Maines Datenleck-Portal für Falschmeldungen missbraucht
In einer ungewöhnlichen Desinformationskampagne wurden betrügerische Meldungen über Datenlecks beim offiziellen Portal von Maine eingereicht. Diese ohne Überprüfung veröffentlichten Meldungen wurden später von den Unternehmen dementiert.
Was ist passiert
Die Cybersicherheitswelt ist diesmal nicht wegen eines komplexen Hacks in Aufruhr, sondern wegen einer weitaus seltsameren Situation. Das offizielle Meldeportal für Datenpannen des Generalstaatsanwalts von Maine wurde von Unbekannten als Desinformationswerkzeug missbraucht. Diese Plattform, die normalerweise von Unternehmen genutzt wird, um Datenlecks gesetzlich vorgeschrieben der Öffentlichkeit zu melden, wurde zur Bühne für die Veröffentlichung vollständig erfundener Berichte über Sicherheitsverletzungen.
Der Kern des Vorfalls ist folgender: Jemand hat gefälschte Meldeformulare für Datenpannen im Namen großer Unternehmen wie Snowflake, LendingTree und Advanced Auto Parts ausgefüllt und an das System übermittelt. Der kritischste Punkt dabei ist, dass das Portal von Maine diese Einreichungen automatisch und ohne jeglichen Überprüfungsprozess veröffentlichte. Infolgedessen wurden Datenlecks, die in Wirklichkeit nie stattgefunden hatten, auf einer offiziellen Website der Landesregierung so aufgeführt, als wären sie real. Dies führte zu erheblicher Verwirrung sowohl bei den genannten Unternehmen als auch in der Öffentlichkeit. Die Unternehmen sahen sich plötzlich mitten in einem Vorfall, an dem sie unbeteiligt waren, und waren gezwungen, umgehend Dementis zu veröffentlichen.
Nachdem die Generalstaatsanwaltschaft von Maine die Situation erkannt hatte, entfernte sie die gefälschten Meldungen und kündigte an, den Prozess des Systems zu überprüfen. Dieser Vorfall hat jedoch deutlich gezeigt, wie öffentliche Informationsportale missbraucht werden können und wie Systeme, die auf Transparenz ausgelegt sind, zu Waffen für Desinformationskampagnen werden können.
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →Welche Daten wurden kompromittiert
Um es von Anfang an klarzustellen: Bei diesem Vorfall wurden keine tatsächlichen Daten von irgendeinem Unternehmen gestohlen oder kompromittiert. Der gesamte Fall basiert auf betrügerischen Meldungen. Der Inhalt dieser gefälschten Einreichungen war jedoch voll von Behauptungen darüber, was bei einer echten Sicherheitsverletzung hätte offengelegt werden können.
In den von den Angreifern erstellten gefälschten Berichten wurde behauptet, dass Kundennamen, Sozialversicherungsnummern, Finanzinformationen und andere sensible persönliche Daten von den Unternehmen gestohlen worden seien. Diese Behauptungen lösten verständlicherweise eine gewisse Panik in der Öffentlichkeit aus. Die Menschen fragten sich, ob sie Konten bei den genannten Unternehmen hatten und ob ihre Daten gefährdet seien. Dies zeigt die wahre Wirksamkeit der Desinformation; selbst ohne eine echte Sicherheitsverletzung verbreitet sie Angst und Misstrauen.
Daher ist das Einzige, was unter der Überschrift „Welche Daten wurden kompromittiert“ zu diskutieren ist, die Falschaussagen der Angreifer. Es gab keinen Datenabfluss aus den Systemen von Snowflake, LendingTree oder den anderen Unternehmen. Dies war rein ein Angriff auf ihre Reputation und ein Versuch, die Öffentlichkeit in die Irre zu führen.
Wie geschah der Angriff
Obwohl wir dieses Ereignis als „Angriff“ bezeichnen, haben wir es hier mit einem Szenario zu tun, das sich stark von herkömmlichen Cyberangriffen unterscheidet. Die Täter haben sich nicht durch das Schreiben komplexer Codes in Server gehackt oder eine Software-Schwachstelle ausgenutzt. Was sie taten, war viel einfacher: Sie nutzten die Regeln des Systems gegen das System selbst.
Das Meldeportal für Datenpannen des Generalstaatsanwalts von Maine besteht aus einem öffentlichen Webformular. Laut Gesetz sind Unternehmen, die eine Datenpanne erleiden, verpflichtet, dieses Formular auszufüllen, um den Staat und die Öffentlichkeit zu informieren. Genau das taten die Angreifer. Sie griffen wie jeder andere Bürger auf das Portal zu und füllten das Formular im Namen der von ihnen anvisierten Unternehmen aus. Im Formular verwendeten sie erfundene Szenarien für Sicherheitsverletzungen und gefälschte Kontaktinformationen.
Die eigentliche Schwachstelle lag im System von Maine selbst. Dem Portal fehlte ein Mechanismus zur Überprüfung der Echtheit der eingereichten Meldungen, oder falls einer vorhanden war, wurde er nicht angewendet. Jedes eingereichte Formular wurde automatisch genehmigt und der öffentlichen Liste hinzugefügt. Die Angreifer entdeckten diese „hypertransparente“, aber „unkontrollierte“ Natur des Systems und nutzten sie als Waffe. Mit anderen Worten, es handelte sich weniger um einen technischen Hack als vielmehr um die Ausnutzung einer Prozess- und Vertrauensschwachstelle. Ein System, das auf der Annahme beruhte, dass jeder korrekte Informationen eingeben würde, wurde von böswilligen Akteuren leicht manipuliert.
