Wie wurde das Rote Kreuz gehackt?

Die Datenschutzverletzung des Internationalen Komitees vom Roten Kreuz (IKRK) im Januar 2022 wurde durch eine nicht gepatchte kritische Schwachstelle im Single Signe-In-Tool verursacht, das von Zoho, einem Unternehmen für die Entwicklung von Unternehmenssoftware, entwickelt wurde.

Nachdem sie die Schwachstelle (CVE-2021-40539) ausgenutzt hatten, setzten die Cyberkriminellen offensive Sicherheitstools ein, um Zugriff auf die Kontaktdatenbank des IKRK zu erhalten, was zur Kompromittierung von mehr als 515.000 Personen weltweit führte.

Offensive Sicherheitstools werden von Penetrationstestern verwendet, um Systemschwachstellen zu entdecken, die potenziell von Cyberkriminellen ausgenutzt werden könnten.

Die Raffinesse dieser offensiven Tools und Verschleierungstechniken, die zur Verhinderung der Erkennung eingesetzt werden, ist nur einer kleinen Anzahl von Advanced Persistent Threat (APT)-Gruppen zugänglich, was darauf hindeutet, dass es sich wahrscheinlich um einen staatlich geförderten Angriff handelte.

Erfahren Sie mehr über Advanced Persistent Threats >

"Die Hacker nutzten beträchtliche Ressourcen, um auf unsere Systeme zuzugreifen, und wandten Taktiken an, die die meisten Erkennungstools nicht verstanden hätten."
- Auszug aus der Erklärung des IKRK zu Datenschutzverletzungen.

Wie kam es zu der Datenschutzverletzung beim Roten Kreuz?

Die folgende Sequenz führte wahrscheinlich zu der Datenschutzverletzung des Roten Kreuzes.

Staatlich geförderte Hacker haben es auf einen Schweizer Auftragnehmer abgesehen, der zur Speicherung von Daten für das Internationale Komitee vom Roten Kreuz verwendet wird.
Der Netzwerkzugriff wird durch Ausnutzung einer ungepatchten kritischen Schwachstelle CVE-2021-40539 erreicht.
Es werden offensive Sicherheitstools eingesetzt, die die Bedrohungsakteure als legitime interne Benutzer tarnen.
Angriffstools, die die Bedrohungsakteure als Administratoren tarnen, ermöglichen den Zugriff auf eine Datenbank mit 515.000 Personen, obwohl diese verschlüsselt ist. Zu den kompromittierten Daten gehörten Details von Personen, die aufgrund von bewaffneten Konflikten, Naturkatastrophen oder Migration Dienstleistungen der Internationalen Rotkreuz- und Rothalbmondbewegung in Anspruch nahmen.
70 Tage nach der Sicherheitsverletzung entdeckt der externe Cybersicherheitsdienst des IKRK eine verdächtige Anomalie auf IKRK-Servern, die sensible Daten enthalten.
Ein tiefer Einblick in die Anomalie bestätigt die Kompromittierung des IKRK-Servers und der darin enthaltenen sensiblen Daten am 9. November 2021.
Kompromittierte Server werden offline genommen.

Erfahren Sie, wie die Sicherheitslage Ihrer Organisation im Vergleich zu der des IKRK abschneidet. Sehen Sie sich den Sicherheitsbericht des IKRK an.

So verhindern Sie einen Vorfall nach der Datenschutzverletzung des Roten Kreuzes

Aus der Datenschutzverletzung des Roten Kreuzes lassen sich eine Reihe wichtiger Lehren ziehen. Die Anwendung auf Ihr Cybersicherheitsprogramm könnte Ihrem Unternehmen helfen, ein ähnliches Schicksal zu vermeiden.

1. Verpflichten Sie sich zu einem rigorosen Sicherheitspatch-Programm

Die Schwachstellenmanagementprozesse des IKRK haben es versäumt, den Exploit, der zu dieser Datenschutzverletzung geführt hat, zu erkennen und zu beheben - ein Versäumnis, das wahrscheinlich auf die Schwierigkeit zurückzuführen ist, die komplexen, groß angelegten Patching-Prozesse des IKRK zu verwalten, die jährlich Zehntausende von Patches über mehrere Systeme hinweg betreffen.

