Der Medibank-Datenleck Eine Analyse Jahre danach

Was ist passiert

Es war Ende 2022. Millionen von Australiern ahnten noch nicht, wie verletzlich einer der größten Krankenversicherer des Landes wirklich war. Alles begann mit einer scheinbar routinemäßigen Meldung an die australische Börse (ASX) am 12. Oktober: Es habe einen „Cyber-Vorfall“ gegeben, aber es gäbe keine Beweise für den Diebstahl von Kundendaten. Das war die Ruhe vor dem Sturm. Nur eine Woche später, am 19. Oktober, stand alles auf dem Kopf. Das Unternehmen bestätigte, eine Lösegeldforderung erhalten zu haben. Die Drohung war unmissverständlich: Entweder ihr zahlt, oder die intimsten Informationen eurer Kunden werden im Internet verstreut.

Das Management von Medibank stand vor einer schweren Entscheidung. Am 7. November gab CEO David Koczkar eine klare Erklärung ab: Das Lösegeld würde nicht gezahlt werden. Die Begründung war, dass eine Zahlung die Kriminellen nur ermutigen würde und es keine Garantie gäbe, dass die Daten zurückgegeben würden. Diese moralische Haltung war für viele die richtige Entscheidung. Aber sie startete auch den Countdown für die Veröffentlichung der persönlichen Daten von Millionen von Menschen in den dunklen Ecken des Darknets. Und die Hacker blufften nicht.

Am 9. November wurde das erste Datenpaket geleakt. Auf einem Blog, der mit der Gruppe BlogXX in Verbindung gebracht wird, die wiederum mit der russlandnahen REvil-Gruppe verbunden ist, wurden zwei Dateien veröffentlicht: „naughty-list.csv“ (Liste der Unartigen) und „nice-list.csv“ (Liste der Braven). Das war nur der Anfang. In den folgenden Wochen setzten die Täter die Veröffentlichung von Daten schrittweise fort und hoben sich die sensibelsten Informationen für den Schluss auf. Hunderte von Datensätzen zu den privatesten Gesundheitszuständen – Alkoholabhängigkeit, Drogenmissbrauch, Essstörungen, Abtreibungen – wurden für alle sichtbar ins Netz gestellt. Mit dieser Aktion haben die Angreifer nicht nur Daten preisgegeben, sondern auch einen immensen psychologischen Druck auf die Opfer ausgeübt. Es war ein Akt des digitalen Terrorismus, der Australiens Verständnis von Cybersicherheit grundlegend erschütterte.

Auch wenn Jahre seit dem Vorfall vergangen sind, sind die Auswirkungen noch immer spürbar. Der Vorfall zeigte schmerzhaft nicht nur die Sicherheitslücke eines Unternehmens, sondern auch, wie leicht die persönliche Privatsphäre im digitalen Zeitalter zerstört werden kann. Der Medibank-Skandal war weit mehr als nur ein Datenleck; er war ein nationales Trauma.

Welche Daten wurden gestohlen

Was diesen Datenvorfall von anderen unterschied, war die Art der gestohlenen Daten. Dies war keine einfache Liste von E-Mails und Passwörtern. Es war ein Inventar der geheimsten Ecken der Seelen und Körper von Menschen. Die Angreifer verschafften sich Zugang zu den Daten von etwa 9,7 Millionen aktuellen und ehemaligen Kunden. Was genau enthielten diese Daten? Die Liste ist lang und erschreckend.

• Persönlich identifizierbare Informationen (PII): Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen. Dies war das Basispaket für Identitätsdiebstahl.
• Regierungsdokumente: Medicare-Nummern (die Karte des nationalen australischen Gesundheitssystems), Passnummern und Visa-Details (insbesondere für internationale Studierende). Diese Informationen konnten zur Erstellung gefälschter Identitäten oder für Betrug verwendet werden.
• Daten zu Leistungsansprüchen im Gesundheitswesen: Hier wird es wirklich verheerend. Die gestohlenen Daten enthielten Service-Codes und Diagnoseinformationen darüber, welche medizinischen Leistungen die Kunden in Anspruch genommen hatten. Das bedeutete, Kenntnis über die Behandlung psychischer Erkrankungen, die Rehabilitation bei Drogenabhängigkeit, den Abbruch einer Schwangerschaft (Abtreibung) oder andere sensible medizinische Eingriffe einer Person zu haben.

