Was hat die Datenschutzverletzung bei der Medibank verursacht?

Der Medibank-Hack begann mit dem Diebstahl von Anmeldeinformationen einer Person mit privilegiertem Zugang zu den internen Systemen der Medibank. Diese Zugangsdaten wurden im Dark Web von einem unbestätigten Käufer verkauft und gekauft, der sie verwendete, um Zugang zum internen System der Medibank zu erhalten.

Sobald er sich im Inneren befand, identifizierte der Bedrohungsakteur den Standort einer Kundendatenbank und verwendete dann die gestohlenen privilegierten Anmeldedaten, um ein Skript zu schreiben, um den Exfiltrationsprozess von Kundendaten zu automatisieren - ein ähnlicher Mechanismus zum Datendiebstahl wurde bei der Optus-Datenschutzverletzung verwendet.

Diese gestohlenen Daten wurden in einer Zip-Datei abgelegt und durch zwei etablierte Hintertüren extrahiert. Das Sicherheitsteam der Medibank soll zu diesem Zeitpunkt verdächtige Aktivitäten entdeckt und beide Hintertüren geschlossen haben, aber nicht, bevor Kundendaten im Wert von 200 GB gestohlen wurden.

9,7 Millionen Medibank-Kunden waren von der Sicherheitsverletzung betroffen. Zu den kompromittierten Datensätzen gehören:

• Namen
• Geburtsdaten
• Passnummern
• Informationen zu Medicare-Ansprüchen

Die Nachricht über den erfolgreichen Angriff wurde auf dem Dark-Web-Blog veröffentlicht, der mit einer Ransomware-Bande in Verbindung steht, die als BlogXX verfolgt wird (eine cyberkriminelle Gruppe, von der angenommen wird, dass es sich um eine Neugründung der berüchtigten Ransomware Gange REVil handelt). Die Hacker veröffentlichten eine Stichprobe der gestohlenen Daten, um die Legitimität ihrer Behauptungen zu beweisen, und forderten die Medibank auf, ein Lösegeld von 10 Millionen US-Dollar zu zahlen, um zu verhindern, dass die gesamte Datenbank frei im Dark Web veröffentlicht wird.

Um die Medibank zur Zahlung des Lösegelds zu zwingen, wird die cyberkriminelle Gruppe weiterhin Segmente der gestohlenen Datenbank veröffentlichen, bis das Lösegeld vollständig bezahlt ist.

Der CEO der Medibank, David Koczkar, gab bekannt, dass sich das Unternehmen geweigert hat, das Lösegeld zu zahlen, da man Cyberkriminellen niemals vertrauen kann, dass sie ihre Versprechen einhalten.

“... Das Bezahlen könnte den gegenteiligen Effekt haben und den Kriminellen dazu ermutigen, unsere Kunden direkt zu erpressen, und es besteht eine große Chance, dass das Bezahlen mehr Menschen in Gefahr bringt, indem Australien zu einem größeren Ziel wird. "

- David Koczkar, CEO der Medibank,

Eine technischere Erklärung des Medibank-Hacks finden Sie in diesem Beitrag.

Diebstahl von Unternehmensdaten: Der Grund, warum der Medibank-Angriff möglich war

Die Datenpanne bei der Medibank wurde durch den Diebstahl interner Anmeldeinformationen ermöglicht, von denen angenommen wird, dass sie einer Person mit privilegiertem Systemzugriff gehören. Der Diebstahl von internen Zugangsdaten ist eines der ersten Ziele fast jedes Cyberangriffs. Es ist noch nicht bestätigt, wie die Medibank-Anmeldeinformationen gestohlen wurden, aber die häufigste Methode zum Diebstahl von Kontoinformationen ist eine Taktik, die als Phishing bekannt ist - eine Art von Cyberangriff, bei dem Hacker betrügerische E-Mails mit bösartigen Links versenden, die zu Websites führen, auf denen Anmeldeinformationen gestohlen werden.

Wenn Hacker "enttäuschende" Kontodaten mit eingeschränkten Benutzerberechtigungen stehlen, verwenden sie diese, um in ein Netzwerk einzudringen und dann heimlich jede Region des Netzwerks zu untersuchen, um nach Anmeldeinformationen mit höheren Privilegien zu suchen, die sie stehlen können - ein Prozess, der als "Lateral Movement" bekannt ist.

Indem sie sofort an privilegierte Kontodaten gelangten, umgingen die Medibank-Hacker die mühsame Phase der lateralen Bewegung des Angriffs und übergingen direkt die letzte Phase der Datenschutzverletzung. Dadurch wurde der Weg der Cyberangriffe verkürzt, so dass der Angriff viel schneller abgeschlossen werden konnte.

Erfahren Sie, wie die Sicherheitslage Ihres Unternehmens im Vergleich zu der von Medibank abschneidet.

Sehen Sie sich den Sicherheitsbericht von Medibank an.

Wie hätte die Datenpanne bei der Medibank verhindert werden können?

Die Zuordnung aller Exploits, die zum Verstoß gegen die Medibank-Bank geführt haben, mit den entsprechenden Sicherheitskontrollen zeigt vier Initiativen, die den Vorfall hätten verhindern können.

