Maine schaltet Datenpannen-Portal wegen gefälschter Meldungen ab

Was ist passiert

In einem in der Technologiewelt seltenen Schritt hat die Regierung des US-Bundesstaates Maine angekündigt, ihr Online-Portal, über das Unternehmen offiziell Datenpannen melden, auf unbestimmte Zeit auszusetzen. Aber warum? Weil eine Hackergruppe das System geknackt hat? Nein. Die Situation ist diesmal weitaus bizarrer. Das Portal wurde regelrecht mit einer Flut gefälschter Meldungen über Datenpannen bombardiert, die absichtlich von einer unbekannten Person oder Gruppe gesendet wurden.

Normalerweise dienen solche Portale als Brücke für Unternehmen, die von einer Datenpanne betroffen sind, um ihre gesetzlichen Verpflichtungen zu erfüllen. Wenn ein Unternehmen einem Cyberangriff zum Opfer fällt und Kundendaten kompromittiert werden, ist es gesetzlich verpflichtet, dies den staatlichen Behörden zu melden. Genau diese Funktion erfüllte das Portal von Maine. Das System wurde jedoch von böswilligen Akteuren in ein Desinformationsinstrument umgewandelt. Als die Beamten feststellten, dass viele der eingehenden Meldungen unbegründet waren und im Namen von Unternehmen eingereicht wurden, bei denen tatsächlich keine Panne stattgefunden hatte, blieb ihnen keine andere Wahl, als das System abzuschalten. Stellen Sie sich vor, jemand würde wiederholt einen Feueralarm auslösen, ohne dass es brennt. Nach einer Weile besteht die Gefahr, einen echten Brand zu übersehen. Die Regierung von Maine sah sich genau diesem Risiko ausgesetzt: Echte Datenpannen hätten in der Flut der Falschmeldungen untergehen können.

Dieses Ereignis offenbart eine neue Art von Bedrohung in der Cybersicherheitswelt, die über klassische Angriffsvektoren hinausgeht und auf Social Engineering und Systemmanipulation basiert. Anstatt gewaltsam in ein System einzudringen, nutzen die Angreifer die eigenen Regeln und Funktionen des Systems gegen es aus. Dies ist eine Taktik, die schwer zu erkennen ist und das Potenzial hat, das öffentliche Vertrauen grundlegend zu erschüttern. Das Büro des Generalstaatsanwalts hat kein klares Datum für die Wiedereröffnung des Portals genannt und erklärt, dass derzeit an Maßnahmen zur Verbesserung seiner Sicherheit gearbeitet wird.

Welche Daten wurden kompromittiert

Unter dieser Überschrift sprechen wir normalerweise über gestohlene Kreditkartennummern oder Sozialversicherungsdaten. In diesem Fall ist die Situation jedoch anders. Bei diesem Vorfall in Maine gibt es keine Beweise dafür, dass Daten von Bürgern oder Unternehmen kompromittiert wurden. Tatsächlich handelt es sich bei dem Vorfall selbst nicht um eine Datenpanne, sondern um den Missbrauch des Meldemechanismus für Datenpannen.

Es gibt also keine direkt „kompromittierten Daten“. Das Problem sind die Daten, die in den gefälschten Meldungen *angeblich* kompromittiert wurden. Unbekannte Personen schickten Meldungen, als ob große Unternehmen gehackt und die Daten von Millionen von Nutzern gestohlen worden wären. Der Inhalt dieser Meldungen wurde nicht veröffentlicht, aber ihr Zweck ist ziemlich klar: Panik und Chaos zu stiften, den Ruf von Unternehmen zu schädigen und die Ressourcen von Regierungsbehörden zu verschwenden. Diese Falschmeldungen beschäftigten die Beamten mit nicht existierenden Krisen und lenkten ihre Aufmerksamkeit von echten Bedrohungen ab. Mit anderen Worten, es wurden keine Daten gestohlen, aber es wurde etwas viel Wertvolleres ins Visier genommen: Vertrauen. Das Ziel war es, das Vertrauen, das Bürger, Unternehmen und die Regierung ineinander und in die bestehenden Systeme haben, zu untergraben.

Wie erfolgte der Angriff

Obwohl es zutreffend ist, dieses Ereignis als „Angriff“ zu bezeichnen, sollten Sie sich keinen komplexen Code, Zero-Day-Schwachstellen oder fortschrittliche Malware vorstellen. Nach den verfügbaren Informationen haben die Angreifer keine technischen Maßnahmen wie das Umgehen der Firewalls des Portals oder das Hacken einer Datenbank durchgeführt. Stattdessen nutzten sie das öffentlich zugängliche Meldeformular des Portals.

Die technischen Details des Angriffs wurden noch nicht öffentlich gemacht, aber es ist sehr wahrscheinlich, dass die Täter das System lahmlegten, indem sie nacheinander im Namen verschiedener Unternehmen Meldungen über Datenpannen einreichten. Dies ist im Grunde die Nutzung des Systems genau so, wie es konzipiert wurde, aber mit absolut böswilliger Absicht. Der Vorfall offenbarte auch, wie schwach die Authentifizierungsmechanismen des Portals waren. Anscheinend gab es keinen starken Kontrollmechanismus, um zu überprüfen, ob die meldende Person wirklich das betreffende Unternehmen vertrat. Es scheint, dass es für jeden möglich war, sich ein Katastrophenszenario im Namen eines beliebigen Unternehmens auszudenken und es dem Staat über einen offiziellen Kanal zu melden. Diese Situation zeigt schmerzlich, dass digitale Plattformen, die öffentliche Dienstleistungen anbieten, nicht nur vor Cyberangriffen, sondern auch vor dieser Art von manipulativem und böswilligem Gebrauch geschützt werden müssen. Die Behörden erwägen nun, dem Meldeverfahren strengere Schritte zur Identitätsprüfung hinzuzufügen.