Die Angreifer nutzten diese Daten, um die Opfer zu stigmatisieren und zu beschämen. Insbesondere die Veröffentlichung einer Datei mit dem Namen „abortions“ (Abtreibungen) zeigte, wie rücksichtslos sie sein konnten. Solche Informationen können die Karriere, die sozialen Beziehungen und sogar die persönliche Sicherheit einer Person direkt bedrohen. Stellen Sie sich vor, Ihr Arbeitgeber oder Ihr Nachbar erfährt von Ihren privatesten Gesundheitsproblemen. Genau das war die Wirkung, die die Angreifer erzielten. Sie stahlen die Daten nicht nur; sie setzten sie als Waffe ein. Viele dieser Daten sind, anders als Kreditkarteninformationen, die mit der Zeit verfallen, dauerhaft. Die Krankengeschichte einer Person ist für immer. Deshalb war auch der Schaden durch das Medibank-Leck von Dauer.

Wie der Angriff geschah

Man könnte eine komplexe, filmreife Operation hinter einem Angriff erwarten, der eine so massive Zerstörung verursacht hat. Aber die Realität war, wie so oft, viel einfacher und daher noch beunruhigender. Was die Festung von Medibank zu Fall brachte, war ein einziger Schlüssel: ein gestohlener Benutzername und ein Passwort.

Nach den Ermittlungen von Cybersicherheitsexperten drangen die Angreifer mit den Anmeldedaten eines Benutzers mit weitreichenden Berechtigungen in das Medibank-Netzwerk ein. Diese Anmeldeinformationen wurden wahrscheinlich auf einem Darknet-Marktplatz gekauft und stammten ursprünglich aus einem Phishing-Angriff oder einer anderen Methode. Die Tragödie ist, dass ein so kritisches Konto nicht durch Multi-Faktor-Authentifizierung (MFA) geschützt war. Das bedeutete, die Angreifer brauchten nichts weiter als den Benutzernamen und das Passwort, um Zugang zu erhalten. Ein einfacher Code, der an ein Telefon gesendet wird, hätte diese ganze Katastrophe vielleicht verhindern können.

Einmal drinnen, bewegten sich die Angreifer leise und tief im System. Sie bewegten sich lateral innerhalb des Netzwerks, griffen auf verschiedene Systeme zu und entdeckten wertvolle Datenbanken. Möglicherweise blieben sie während dieses Prozesses monatelang unentdeckt. Sie extrahierten die Daten langsam und vorsichtig, um keine Aufmerksamkeit zu erregen. Medibank wusste von nichts, bis die Lösegeldforderung eintraf. Dieser Vorfall war ein bitterer Beweis für die Tatsache, dass die stärkste Kette nur so stark ist wie ihr schwächstes Glied. Firewalls, Software und Systeme im Wert von Millionen von Dollar wurden durch ein einziges privilegiertes Konto ohne MFA bedeutungslos.

Wer war betroffen

Die Zahl ist gewaltig: 9,7 Millionen Menschen. Das entsprach damals fast einem Drittel der australischen Bevölkerung. Aber hinter dieser Zahl verbergen sich verschiedene Gruppen und unterschiedliche Geschichten.

• Medibank-Kunden: Ungefähr 5,1 Millionen aktuelle und ehemalige Kunden der Hauptversicherungsmarke des Unternehmens waren betroffen. Bei dieser Gruppe wurde der umfassendste Datensatz gestohlen.
• ahm-Kunden: Die Informationen von etwa 2,8 Millionen Kunden von ahm, einer Tochtermarke von Medibank, wurden ebenfalls geleakt.
• Internationale Studierende: Dies war vielleicht die schutzloseste Gruppe. Die persönlichen und Visa-Informationen von rund 1,8 Millionen internationalen Studierenden wurden gestohlen. Für diese Personen, weit weg von zu Hause und mit schwächeren Unterstützungssystemen, war die Situation noch beängstigender. Das Leck ihrer Visa-Informationen ließ sie um ihren legalen Status in Australien bangen.

Betroffen waren nicht nur diese Personen. Ihre Familien, Kollegen und sozialen Kreise wurden indirekt Teil dieses Traumas. Stellen Sie sich die Last eines Vaters vor, der weiß, dass die sensible Krankengeschichte seiner Tochter im Internet kursiert. Oder das Dilemma eines Managers, der erfährt, dass die psychischen Gesundheitsdaten eines Mitarbeiters durchgesickert sind. Der Vorfall war wie ein Gift, das in das Gefüge der Gesellschaft eindrang und das Vertrauen zutiefst erschütterte. Die Menschen begannen, zweimal darüber nachzudenken, bevor sie Gesundheitsdienstleistern ihre privatesten Informationen anvertrauten.

