Maine schaltet Portal für Datenlecks wegen Fake-Meldungen ab

Was ist passiert

In der Welt der Cybersicherheit können die Dinge manchmal seltsam werden. Manchmal kann genau der Schritt, den man zur Lösung eines Problems unternimmt, ein anderes auslösen. Was im Bundesstaat Maine passiert ist, ist ein perfektes Beispiel dafür. Die Generalstaatsanwaltschaft von Maine sah sich gezwungen, das Online-Portal auszusetzen, das sie für Bürger eingerichtet hatte, um zu überprüfen, ob sie von einem großen Datenleck betroffen sind. Der Grund ist ziemlich ironisch: Das Portal wurde absichtlich von Unbekannten mit gefälschten Meldungen über Datenlecks überflutet.

Im Mittelpunkt des Problems steht ein massives Datenleck aus dem letzten Jahr, das etwa 1,3 Millionen Einwohner von Maine betraf. Dieser Vorfall zielte auf die Systeme der Landesregierung ab. Nach diesem riesigen Leck richteten die Behörden ein Meldeportal für Datenschutzverletzungen ein, um den Bürgern zu helfen und für Transparenz zu sorgen. Theoretisch war dieses Portal eine großartige Idee. Bürger konnten ihre persönlichen Daten eingeben, um herauszufinden, welche ihrer Daten kompromittiert wurden, und notwendige Vorkehrungen treffen. Aber die Dinge liefen nicht wie geplant.

Unbekannte Akteure nahmen dieses gut gemeinte System ins Visier. Sie begannen, gefälschte Meldungen über Datenlecks im Namen nicht existierender Unternehmen an das Portal zu senden. Schlimmer noch, in diesen gefälschten Meldungen verwendeten sie die echten persönlichen Daten von Bürgern aus Maine, die bei dem großen Leck von 2023 gestohlen worden waren. Das bedeutete, dass ein Einwohner von Maine, der das Portal aufrief, um seine Informationen zu überprüfen, mit einer Benachrichtigung über ein Datenleck von einem Unternehmen konfrontiert wurde, von dem er noch nie gehört hatte – ein Leck, das nie wirklich stattgefunden hatte. Dies führte natürlich zu immenser Verwirrung und Panik. Die Menschen begannen sich zu fragen, ob ihre bereits einmal gestohlenen Daten nun auch von anderen Orten durchsickerten.

Angesichts dieser absichtlichen Desinformationskampagne traf die Generalstaatsanwaltschaft von Maine die radikale Entscheidung, das Portal vollständig zu deaktivieren. In einer Erklärung wurde erläutert, dass das Portal mit „falschen und verwirrenden Informationen“ gefüllt wurde und dass dies den Bürgern, die es schützen sollte, mehr schadete als nützte. Die Abschaltung des Portals stoppte einerseits die Verbreitung gefälschter Benachrichtigungen, schnitt aber andererseits Millionen von Betroffenen den primären Informationskanal ab.

Kompromittierte Daten

Hier muss man klar sein: Bei diesem neuen Vorfall, der zur Abschaltung des Portals führte, gab es kein neues Datenleck. Das Problem war der Missbrauch von Daten, die bereits bei dem großen Leck von 2023 gestohlen worden waren. Daher sind die gefährdeten Daten dieselben, die bei diesem ursprünglichen Vorfall kompromittiert wurden.

Welche Daten wurden also bei diesem Leck preisgegeben? Die Liste ist ziemlich lang und enthält sensible Informationen. Die folgenden kritischen Informationen der 1,3 Millionen betroffenen Einwohner von Maine fielen in die Hände von Cyberkriminellen:

• Sozialversicherungsnummern (SSN): Dies ist vielleicht die kritischste Datenart. Eine SSN ist eine grundlegende Information zur Überprüfung der Identität einer Person und kann für betrügerische Aktivitäten wie die Eröffnung gefälschter Kreditkonten oder illegale Beschäftigungsversuche verwendet werden.
• Führerschein- oder Personalausweisnummern des Bundesstaates: Diese Nummern spielen auch eine Schlüsselrolle beim Identitätsdiebstahl. Sie können zur Erstellung gefälschter Ausweise, zur Ausstellung von Strafzetteln auf Ihren Namen oder sogar zur Nachahmung Ihrer Person in Gerichtsverfahren verwendet werden.
• Geburtsdaten: In Kombination mit anderen persönlichen Informationen wird ein Geburtsdatum oft verwendet, um die Identität einer Person zu überprüfen oder Sicherheitsfragen zu beantworten.
• Steueridentifikationsnummern: Diese Information öffnet die Tür zu schwerwiegendem Finanzbetrug, wie z. B. der Einreichung betrügerischer Steuererklärungen in Ihrem Namen.
• Medizinische Informationen und Krankenversicherungsdaten: Diese Art von Daten ist äußerst privat. Betrüger können diese Informationen nutzen, um medizinische Leistungen in Ihrem Namen zu erhalten, betrügerische Versicherungsansprüche einzureichen oder Sie sogar zu erpressen.