1. Schulung zur Sensibilisierung für Cyberbedrohungen

In der Schulung zur Sensibilisierung für Cyberbedrohungen lernen die Mitarbeiter, wie sie Diebstahlversuche von Unternehmensdaten durch Phishing- und Social-Engineering-Angriffe erkennen und richtig darauf reagieren können.

Wir wissen noch nicht, wie die Medicare-Anmeldedaten, die den Verstoß begünstigt haben, gestohlen wurden, aber indem Sie Ihren Mitarbeitern beibringen, wie sie einen Phishing-Angriff erkennen können, schützen Sie Ihr Unternehmen vor der häufigsten Methode des Diebstahls von Anmeldeinformationen.

Erfahren Sie mehr über Phishing-Angriffe >

2. Umsetzung des Prinzips der geringsten Privilegien (POLP)

Das Prinzip der geringsten Rechte ist eine Kontosicherheitsrichtlinie, die den Kontozugriff jedes Mitarbeiters auf das Mindestniveau beschränkt, das für die Ausführung der täglichen Aufgaben erforderlich ist. Dies sollte eine Standard-Sicherheitsrichtlinie für alle australischen Unternehmen sein, da übermäßige Berechtigungen ein erhebliches Sicherheitsrisiko darstellen.

Durch die Verringerung der Wahrscheinlichkeit, dass Hacker die Privilegienausweitungsphase eines Angriffs umgehen, zwingt eine POLP-Richtlinie, dass der gesamte Angriff länger dauert, was die Chancen erhöht, dass wachsame Sicherheitsteams den Angriffsversuch erkennen und abfangen. Das Medibank-Ereignis hat bewiesen, dass es möglich ist, einen Cyberangriff zu unterbrechen, während er sich noch entfaltet, und so den potenziellen Schaden zu reduzieren.

Laut Medibank wurden die Systeme während des Angriffs nicht verschlüsselt, was seltsam ist, wenn man bedenkt, dass es sich bei den Angreifern wahrscheinlich um eine Ransomware-Bande handelte. Ein möglicher Grund dafür ist, dass die Medibank den Angriff unterbrach, bevor er seine letzte Verschlüsselungsphase erreichte, indem sie die von den Cyberkriminellen eingerichteten Hintertüren zur Erleichterung des Angriffs sofort abschaltete.

Erfahren Sie mehr über das Prinzip der geringsten Privilegien >

3. Segmentieren Sie Ihr Netzwerk

Eine Netzwerksegmentierungsstrategie unterteilt ein Netzwerk in verschiedene Segmente oder "Zonen", um das Auffinden und den Zugriff auf sensible Daten zu erschweren. Falls sich eine sensible Zone befindet, sollten Verbindungsanforderungen an diese Region über einen Jump-Server (ein gehärtetes System zur Verwaltung von Verbindungsanforderungen an vertrauliche Zonen) weitergeleitet werden, um das Risiko einer Kompromittierung weiter zu verringern.

Erfahren Sie mehr über Best Practices für die Netzwerksegmentierung >

4. Verwenden Sie die Multi-Faktor-Authentifizierung (MFA)

Es ist noch nicht bestätigt, ob die Multi-Faktor-Authentifizierung während des Medibank-Hacks umgangen wurde. MFA ist eine der wirksamsten Maßnahmen gegen Versuche der Kontokompromittierung.

Laut Microsoft könnte die Multi-Faktor-Authentifizierung bis zu 99,9 % der Angriffe auf Kontokompromittierungen verhindern.

Alle Mitarbeiterkonten, einschließlich Konten mit privilegiertem Zugriff, sollten mit MFA geschützt werden - idealerweise mit adaptiver MFA, da sie am schwierigsten zu umgehen ist

Wenn ein Cyberkrimineller versucht, sich mit einem durch MFA geschützten Konto mit einem Netzwerk zu verbinden, kann er den Anmeldevorgang nicht abschließen, es sei denn, er besteht eine Reihe von Schritten zur Überprüfung der Benutzeridentität. Diese zusätzlichen Verifizierungsanforderungen sind schwer zu umgehen und könnten ausreichen, um das Fortschreiten eines Angriffs zu verhindern.

Hinweis: Auch wenn das Umgehen von MFA schwierig ist, ist es dennoch möglich. Wenn Sie MFA implementieren, stellen Sie sicher, dass Sie diese gängigen Umgehungsmethoden kennen.

Jedes Unternehmen ist dem Risiko einer Kompromittierung von Unternehmensanmeldeinformationen ausgesetzt, aber nicht jedes Unternehmen wird das gleiche verheerende Ergebnis erleiden wie Medicare, wenn diese Ereignisse eintreten. UpGuard hat eine Lösung zur Erkennung von Datenlecks entwickelt, mit der Unternehmen sensible Credential-Dumps in beliebten Dark-Ransomware-Blogs schnell erkennen können. Durch die schnelle Erkennung können kompromittierte Konten viel schneller gesichert werden, wodurch die Wahrscheinlichkeit von Folge-Cyberangriffen auf betroffene Unternehmen verringert wird.

Jedes erkannte Leck wird von Cybersicherheitsexperten manuell überprüft, um Fehlalarme zu vermeiden und die Effizienz der Bemühungen zur Behebung von Datenlecks zu unterstützen.