Was Sie tun können

Wenn Sie von diesem Datenleck betroffen waren, reichen klischeehafte Ratschläge wie „Ändern Sie Ihr Passwort“ oder „Überwachen Sie Ihre Konten“ nicht mehr aus. Auch wenn Jahre vergangen sind, sind Ihre Daten immer noch da draußen, und das Risiko bleibt bestehen. Hier sind spezifischere, realistischere Schritte:

1. Die Realität akzeptieren: Dies ist der erste und schwierigste Schritt. Die durchgesickerten Daten, insbesondere Ihre Krankengeschichte, werden niemals vollständig aus dem Internet gelöscht werden. Die Existenz dieser Informationen zu akzeptieren und Ihr Leben entsprechend anzupassen, ist gesünder, als in ständiger Angst zu leben. Dies ist keine Niederlage, sondern eine Anpassung an eine neue Normalität.
2. Spezifische Risikobewertung: Gehen Sie über das allgemeine Risiko des Identitätsdiebstahls hinaus. Die eigentliche Gefahr für Sie könnten Ihre durchgesickerten sensiblen Gesundheitsdaten sein. Könnten diese Informationen bei einer zukünftigen Bewerbung, einem Versicherungsanspruch oder sogar in Ihren persönlichen Beziehungen auftauchen? Das Durchdenken dieser potenziellen Szenarien hilft Ihnen, vorbereitet zu sein. Die Verwendung solcher Informationen zur Diskriminierung ist in Australien illegal, aber es ist entscheidend, sich des Risikos bewusst zu sein.
3. Langfristige Wachsamkeit: Standardmäßige Kreditüberwachungsdienste sind nützlich, aber nicht ausreichend. Suchen Sie regelmäßig online nach Ihrem Namen und relevanten Schlüsselwörtern, um zu sehen, ob Ihre Identität oder Gesundheitsinformationen an unerwarteten Stellen verwendet werden. Seien Sie wachsam, ob falsche oder private Informationen über Sie im Umlauf sind, insbesondere in Ihrem beruflichen oder sozialen Umfeld.
4. Achtsamkeit bei zukünftigen Interaktionen: Wenn Sie eine neue Lebensversicherung abschließen oder sich auf eine Stelle mit hoher Sicherheitsfreigabe bewerben, überlegen Sie, wie sich dieses Leck auf Ihre Vorgeschichte auswirken könnte. Ein Gespräch mit einem Rechtsberater oder einer Patientenvertretung, um Ihre Rechte zu verstehen, kann Sie in Zukunft schützen. Zu sagen „Ich war Opfer eines früheren Datenlecks“ ist nichts mehr, wofür man sich schämen müsste; es ist eine Realität, die viele teilen.

Was das Unternehmen sagt

Die Reaktion von Medibank auf die Krise wurde von der Öffentlichkeit und Experten genau beobachtet und häufig kritisiert. Die Haltung des Unternehmens durchlief während des Ereignisses mehrere Phasen.

Anfänglich wurde versucht, den Vorfall herunterzuspielen. Die ersten Erklärungen besagten, es gäbe keine Beweise für den Diebstahl von Daten. Das änderte sich schnell, und das Unternehmen musste die Lösegeldforderung und den Datendiebstahl zugeben. Die kritischste Entscheidung war, das Lösegeld nicht zu zahlen. CEO David Koczkar argumentierte, dies sei „das Richtige“, da eine Zahlung die Kriminellen nur ermutigen und keine Garantie für die Rückgabe der Daten bieten würde. Während diese Haltung von einigen als prinzipientreu angesehen wurde, kritisierten andere sie dafür, Millionen von Kunden schutzlos zurückgelassen zu haben.

Im Anschluss an die Krise kündigte das Unternehmen ein Unterstützungspaket an. Dieses Paket umfasste Dienstleistungen zum Schutz vor Identitätsdiebstahl, Kreditüberwachung und psychologische Unterstützung für betroffene Kunden. Für viele Opfer war dies jedoch nur ein Tropfen auf den heißen Stein. Der Schaden war bereits angerichtet.

Nach dem Vorfall sah sich Medibank mit hohen Geldstrafen von Aufsichtsbehörden und einer massiven Sammelklage von Kunden konfrontiert. Das Unternehmen gab an, Millionen in die Stärkung seiner Cybersicherheitsinfrastruktur investiert zu haben. Aber die Wiederherstellung seines Rufs dauerte viel länger. Die Erklärungen von Medibank enthielten oft juristische Formulierungen und einen korporativen Ton, was in scharfem Kontrast zum persönlichen Trauma der Opfer stand.

Quelle

https://www.upguard.com/breaches/medibank-data-leak