Lansing Community College Opfer eines Cyberangriffs

Was ist passiert

Alles begann im März. Es war ein ganz normaler Tag auf dem Campus des Lansing Community College (LCC), bis die IT-Systeme plötzlich zusammenbrachen. Zuerst wurde eine technische Störung vermutet. Lehrveranstaltungen wurden abgesagt, der Zugang zu Online-Systemen wurde gesperrt und die IT-Abteilung begann mit fieberhaften Bemühungen. Doch nach Wochen der Ungewissheit kam die bittere Wahrheit ans Licht: Das LCC war Ziel eines massiven Cyberangriffs geworden. Seitdem arbeiten Forensik-Experten daran, das Chaos zu beseitigen und das Ausmaß des Schadens zu verstehen. Und jetzt, Monate später, liegen die endgültigen Zahlen vor. Die persönlichen Informationen von genau 174.000 Menschen sind in die Hände unbekannter Angreifer gefallen.

Die Hochschulleitung hatte den Vorfall zunächst als „Netzwerkausfall“ bezeichnet. Doch hinter den Kulissen lief eine umfassende Untersuchung in Zusammenarbeit mit dem FBI. Die Angreifer hatten sich wochen-, vielleicht sogar monatelang unentdeckt im Netzwerk des LCC bewegt, die wertvollsten Datenbanken infiltriert und die Daten langsam exfiltriert. Das war keine Amateurarbeit. Im Gegenteil, es war eine hoch organisierte und geduldige Operation. Jetzt leben Zehntausende von Studierenden, Absolventen und Mitarbeitern mit der Angst, dass ihre Identitäten im Dark Web zum Verkauf stehen.

Die erbeuteten Daten

Die Informationen, die die Angreifer in die Hände bekamen, sind weit mehr als eine einfache E-Mail-Liste. Es ist die Art von Datenschatz, von dem ein Identitätsdieb träumt. Zu den durchgesickerten Informationen gehören:

• Vollständiger Name und Adresse: Grundlegende Identitätsinformationen wie Vorname, Nachname, Wohnadresse und Telefonnummer.
• Sozialversicherungsnummer (SSN): Dies ist die kritischste Information. In den USA ist die SSN der Hauptschlüssel zur finanziellen Identität einer Person. Sie wird für Kreditanträge, Steuererklärungen und sogar für staatliche Leistungen verwendet. Der Diebstahl dieser Nummer öffnet die Tür für einen vollumfänglichen Identitätsdiebstahl.
• Geburtsdatum: Eine weitere wichtige Information, die häufig bei Identitätsprüfungen verwendet wird.
• Führerscheinnummer: Auch die staatlich ausgestellte Identifikationsnummer gehörte zu den kompromittierten Daten.
• Studierenden- und Mitarbeiter-ID-Nummern: Informationen, die für den Zugriff auf interne Hochschulsysteme verwendet werden und in Kombination mit anderen Daten gefährlich sein können.
• Informationen zu Finanzhilfen und Stipendien: Sensible Finanzdaten wie das Einkommensniveau der Studierenden, erhaltene Stipendien und Kreditanträge. Diese Informationen können für gezielte Spear-Phishing-Angriffe verwendet werden.
• Akademische Unterlagen: Persönliche Informationen wie Notenspiegel, belegte Kurse und akademischer Status. Obwohl dies auf den ersten Blick harmlos erscheinen mag, birgt es Potenzial für Erpressung oder Social Engineering.

Der Diebstahl eines so vielfältigen und sensiblen Datensatzes auf einmal erhöht das Risiko exponentiell. Angreifer können diese Informationen nutzen, um Bankkonten im Namen der Opfer zu eröffnen, Kreditkarten zu beantragen, betrügerische Steuererklärungen einzureichen oder die Daten an andere Kriminelle im Dark Web zu verkaufen.

Wie der Angriff geschah

Wie haben die Angreifer also die Verteidigung des LCC durchbrochen? Nach ersten Informationen aus der Untersuchung begann alles mit einer klassischen, aber effektiven Methode: einem Phishing-Angriff. Ein Mitarbeiter in einer kritischen Abteilung wie der Finanz- oder Zulassungsstelle erhielt eine äußerst überzeugend aussehende E-Mail. Vielleicht sah sie aus wie eine Rechnung oder eine dringende studentische Anfrage. Als auf den Link in der E-Mail geklickt wurde, wurde Spyware auf dem Computer des Mitarbeiters installiert. Diese Software verschaffte den Angreifern ihren ersten Zugangspunkt zum Netzwerk.

Einmal drinnen, ließen sie sich Zeit. Sie bewegten sich monatelang leise im Netzwerk, eskalierten ihre Privilegien und identifizierten, wo die wertvollsten Daten gespeichert waren. Diese „Verweildauer“ (Dwell Time) ist ein Kennzeichen moderner Cyberangriffe. Um die Verteidigungssysteme zu umgehen, exfiltrierten sie die Daten in kleinen, langsamen Paketen. Dadurch gelang es ihnen, die Alarme zu vermeiden, die durch anormale Spitzen im Netzwerkverkehr ausgelöst worden wären. Als das IT-Team des LCC schließlich bemerkte, was geschah, war es bereits zu spät. Die Daten waren bereits kopiert und auf von den Angreifern kontrollierte Server übertragen worden.

