Diebstahl der Kartennummern nicht verhindert.

Einsichten

  • Dienstleisterzugänge gehören zur Angriffsfläche des Auftraggebers.
  • Ohne Netztrennung kann ein Abrechnungszugang zum Weg zu den Kassen werden.
  • Frühe Berichterstattung mit mehreren unabhängigen Quellen kann Betroffene schneller warnen als das Unternehmen.

Zitate

  • The breach window is definitely expanding. (anonymer Betrugsanalyst einer US-Kartenbank)

Fakten

  • Das bestätigte Zeitfenster reichte vom 27. November bis 15. Dezember 2013.
  • Zusätzlich wurden 70 Millionen Datensätze mit Kontaktdaten von Kunden gestohlen.
  • Laut Brian Krebs erfolgte der Einstieg am 15. November 2013 mit Zugangsdaten von Fazio Mechanical Services.
  • Brian Krebs verweist auf frühere Fälle: TJX mit über 45 Millionen und Heartland mit über 130 Millionen Karten.

Referenzen

Empfehlungen

  • Trenne Kassen- und Zahlungsnetze von Zugängen für Dienstleister.
  • Verlange für jeden Fernzugang eines Dienstleisters einen zweiten Faktor.
  • Überwache Kassensysteme auf neue Prozesse und ungewöhnliche ausgehende Verbindungen.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2025

6,3 Tbit/s: Was nach Mirai kam

Brian Krebs berichtet über einen etwa 45 Sekunden langen Angriff mit mehr als 6,3 Tbit/s auf KrebsOnSecurity, den Google Project Shield abwehrte. Google ordnete ihn dem IoT-Botnetz Aisuru zu, dessen Zugang offen über Telegram vermietet wurde. Die Spur führt zu der Person hinter dem Pseudonym Forky, die nach eigenen Angaben in Brasilien lebt, an Aisuru mitgearbeitet hat und eine Beteiligung am Angriff bestreitet.

KrebsOnSecurity · 2024

BlackCat: Lösegeld kauft kein Vertrauen

Brian Krebs berichtet über Hinweise, dass Change Healthcare der Ransomware-Gruppe BlackCat rund 22 Millionen US-Dollar gezahlt hat, während der Angriff in den USA die Abgabe verschreibungspflichtiger Medikamente störte. Ein Partner der Gruppe beklagte öffentlich, um den eigenen Anteil betrogen worden zu sein, und behauptete, die gestohlenen Daten weiterhin zu besitzen. BlackCat stellte daraufhin den Betrieb ein und zeigte eine offenbar kopierte Beschlagnahmemeldung des FBI.

KrebsOnSecurity · 2020

SolarWinds: Vertrauenswürdige Updates als Einfallstor

Brian Krebs fasst wenige Tage nach Bekanntwerden zusammen, was über den Einbruch bei SolarWinds bekannt war: Angreifer hatten Schadcode in Updates der Netzwerküberwachung Orion eingeschleust. Laut Börsenmeldung waren rund 33.000 der mehr als 300.000 Kunden Orion-Nutzer, und weniger als 18.000 hatten möglicherweise eine verseuchte Version installiert. Microsoft hatte die zentrale Steuerdomain des Schadcodes übernommen und dürfte damit sehen können, welche Systeme sich noch melden.