Sicherheitschef manipuliert die Lotterie
Zusammenfassung
Ende 2015 weiteten sich die Ermittlungen gegen Eddie Tipton aus, den früheren Sicherheitsdirektor der Multi-State Lottery Association in den USA. Tipton war bereits wegen einer manipulierten Lotterie in Iowa verurteilt, bei der ein Jackpot von rund 14 bis 17 Millionen Dollar erschlichen werden sollte. Nun prüften auch Colorado, Wisconsin und Oklahoma, ob dort ebenfalls Gewinne erschlichen worden waren.
Wie die Manipulation funktionierte
Tipton soll auf den Rechnern der Lotteriegesellschaft ein Rootkit installiert haben, ein verstecktes Programm, das den Zufallszahlengenerator beeinflusste. An bestimmten Tagen waren die angeblich zufälligen Zahlen damit vorhersagbar. Tipton gab sie an Bekannte weiter, die Lose kauften und die Gewinne einlösten.
Ausgerechnet der Verantwortliche für die Sicherheit hatte also die nötigen Rechte und das Wissen, um die Kontrollen zu umgehen. Aufgefallen war der Betrug unter anderem, weil ein Gewinn in Iowa über Umwege eingelöst werden sollte und Überwachungsvideos Tipton beim Loskauf zeigten.
Warum der Fall lehrreich ist
Der Fall ist ein Lehrbuchbeispiel für eine Insider-Bedrohung. Technische Schutzmaßnahmen helfen wenig, wenn eine Person mit weitreichenden Rechten sie selbst gestaltet und überwacht. Abhilfe schaffen Funktionstrennung, das Vier-Augen-Prinzip und unabhängige Prüfungen des Codes, der über Geld entscheidet.
Was daraus wurde
Tipton bekannte sich 2017 schuldig und wurde zu bis zu 25 Jahren Haft verurteilt. Die Ermittler gingen von manipulierten Ziehungen in mehreren Bundesstaaten über mehrere Jahre aus. Lotterien überprüfen ihre Zufallszahlengeneratoren seitdem strenger.
Ideen
- Ein Rootkit kann einen Zufallszahlengenerator unbemerkt vorhersagbar machen.
- Gewinne wurden über Bekannte eingelöst, um den Täter zu verschleiern.
- Funktionstrennung verhindert, dass eine Person Kontrolle und Ausführung zugleich besitzt.
Einsichten
- Die größte Gefahr kann von Personen mit den meisten Rechten ausgehen.
- Zufall, der über Geld entscheidet, muss unabhängig prüfbar sein.
Fakten
- Neben Iowa ermittelten Colorado, Wisconsin und Oklahoma.
- Tipton wurde 2017 zu bis zu 25 Jahren Haft verurteilt.
Referenzen
Bemerkungen
- Die Quellen nennen für den Jackpot in Iowa unterschiedliche Beträge zwischen 14 und knapp 17 Millionen Dollar, je nach Auszahlungsart.
Empfehlungen
- Trenne in eigenen Systemen Entwicklung, Betrieb und Prüfung, besonders bei kritischen Funktionen.
- Lasse sicherheitskritischen Code von Personen prüfen, die ihn nicht selbst geschrieben haben.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.