Wer ist betroffen

Die Zahl 174.000 ist gewaltig und umfasst nicht nur aktuelle Studierende. Laut der Erklärung des LCC sind folgende Gruppen betroffen:

• Aktuelle Studierende: Alle derzeit am College eingeschriebenen Studierenden.
• Ehemalige Studierende und Absolventen: Personen, die in den letzten 10-15 Jahren am LCC studiert oder ihren Abschluss gemacht haben. Bildungseinrichtungen bewahren Daten ehemaliger Studierender oft aus rechtlichen und archivarischen Gründen über lange Zeiträume auf.
• Aktuelle und ehemalige Mitarbeiter: Akademisches und administratives Personal und sogar Teilzeitkräfte sind gefährdet.
• Bewerber: Selbst Personen, die sich am LCC beworben, aber nie eingeschrieben haben, könnten auf dieser Liste stehen, da die bei der Bewerbung gemachten persönlichen Angaben ebenfalls in den Datenbanken des Colleges gespeichert wurden.

Selbst wenn Sie also vor Jahren nur die geringste Verbindung zum LCC hatten, könnten Sie von diesem Datenleck betroffen sein. Das College hat damit begonnen, Benachrichtigungsschreiben per Post an die betroffenen Personen zu versenden. Wenn Sie ein solches Schreiben erhalten, sollten Sie es unbedingt ernst nehmen.

Was Sie tun können

Wenn Sie glauben, vom LCC-Datenleck betroffen zu sein oder ein Benachrichtigungsschreiben erhalten haben, sollten Sie nicht in Panik geraten, sondern sofort handeln. Hier sind einige Schritte, die über klischeehafte Ratschläge hinausgehen und wirklich nützlich sind:

1. Frieren Sie Ihre Kreditauskünfte ein: Der vom College angebotene kostenlose Kreditüberwachungsdienst ist ein guter erster Schritt, aber nicht ausreichend. Ein Überwachungsdienst informiert Sie nur, nachdem jemand in Ihrem Namen einen Kredit beantragt hat. Eine Kreditsperre (Credit Freeze) bei den großen Auskunfteien (in Deutschland z.B. bei der SCHUFA einen entsprechenden Eintrag veranlassen) verhindert, dass ohne Ihre Zustimmung neue Kreditkonten eröffnet werden. Dies ist eine proaktive Verteidigung.
2. Kontaktieren Sie die Steuerbehörde (IRS): Der Diebstahl Ihrer Sozialversicherungsnummer birgt das Risiko von Steuerbetrug. Ein Krimineller könnte in Ihrem Namen eine gefälschte Steuererklärung einreichen und die Rückerstattung auf sein eigenes Konto leiten lassen. Um dies zu verhindern, reichen Sie beim IRS eine eidesstattliche Erklärung über Identitätsdiebstahl ein.
3. Überprüfen Sie Ihre Passwörter: Wenn Sie für das Studentenportal oder das E-Mail-System des LCC ein Passwort verwendet haben, das einem anderen von Ihnen genutzten Passwort ähnelt, ändern Sie diese anderen Passwörter sofort. Angreifer werden versuchen, gestohlene Passwörter auf anderen beliebten Plattformen (soziale Medien, E-Mail, Banking) zu verwenden, um Ihre Konten zu übernehmen.
4. Seien Sie wachsam gegenüber Phishing-Angriffen: Die Angreifer wissen jetzt viel über Sie. Ihren Namen, Ihr Studienfach, sogar einen Kurs, den Sie belegt haben... Sie können diese Informationen nutzen, um Ihnen äußerst überzeugende, personalisierte Phishing-E-Mails zu senden. Eine Betreffzeile wie „LCC-Registrarbüro: Problem mit Ihrem Notenspiegel“ könnte Sie leicht in die Falle locken. Klicken Sie niemals auf Links in E-Mails, die Sie nicht kennen oder nicht erwartet haben.

Was das Unternehmen sagt

Die Verwaltung des Lansing Community College veröffentlichte eine Erklärung, in der sie ihr tiefes Bedauern über den Vorfall zum Ausdruck brachte. In der von College-Präsident Dr. Steve Robinson unterzeichneten Erklärung heißt es: „Es tut uns zutiefst leid, das Vertrauen, das unsere Studierenden, Mitarbeiter und die Gemeinschaft in uns setzen, erschüttert zu haben. Wir übernehmen die volle Verantwortung für diesen Vorfall und tun alles in unserer Macht Stehende, um alle Betroffenen zu unterstützen.“

Das College bestätigte, dass es allen betroffenen Personen 12 Monate kostenlosen Identitätsschutz und Kreditüberwachungsdienste anbietet. Sie gaben außerdem an, eine externe Expertenfirma beauftragt zu haben, um ihre Cybersicherheitsmaßnahmen zu verstärken, die Multi-Faktor-Authentifizierung (MFA) auf allen Systemen verpflichtend einzuführen und ihre Netzwerkinfrastruktur neu zu strukturieren. In der Erklärung wurde auch erwähnt, dass die Untersuchung mit dem FBI andauert und die Bemühungen zur Identifizierung der Angreifer fortgesetzt werden.

Quelle

https://www.securityweek.com/174000-impacted-by-lansing-community-college-data-breach/