Wer ist betroffen

Die Opfer dieses ungewöhnlichen Angriffs sind ebenfalls vielfältig. Während es auf den ersten Blick so aussehen mag, als sei nur die Regierung von Maine betroffen, erstreckt sich der Welleneffekt auf ein viel breiteres Publikum.

• Die Regierung von Maine: Relevante staatliche Behörden, insbesondere das Büro des Generalstaatsanwalts von Maine, mussten erhebliche Zeit und Ressourcen aufwenden, um diese Falschmeldungen zu untersuchen. Dies bedeutet, dass Personal von echten und dringenden Cybersicherheitsvorfällen abgezogen wurde.
• Die Öffentlichkeit in Maine: Für die Bürger war dieses Portal ein wichtiges Transparenzinstrument, um zu erfahren, welche Unternehmen ihre Daten nicht schützen konnten. Mit der Schließung des Portals wurde dieser Informationsfluss unterbrochen. Die Menschen sind nun mit der Unsicherheit konfrontiert, wie sie über eine legitime Datenpanne informiert werden.
• Unternehmen und Firmen: Betroffen waren sowohl die Unternehmen, in deren Namen Falschmeldungen eingereicht wurden, als auch alle anderen in Maine tätigen Unternehmen. Die fälschlicherweise Genannten sahen sich dem Risiko eines ungerechtfertigten Reputationsschadens ausgesetzt. Die anderen wurden im Ungewissen gelassen, wie sie eine echte Datenpanne rechtmäßig melden sollten. Die Nichteinhaltung gesetzlicher Verpflichtungen kann für Unternehmen zu empfindlichen Strafen führen.
• Das Cybersicherheits-Ökosystem: Dieser Vorfall hat das Vertrauen in die Meldeverfahren für Datenpannen im Allgemeinen beschädigt. Andere Bundesstaaten und sogar Länder haben begonnen, sich zu fragen, ob ihre eigenen Meldeportale für ähnlichen Missbrauch anfällig sind.

Was Sie tun können

Da dieser Vorfall nicht direkt auf Ihre persönlichen Daten abzielte, gelten Standardratschläge wie „Ändern Sie sofort Ihr Passwort“ nicht. Dennoch gibt es einige Vorsichtsmaßnahmen, die sowohl Einzelpersonen als auch Organisationen ergreifen können.

• Für Einwohner von Maine: Seien Sie skeptisch gegenüber Nachrichten über Datenpannen. Glauben Sie nicht sofort Behauptungen, die Sie insbesondere in sozialen Medien oder aus ungeprüften Quellen sehen. Verfolgen Sie die Website des Generalstaatsanwalts von Maine und zuverlässige Nachrichtenquellen für offizielle Erklärungen. Es ist ratsam, bis zur Wiedereröffnung des Portals vorsichtig mit Fehlinformationen umzugehen.
• Für Unternehmen in Maine: Wenn bei Ihnen eine Datenpanne auftritt, wenden Sie sich umgehend direkt an das Büro des Generalstaatsanwalts von Maine, um zu erfahren, wie Sie Ihre gesetzliche Meldepflicht erfüllen können, während das Portal offline ist. Holen Sie sich schriftliche Anweisungen, wie Sie den Prozess per E-Mail oder Telefon handhaben sollen. Dokumentieren Sie Ihre gesamte Kommunikation und die unternommenen Schritte.
• Für Organisationen in anderen Bundesstaaten: Überprüfen Sie Ihre eigenen Meldesysteme für Datenpannen. Verfügen Sie über angemessene Mechanismen zur Überprüfung der Identität der meldenden Person? Überlegen Sie, wie Sie Ihr System widerstandsfähiger gegen einen ähnlichen Manipulationsangriff machen können.

Was das „Unternehmen“ sagt

In diesem Fall wird die Rolle des „Unternehmens“ von der Regierung von Maine übernommen, die eine vorsichtige Erklärung zu dem Vorfall abgab. Ein Sprecher des Büros des Generalstaatsanwalts von Maine erklärte, das Meldeportal für Datenpannen sei „vorübergehend deaktiviert worden, um die Integrität des Systems zu schützen und die andauernden böswilligen Aktivitäten zu untersuchen“.

In der Erklärung hieß es weiter: „Wir haben die Verantwortung, eine transparente und sichere Plattform bereitzustellen, der unsere Bürger und Unternehmen vertrauen können. Das derzeitige System wurde auf eine Weise ausgenutzt, die dieses Vertrauen untergräbt. Unsere Teams arbeiten daran, das Portal mit stärkeren Authentifizierungs- und Sicherheitsmaßnahmen wieder online zu bringen.“ Die Beamten fügten hinzu, dass eine Untersuchung eingeleitet wurde, um die Quelle der Falschmeldungen zu finden, lehnten es jedoch ab, Einzelheiten zur Untersuchung preiszugeben. Es bleibt unklar, wann das Portal wieder aktiv sein wird.

Quelle

https://www.bitdefender.com/en-us/blog/hotforsecurity/maine-take-down-data-breach-portal