Accenture bestätigt Datenleck Hacker beansprucht 35 GB Daten
Der Beratungsriese Accenture hat eine Sicherheitsverletzung bestätigt, nachdem ein Hacker behauptete, 35 GB Quellcode und Cloud-Geheimnisse gestohlen zu haben. Obwohl das Unternehmen angibt, dass der Betrieb nicht beeinträchtigt ist, gibt die Art der gestohlenen Daten Anlass zu ernster Sorge.
Was ist passiert
Der globale Beratungs- und Dienstleistungsriese Accenture steht erneut im Rampenlicht, nachdem ein Datenleck behauptet wurde, das Wellen in der Cybersicherheitswelt geschlagen hat. Ein Bedrohungsakteur mit dem Pseudonym "888" gab auf PwnForums, einem beliebten Forum für Cyberkriminalität, bekannt, dass er im Juli 35 Gigabyte sensibler Daten aus den Systemen von Accenture gestohlen und zum Verkauf angeboten habe. Der Beitrag des Angreifers im Forum war direkt und selbstbewusst: "Heute verkaufe ich das Accenture-Datenleck, danke fürs Lesen und viel Spaß!"
Nachdem diese Behauptungen öffentlich wurden, gab Accenture eine kurze Erklärung ab, in der ein Sicherheitsvorfall bestätigt wurde. Das Unternehmen vermied es jedoch, auf die Einzelheiten des Vorfalls einzugehen. Dies wurde in der Branche mit Besorgnis aufgenommen, da Accenture bereits zuvor Ziel von Cyberangriffen war. Im Jahr 2021 wurde das Unternehmen von der Ransomware-Bande LockBit angegriffen, was zur Exfiltration von Daten aus seinen Systemen führte. Interessanterweise ist der Hacker "888", der hinter diesem jüngsten Vorfall steckt, auch dafür bekannt, im Jahr 2024 versucht zu haben, Mitarbeiterdaten von Accenture zu verkaufen, die aus einem Drittanbieter-Leck stammten. Dieses Muster deutet auf ein anhaltendes Interesse von Angreifern an dem Unternehmen hin.
Die exfiltrierten Daten
Laut der Behauptung des Angreifers enthält das 35-GB-Datenpaket quasi die Schlüssel zur digitalen Infrastruktur eines Unternehmens. Die angeblich exfiltrierten Daten umfassen:
- Quellcode: Die grundlegenden Bausteine von Software, die von oder für Accentures Kunden entwickelt wurde. Dieser Code könnte es Angreifern ermöglichen, potenzielle Sicherheitslücken zu entdecken, die Geschäftslogik zu verstehen und benutzerdefinierte Werkzeuge für zukünftige Angriffe zu entwickeln.
- RSA- und SSH-Schlüssel: Kryptografische Schlüssel, die für den sicheren, passwortlosen Zugriff auf Server und andere kritische Systeme verwendet werden. Die Kompromittierung dieser Schlüssel könnte es Angreifern ermöglichen, auf Systeme zuzugreifen, als wären sie legitime Benutzer. Das Risiko wird dadurch verschärft, dass Beratungsunternehmen solche Schlüssel häufig für den Zugriff auf Kundenumgebungen verwenden.
- Azure Personal Access Tokens (PATs) und Azure Storage Access Keys: Digitale Anmeldeinformationen, die den Zugriff auf Ressourcen auf der Microsoft Azure-Cloud-Plattform ermöglichen. Diese Token und Schlüssel können vollen Zugriff auf cloudbasierten Speicher, Code-Repositorys und andere Cloud-Dienste gewähren. Der vom Angreifer geteilte Screenshot, der das Klonen eines Azure DevOps-Repositorys zeigt, stützt diese Behauptung.
- Konfigurationsdateien: Dateien, die definieren, wie Systeme und Anwendungen funktionieren, und die hochsensible Informationen wie Datenbankverbindungszeichenfolgen, API-Schlüssel und Details zur Infrastrukturarchitektur enthalten. Für einen Angreifer sind diese Dateien wie eine Straßenkarte, die die schwächsten Punkte des Systems aufdeckt.
Experten betonen, dass diese Daten in Kombination weit mehr als ein einfaches Datenleck darstellen. Sie liefern Angreifern einen fertigen Bauplan und ein Toolkit, um sowohl in aktuelle Systeme einzudringen als auch zukünftige Angriffe zu planen.
Wie ist der Angriff passiert
Accenture hat keine technischen Details darüber mitgeteilt, wie der Angreifer in seine Systeme eingedrungen ist. Der genaue Angriffsvektor bleibt daher vorerst unbestätigt. Ein vom Bedrohungsakteur geteilter Screenshot liefert jedoch einen wichtigen Hinweis. Das Bild scheint das Klonen eines Azure DevOps-Repositorys mit dem Namen "121123_AtriasTalentAcademy" zu zeigen, das auf einer teilweise geschwärzten accenture.com-Domain gehostet wird.