Leider haben Cyberkriminelle kein Verständnis für komplexe Cybersicherheitsprobleme. Sie werden jeden Exploit, den sie entdecken, ausnutzen - vor allem, wenn ihre Angriffe gut geplant und zielgerichtet sind, was in diesem Fall der Fall zu sein scheint.

Bewerten Sie Ihre aktuelle Routine zum Patchen von Schwachstellen, um sicherzustellen, dass neue kritische Schwachstellen, die in der National Vulnerability Database (NVD) veröffentlicht werden, schnell behoben werden können.

2. Befolgen Sie einen regelmäßigen Zeitplan für Penetrationstests

Obwohl das IKRK über ein mehrstufiges Cyber-Abwehrsystem verfügte, das aus Endpunktüberwachungs- und Scan-Software besteht, wurde das IKRK immer noch verletzt. Es ist zwar fair, den Erfolg des Angriffs auf ungewöhnlich ausgeklügelte Hacking-Techniken und nicht auf die Unzulänglichkeit des Cybersicherheitsprogramms des IKRK zurückzuführen, aber dieses Ereignis unterstreicht, wie wichtig es ist, Backup-Prozesse zur Erkennung von Sicherheitslücken zu haben, falls interne Bemühungen scheitern.

Legen Sie einen regelmäßigen Penetrationstestplan fest, um Netzwerk-, System- und Anwendungsschwachstellen in Ihrem gesamten IT-Ökosystem zu erkennen. Die Methoden der Penetrationstests sollten der Komplexität der Cyberangriffe entsprechen, die wahrscheinlich auf Ihr Unternehmen abzielen. Branchen mit hohem Risiko für Datenschutzverletzungen wie Finanzen, Gesundheitswesen und Technologie sollten davon ausgehen, dass sie von hochkomplexen Cyberangreifern ins Visier genommen werden.

Wenn Sie es vorziehen, Pen-Tests intern zu verwalten, anstatt sie an einen Drittanbieter auszulagern, sollten Sie die folgenden anstößigen Sicherheitstools kennen:

Metasploit: Ein Open-Source-Framework zum Entwickeln, Testen und Ausführen von Exploits
Nessus: Ein Schwachstellenscanner, der Schwachstellen in Netzwerken und Systemen identifizieren und bewerten kann
Maltego: Ein Tool für Open-Source-Intelligence- und forensische Analysen
Aircrack-ng: Eine Suite von Tools zum Cracken von drahtlosen Netzwerken
Kain und Abel: Ein Werkzeug zum Knacken von Passwörtern
John the Ripper: Ein schnelles Tool zum Knacken von Passwörtern
Social Engineer Toolkit (SET): Ein Tool zur Durchführung von Social-Engineering-Angriffen

3. Implementieren Sie Advanced Persistent Threat Controls.

Zur Abwehr von APTs ist es wichtig, eine mehrschichtige Sicherheitsstrategie zu implementieren, die Folgendes umfasst:

Netzwerksegmentierung: Segmentieren Sie Ihr Netzwerk in kleinere Subnetze, um laterale Bewegungen und die Erkennung sensibler Ressourcen zu verschleiern.

Regelmäßige Risikobewertungen: Identifizierung von Schwachstellen in Ihrem internen Netzwerk und im Netzwerk von Drittanbietern, um Angriffsvektoren zu identifizieren, die potenzielle Malware-Injektionen erleichtern

Lösungen zur Erkennung fortschrittlicher Bedrohungen: Einsatz fortschrittlicher Lösungen zur Erkennung und Reaktion auf Bedrohungen, wie z. B. Intrusion Detection and Prevention Systems (IDPS) und Endpoint Detection and Response (EDR)-Lösungen.
Sicherheitsbewusstsein und -aufklärung: Aufklärung Ihrer Mitarbeiter über die Risiken von APTs und darüber, wie sie verdächtige Aktivitäten erkennen und melden können.

Regelmäßige Backups: Sichern Sie Ihre Daten regelmäßig, um die Wiederherstellung zu beschleunigen, wenn Systeme kompromittiert werden.