Die Verwendung dieser Daten in gefälschten Benachrichtigungen stellt für die Opfer einen doppelten Schlag dar. Menschen, die bereits mit dem Stress des Datendiebstahls leben, sehen nun, wie dieselben Daten als Desinformationswaffe gegen sie eingesetzt werden.

Wie ist der Angriff abgelaufen

Man sollte diesen Vorfall nicht als klassischen Cyberangriff betrachten. Es wurde kein komplexer Code oder Exploit verwendet. Die Angreifer nutzten keine Schwachstelle im System aus, sondern dessen Logik und Zweck. Obwohl die vollständigen technischen Details nicht bekannt gegeben wurden, kann der Ablauf des Vorfalls basierend auf dem Quellenbericht wie folgt zusammengefasst werden:

Die Angreifer hatten zunächst Zugriff auf die Datenbank, die aus dem großen Maine-Leck von 2023 stammte. Diese Datenbank enthielt die sensiblen Informationen von 1,3 Millionen Menschen. Dann analysierten sie, wie das Meldeportal für Datenlecks der Generalstaatsanwaltschaft von Maine funktionierte. Das Portal ermöglichte es wahrscheinlich Unternehmen oder Organisationen, Datenlecks als gesetzliche Verpflichtung zu melden. Die Angreifer griffen auf dieses System zu und erstellten gefälschte Meldungen im Namen von Unternehmen, die entweder nicht existierten oder keine Verbindung zum Vorfall hatten. Zum Beispiel könnten sie eine Meldung für ein fiktives Unternehmen namens „X Market“ einreichen, in der behauptet wird: „Unsere Kundendaten wurden kompromittiert.“ Der entscheidende Punkt war das Hinzufügen der Namen, SSNs und anderer Details echter Bürger von Maine aus ihrer gestohlenen Datenbank zur Liste der „betroffenen Personen“ dieser gefälschten Meldung. Infolgedessen verarbeitete das System diese gefälschte Einreichung als reales Ereignis und versandte Warnungen an die relevanten Personen.

Dies ist eine Form der psychologischen Kriegsführung. Das Ziel ist, das Vertrauen in das System zu untergraben, die Ressourcen der Behörden zu verschwenden und, was am wichtigsten ist, Angst und Panik unter einer bereits geschädigten Bevölkerung zu verbreiten. Als Bürger wissen Sie bereits, dass Ihre Daten gestohlen wurden. Aber stellen Sie sich vor, Sie erhalten dann einen ständigen Strom neuer Benachrichtigungen über Datenlecks von Dutzenden verschiedener Orte, von denen Sie noch nie gehört haben. Das würde die Bewältigung der Situation unmöglich machen und ein Umfeld tiefen Misstrauens schaffen.

Wer ist betroffen

Wir können die von diesem Vorfall betroffene Gruppe in mehrere Kategorien einteilen:

1. Einwohner von Maine: Die Hauptopfer sind die 1,3 Millionen Einwohner von Maine, die vom Leck 2023 betroffen sind. Diese Menschen, die bereits mit dem Diebstahl ihrer Daten zu kämpfen haben, müssen nun auch mit der durch gefälschte Benachrichtigungen verursachten Verwirrung und Angst fertig werden. Sie haben das Vertrauen in das Portal verloren und können nicht mehr zwischen wahren und falschen Informationen unterscheiden.

2. Die Generalstaatsanwaltschaft von Maine und Staatsbeamte: Auch diese Institutionen sind Opfer. Ein Unterstützungsmechanismus, den sie in gutem Glauben eingerichtet hatten, wurde in eine Waffe gegen sie verwandelt. Die Verwaltung des Portals, die Untersuchung gefälschter Einreichungen und nun die Abschaltung und Neukonfiguration des Systems führen zu einer erheblichen Verschwendung von Ressourcen und Zeit. Darüber hinaus schadet der Vorfall dem öffentlichen Ansehen der Institution.

3. Die allgemeine Öffentlichkeit: Vorfälle wie dieser untergraben das Vertrauen der Öffentlichkeit in offizielle Institutionen und digitale Dienste im Allgemeinen. Die Bürger beginnen zu hinterfragen, ob selbst die von der Regierung bereitgestellten Cybersicherheits-Tools sicher sind. Dieser Mangel an Vertrauen kann es der Öffentlichkeit erschweren, bei zukünftigen, echten Datenlecks mit den Behörden zusammenzuarbeiten.