Angriffe auf solche cloudbasierten Code-Repositorys erfolgen oft über einige gängige Szenarien: kompromittierte Entwickler-Anmeldeinformationen, falsch konfigurierte Zugriffsberechtigungen oder der Missbrauch von Zugriffstoken, die bei einem früheren Leck offengelegt wurden. Es ist noch nicht klar, welche dieser Methoden der Angreifer verwendet hat, aber die Beweise deuten darauf hin, dass die cloudbasierten Entwicklungsumgebungen des Unternehmens der Ausgangspunkt des Angriffs gewesen sein könnten.
Wer ist betroffen
Während Accenture die direkt von der Verletzung betroffene Partei ist, liegt das größte Risiko bei den zahlreichen Kunden, die das Unternehmen betreut. Accenture bietet Tausenden von Unternehmen weltweit Beratungs- und Technologiedienstleistungen an und erhält dabei oft tiefen Zugriff auf Kundensysteme. Die Möglichkeit, dass der gestohlene Quellcode, die Schlüssel und die Konfigurationsdateien zu diesen Kundenprojekten gehören, ist die größte Sorge in der Cybersicherheits-Community.
Das Unternehmen hat keine klare Aussage darüber gemacht, ob Kundenumgebungen betroffen waren. Wenn es den Angreifern gelingt, die SSH- oder Azure-Schlüssel von Accenture zu nutzen, um in das Netzwerk eines Kunden einzudringen, könnte dies zu einer katastrophalen Kettenreaktion führen. Daher haben die indirekten Folgen dieser Verletzung das Potenzial, weitaus verheerender zu sein als die direkten Auswirkungen.
Was Sie tun können
Ein Vorfall dieser Art hält wichtige Lehren für die direkt Beteiligten und für alle Unternehmen im Allgemeinen bereit.
- Für Accenture-Kunden: Wenn Ihr Unternehmen die Dienste von Accenture nutzt, wenden Sie sich sofort an Ihren Accenture-Ansprechpartner und fordern Sie klare Informationen darüber an, ob Ihre Projekte oder Daten von diesem Leck betroffen sind. Als Vorsichtsmaßnahme sollten Sie sofort alle Zugriffsschlüssel, Passwörter und Token, die mit Accenture geteilt wurden, rotieren. Überwachen Sie den Netzwerkverkehr und die Benutzeraktivitäten auf allen von Accenture verwalteten Systemen genau auf verdächtiges Verhalten.
- Für andere Unternehmen: Dieses Ereignis zeigt einmal mehr, wie kritisch die Sicherheit von Cloud- und Softwareentwicklungsumgebungen ist. Erzwingen Sie strenge Zugriffskontrollen für Ihre Quellcode-Repositorys (Azure DevOps, GitHub, GitLab usw.). Machen Sie die Verwendung der Multi-Faktor-Authentifizierung (MFA) für alle kritischen Konten, einschließlich der von Entwicklern und Systemadministratoren, zur Pflicht. Etablieren Sie Richtlinien für die regelmäßige Rotation aller API-Schlüssel, SSH-Schlüssel und Zugriffstoken. Implementieren Sie Systeme, die Ihre Cloud-Umgebungsprotokolle kontinuierlich auf anomale Aktivitäten überwachen.
Was das Unternehmen sagt
In einer Erklärung an die Presse nach dem Vorfall bestätigte Accenture die Situation, verwendete jedoch eine Sprache, die die Auswirkungen herunterzuspielen schien. Ein Unternehmenssprecher sagte: "Wir sind uns dieser isolierten Angelegenheit bewusst und haben ihre Quelle behoben. Es gibt keine Auswirkungen auf den Betrieb und die Dienstleistungserbringung von Accenture."
Obwohl diese Erklärung wichtig ist, da sie das Ereignis anerkennt, lässt sie viele kritische Fragen unbeantwortet. Das Unternehmen ging nicht auf den Umfang des Angriffs ein, welche spezifischen Daten gestohlen wurden und, was am wichtigsten ist, ob Kundendaten oder -umgebungen betroffen waren. Die Betonung des Unternehmens auf "keine betrieblichen Auswirkungen" könnte als Übersehen der potenziellen zukünftigen Risiken interpretiert werden, die die gestohlenen Daten schaffen könnten.
Quelle
Dieser Inhalt wurde mithilfe künstlicher Intelligenz über unsere Argus Flow-Anwendung erstellt. Wir arbeiten kontinuierlich an der Verbesserung von Argus Flow; sollten Sie auf Übersetzungsfehler, falsche Quellen oder unbestätigte Informationen stoßen, können Sie uns dies über die Schaltfläche unten melden. Wir danken Ihnen für Ihr Feedback.