Wer war betroffen
Diese Kampagne mit gefälschten Meldungen hat mehrere Opfer. Die ersten und offensichtlichsten sind die Unternehmen, deren Namen in diesen betrügerischen Offenlegungen verwendet wurden. Dazu gehören:
- Snowflake: Ein riesiges Unternehmen für Cloud-basiertes Data Warehousing.
- LendingTree: Ein Online-Kreditmarktplatz.
- QuoteWizard: Eine Plattform zum Vergleich von Versicherungen.
- Advanced Auto Parts: Ein Einzelhändler für Kfz-Ersatzteile.
Diese Unternehmen mussten, obwohl sie keine Sicherheitsverletzung erlitten hatten, schnell handeln, um ihre Reputation zu schützen und öffentliche Dementis abzugeben. Dies bedeutet einen Verlust von Zeit und Ressourcen.
Zweitens sind auch der Staat Maine und seine Generalstaatsanwaltschaft Opfer. Die Tatsache, dass ein offizielles staatliches Portal so leicht für Desinformation genutzt werden konnte, wirft einen Schatten auf die Glaubwürdigkeit der Institution. Sie stehen nun vor der Aufgabe, ihren Meldeprozess neu zu gestalten und die Sicherheit zu erhöhen.
Schließlich ist das größte Opfer wohl die Öffentlichkeit. Die Menschen sind verunsichert, welchen Informationen sie vertrauen können. Zu sehen, dass selbst Informationen aus einer offiziellen Quelle gefälscht sein können, untergräbt das Vertrauen in Cybersicherheitsmeldungen im Allgemeinen. Es besteht die Gefahr, dass die Leute bei der nächsten echten Meldung über eine Sicherheitsverletzung denken: „Ist diese auch gefälscht?“
Was Sie tun können
Desinformationskampagnen wie diese erinnern uns alle daran, in der digitalen Welt vorsichtiger zu sein. Hier sind Schritte, die Sie in dieser und ähnlichen Situationen unternehmen können:
- Vertrauen Sie nicht einer einzigen Quelle: Auch wenn Sie einen Bericht über ein Datenleck auf einem offiziellen Portal sehen, geraten Sie nicht sofort in Panik. Überprüfen Sie, ob die Nachricht von anderen seriösen Tech-Nachrichtenseiten oder direkt auf den offiziellen Kanälen des Unternehmens (Website, Pressemitteilungen, Social-Media-Konten) bestätigt wurde.
- Warten Sie auf die Erklärung des Unternehmens: Wenn ein Unternehmen eine Datenpanne erleidet, gibt es in der Regel eine offizielle öffentliche Erklärung ab. Handeln Sie nicht, bevor diese Ankündigung erfolgt. Maßnahmen wie das Ändern Ihrer Passwörter oder das Schließen Ihres Kontos aufgrund von Falschmeldungen können unnötig sein.
- Seien Sie vorsichtig bei verdächtigen E-Mails: Gefälschte Nachrichten über Sicherheitsverletzungen bereiten oft den Boden für Phishing-Angriffe. Angreifer könnten die durch die Falschmeldungen ausgelöste Panik nutzen, um Ihnen betrügerische E-Mails wie „Sichern Sie jetzt Ihr Konto“ zu senden. Klicken Sie niemals auf Links in solchen E-Mails.
- Nutzen Sie die Datenleck-Suche mit Bedacht: Wenn Sie neugierig sind, ob Ihre Informationen gestohlen wurden, können Sie zuverlässige Plattformen nutzen. Zum Beispiel zeigt eine Datenleck Suche, ob Ihre E-Mail-Adresse oder Telefonnummer in *bestätigten* und *echten* Lecks aufgetaucht ist. Gefälschte Meldungen wie der Vorfall in Maine würden in solchen Datenbanken nicht erscheinen, da tatsächlich keine Daten kompromittiert wurden.
Was die Unternehmen sagen
Die betroffenen Unternehmen gaben unmittelbar nach der Veröffentlichung der gefälschten Meldungen Erklärungen ab, um die Situation zu klären.
So teilte LendingTree BleepingComputer in einer Erklärung mit, dass die Meldung in Maine nicht von ihnen eingereicht wurde und dass sie keine Datenpanne erlitten hätten. Das Unternehmen fügte hinzu, dass die Meldung betrügerisch sei und dass sie deren sofortige Entfernung durch die Generalstaatsanwaltschaft von Maine beantragt hätten.
Ähnlich gaben auch andere Unternehmen bekannt, dass diese Meldungen unbegründet seien und dass sie keine Sicherheitsprobleme in ihren Systemen festgestellt hätten. Diese schnellen und klaren Dementis spielten eine entscheidende Rolle dabei, die weitere Verbreitung der Desinformation zu verhindern.
Die Generalstaatsanwaltschaft von Maine räumte in einer Erklärung ein, dass „einige unbestätigte Meldungen über Datenpannen auf ihrer Website veröffentlicht wurden“. Sie gaben an, dass die gefälschten Meldungen entfernt worden seien und dass sie ihren Meldeprozess überprüfen, um ein erneutes Vorkommen zu verhindern. Dieser Vorfall dient auch öffentlichen Einrichtungen als Lektion: Transparenz und Geschwindigkeit dürfen nicht auf Kosten von Überprüfungsmechanismen gehen.