Offengelegter AWS-Schlüssel trifft 1500 Wohltätigkeitsorganisationen

Was ist passiert

Ein weitreichender Datenvorfall hat den britischen Wohltätigkeitssektor erschüttert. Der Anbieter von Customer-Relationship-Management-Software (CRM) Beacon bestätigte einen Cyberangriff, der seinen gesamten Kundenstamm von über 1500 Wohltätigkeitsorganisationen betraf. Laut einer Erklärung vom 12. August drangen Angreifer in die Cloud-Infrastruktur des Unternehmens ein und verschafften sich Zugang zu allen von diesen Organisationen verwalteten Daten.

Der Vorfall ist ein typisches Beispiel für einen Lieferkettenangriff. Obwohl die Wohltätigkeitsorganisationen selbst nicht das direkte Ziel waren, machte eine Schwachstelle in einer zentralen Softwareplattform, die sie alle nutzen, Tausende von Organisationen gleichzeitig angreifbar. Beacon bietet eine CRM-Plattform, die speziell für gemeinnützige Organisationen entwickelt wurde. Diese Plattformen beherbergen kritische Betriebsdaten, darunter Spendenmanagement, Freiwilligenverfolgung, Veranstaltungsorganisation und Aufzeichnungen über Leistungsempfänger. Folglich bedeutet die Kompromittierung dieses Systems auch die Offenlegung der sensibelsten Informationen dieser Wohltätigkeitsorganisationen.

Welche Daten wurden kompromittiert

Laut der Erklärung von Beacon gelang es den Angreifern, "alle Daten", die in der CRM-Plattform enthalten sind, herunterzuladen. Dies umfasst nicht nur Standard-Kontaktinformationen, sondern auch alle in das System hochgeladenen Anhangsdateien. Dies erhöht den Umfang und die potenziellen Auswirkungen des Vorfalls erheblich.

Die Art der durchgesickerten Daten ist angesichts der Tätigkeitsbereiche der betroffenen Organisationen besonders besorgniserregend. Zum Kundenportfolio von Beacon gehören Einrichtungen, die in hochsensiblen Bereichen tätig sind, wie z. B. Gesundheitsdienstleister und Opferhilfegruppen. Die von solchen Organisationen gespeicherten personenbezogenen Daten können die Identitäten schutzbedürftiger Personen, ihren Gesundheitszustand, erlittene Traumata und Einzelheiten zu den erhaltenen Unterstützungsdiensten umfassen.

Technisch gesehen waren die Daten bei Amazon Web Services (AWS) "at rest" (im Ruhezustand) verschlüsselt. Da die Angreifer jedoch einen gültigen Zugriffsschlüssel erlangten, wurden sie von den AWS-Systemen als autorisierte Benutzer erkannt. Daher entschlüsselte das System die Daten beim Herunterladen automatisch und präsentierte sie den Angreifern in einem lesbaren Format. Dieser Vorfall zeigt einmal mehr, dass die Verschlüsselung im Ruhezustand allein nicht ausreicht und wie entscheidend Zugriffsmanagement und Schlüsselsicherheit sind.

Wie geschah der Angriff

Die Hauptursache des Angriffs scheint ein grundlegendes Sicherheitsversehen zu sein. Laut der ersten Analyse von Beacon wurde der von den Angreifern verwendete AWS-Zugriffsschlüssel potenziell in öffentlichen JavaScript-"Build-Artefakten" offengelegt. Dies deutet auf einen Fehler hin, der während des Softwareentwicklungs- und Bereitstellungsprozesses gemacht wurde.

Während des Build-Prozesses können Entwickler versehentlich sensible Informationen wie API-Schlüssel oder Zugriffstoken in Konfigurationsdateien oder Code-Snippets einfügen. Wenn diese Ausgabe-Artefakte später in ein öffentliches Code-Repository oder auf einen Webserver hochgeladen werden, können Angreifer diese Bereiche scannen, um solche wertvollen Anmeldeinformationen leicht zu finden.

Die Überprüfung der AWS-Kosten- und Nutzungsberichte durch Beacon hat auch den Zeitplan des Angriffs geklärt. Die bösartigen Aktivitäten begannen am 27. Juli um 01:20:16 UTC und dauerten ungefähr 1 Stunde und 27 Minuten. Diese kurze Dauer deutet darauf hin, dass die Angreifer automatisierte Werkzeuge zur schnellen Exfiltration der Daten verwendet haben. Das Unternehmen stellte fest, dass dieser Zeitrahmen mit einem anomalen Anstieg der Daten-Download-Metriken am 27. und 28. Juli korreliert.

Nach der Entdeckung des Vorfalls erklärte Beacon, keine Beweise dafür gefunden zu haben, dass der Angreifer versuchte, in seiner Umgebung persistent zu bleiben. Als Vorsichtsmaßnahme wurden alle Anmeldeinformationen für Dienste und Konten, die mit AWS integriert sind, zurückgesetzt. Dies soll verhindern, dass derselbe Schlüssel oder andere kompromittierte Anmeldeinformationen für zukünftige unbefugte Zugriffe verwendet werden.