Was können Sie tun

Wenn Sie in Maine leben und von dieser Situation betroffen sind, gibt es Schritte, die Sie ohne Panik unternehmen können. Das Portal ist nicht mehr in Betrieb, daher sind Ihre Informationskanäle begrenzt, aber Sie können immer noch etwas tun, um sich zu schützen.

• Folgen Sie den offiziellen Kanälen: Die offizielle Website und die Pressemitteilungen der Generalstaatsanwaltschaft von Maine sind Ihre zuverlässigsten Informationsquellen. Vertrauen Sie keinen Informationen, die Sie in sozialen Medien oder in verdächtigen E-Mails sehen. Seien Sie geduldig, bis die Behörden eine neue Lösung oder Kommunikationsmethode als Ersatz für das Portal bekannt geben.
• Frieren Sie Ihre Kreditauskünfte ein: Wenn Sie sicher sind, dass Ihre Daten gestohlen wurden, ist die wirksamste Maßnahme, sich an die drei großen Kreditauskunfteien – Experian, TransUnion und Equifax – zu wenden und Ihre Kreditauskünfte einzufrieren. Dies verhindert, dass ohne Ihre Erlaubnis neue Kredit- oder Kartenanträge in Ihrem Namen gestellt werden.
• Ignorieren Sie verdächtige Benachrichtigungen: Wenn Sie vor der Abschaltung des Portals eine Benachrichtigung über ein Datenleck von einem Unternehmen erhalten haben, von dem Sie noch nie gehört haben, ignorieren Sie diese vorerst. Es war wahrscheinlich Teil der Kampagne mit gefälschten Benachrichtigungen.
• Überwachen Sie Ihre Konten: Überprüfen Sie regelmäßig Ihre Bankkonten, Kreditkartenabrechnungen und andere Finanzkonten. Wenn Sie eine Transaktion sehen, die Sie nicht erkennen, wenden Sie sich sofort an das entsprechende Institut.
• Nutzen Sie Tools von Drittanbietern: Während das offizielle Portal außer Betrieb ist, können Sie vertrauenswürdige Plattformen nutzen, um zu überprüfen, ob Ihre E-Mail-Adresse oder Telefonnummer in anderen Lecks aufgetaucht ist. Beispielsweise kann Ihnen eine Datenleck Suche helfen, herauszufinden, von welchen Lecks Sie betroffen sind. Dies ist auch ein guter Schritt für Ihre allgemeine digitale Hygiene.

Was sagt das Unternehmen

In diesem Fall wäre es genauer zu sagen, „was die staatliche Behörde sagt“ anstelle von „Unternehmen“. Das Büro des Generalstaatsanwalts von Maine, Aaron Frey, gab eine Erklärung zu diesem Thema ab. Die Erklärung war klar und fasste die Situation gut zusammen. Das Büro des Generalstaatsanwalts bestätigte, dass das Portal „absichtlich von einer unbekannten Partei mit falschen und irreführenden Informationen ins Visier genommen wurde“. Es wurde darauf hingewiesen, dass diese Aktion darauf abzielte, „Verwirrung und Angst unter den Bürgern zu stiften“.

In der Erklärung wurde betont, dass der Grund für die vorübergehende Deaktivierung des Portals der Schutz der Öffentlichkeit vor dieser Fehlinformation war. Die Beamten erklärten, dass sie daran arbeiten, das Portal wieder sicher und zuverlässig zu machen. Ihr Plan ist es, einen Verifizierungsprozess für Organisationen hinzuzufügen, die eine Benachrichtigung einreichen möchten. Dies soll sicherstellen, dass nur verifizierte, legitime Unternehmen und Institutionen Meldungen über Datenlecks über das System senden können. Es wurde jedoch kein konkretes Datum genannt, wann dieses neue System eingeführt wird.

Dieser Schritt der Generalstaatsanwaltschaft unterstreicht das empfindliche Gleichgewicht, das sie zwischen Transparenz und Sicherheit zu finden versucht. Einerseits wollen sie die Öffentlichkeit informieren, andererseits müssen sie den Missbrauch genau dieses Informationskanals verhindern. Dieser Vorfall zeigt einmal mehr, dass der Kampf in der Cybersicherheit nicht nur technische, sondern auch soziale und psychologische Dimensionen hat.

Quelle

https://www.securityweek.com/maine-disables-data-breach-portal-due-to-fake-submissions/