Wer ist betroffen

Direkt von dem Angriff betroffen sind die mehr als 1500 in Großbritannien ansässigen Wohltätigkeits- und gemeinnützigen Organisationen, die die CRM-Plattform von Beacon nutzen. Diese Organisationen verwalten eine breite Palette von Daten, von ihren Spendern und Freiwilligen bis hin zu den Personen, denen sie dienen.

Eine der betroffenen Einrichtungen, The Survivor's Trust, gab am 13. August öffentlich bekannt, dass sie von dem Vorfall betroffen ist. Die Organisation, die Opfer von Gewalt unterstützt, gab an, die Situation unverzüglich der britischen Datenschutzbehörde, dem Information Commissioner's Office (ICO), gemeldet zu haben. In der Erklärung wurde darauf hingewiesen, dass das ICO ihren Fall geprüft und die Wohltätigkeitsorganisation nicht für den Vorfall verantwortlich gemacht hat. Diese Entscheidung deutet darauf hin, dass die Verantwortung für den Datenvorfall beim Softwareanbieter Beacon liegt, von dem erwartet wurde, dass er die notwendigen Sicherheitsmaßnahmen getroffen hat.

Beacon hat allen seinen Kunden geraten, den Datenvorfall dem ICO zu melden. Bisher gibt es keine Beweise dafür, dass die gestohlenen Daten online veröffentlicht oder anderweitig missbraucht wurden. Es besteht jedoch weiterhin das Risiko, dass solche Daten in Zukunft für Phishing-Angriffe, Betrug oder Erpressung verwendet werden könnten.

Was Sie tun können

Dieser Vorfall betrifft mehrere Interessengruppen, und für jede Gruppe gibt es unterschiedliche Maßnahmen, die ergriffen werden sollten:

• Betroffene Wohltätigkeitsorganisationen: Wenn Ihre Organisation ein Beacon-Kunde ist, sollten Sie die Anweisungen des Unternehmens sorgfältig befolgen. Sie müssen den Vorfall unverzüglich dem ICO melden und Ihre eigenen Interessengruppen (Spender, Freiwillige, Begünstigte) transparent über die Risiken informieren. Es ist entscheidend, bei der zukünftigen Auswahl von Anbietern die Cybersicherheitsstandards und Auditberichte gründlicher zu prüfen.
• Spender und Freiwillige: Wenn Sie kürzlich an Wohltätigkeitsorganisationen in Großbritannien gespendet oder sich ehrenamtlich engagiert haben, sollten Sie sich bewusst sein, dass Ihre persönlichen Daten möglicherweise kompromittiert wurden. Seien Sie besonders misstrauisch gegenüber E-Mails und Nachrichten, die scheinbar von diesen Organisationen stammen. Antworten Sie niemals auf Anfragen nach Passwörtern, Finanzinformationen oder persönlichen Daten.
• Andere Organisationen und Entwickler: Dieser Vorfall unterstreicht, wie wichtig Sicherheitskontrollen im Software Development Life Cycle (SDLC) sind. Verwenden Sie automatisierte Scan-Tools, um zu verhindern, dass sensible Informationen (Zugriffsschlüssel, Passwörter, API-Token) in Code-Repositories und öffentliche Dateien gelangen. Schulen Sie Ihre Entwickler im Umgang mit Geheimnissen (Secrets Management) und überprüfen und rotieren Sie regelmäßig die Zugriffsschlüssel in Ihrer Cloud-Infrastruktur.

Was das Unternehmen sagt

In seinem Update zum Vorfall vom 12. August zeigte sich Beacon transparent. Das Unternehmen räumte ein, dass die wahrscheinliche Ursache des Angriffs ein in öffentlichen JavaScript-Dateien offengelegter AWS-Zugriffsschlüssel war. Sie deuteten an, dass ein Fehler im Softwareentwicklungsprozess zu dieser Situation geführt habe.

Die Erklärung bestätigte, dass der Angreifer diese gültigen Anmeldeinformationen nutzte, um auf alle Daten und Anhangsdateien der CRM-Plattform zuzugreifen und diese herunterzuladen, wodurch der gesamte Kundenstamm betroffen war. Das Unternehmen betonte, dass die Angreifer nicht versucht hätten, sich im System festzusetzen, und dass alle Anmeldeinformationen nach dem Vorfall zurückgesetzt wurden. Sie fügten hinzu, dass es bisher keine Anzeichen dafür gebe, dass die gestohlenen Daten online veröffentlicht oder anderweitig missbraucht wurden.

Quelle

https://www.infosecurity-magazine.com/news/exposed-aws-key-data-charities/