Die 10 größten Datenschutzverletzungen im Finanzwesen [Aktualisiert August 2022]

Cyberkriminelle wählen ihre Ziele auf der Grundlage von zwei Bedingungen aus - maximale Wirkung und maximaler Gewinn.

Finanzinstitute erfüllen diese Bedingungen perfekt, da sie sehr wertvolle Daten speichern, und ihre Bemühungen um die digitale Transformation schaffen größere Möglichkeiten für Cyberangreifer, auf diese Daten zuzugreifen. Aus diesem Grund ist der Finanzsektor nach dem Gesundheitswesen unverhältnismäßig stark von Cyberkriminellen betroffen.

Neben der Implementierung einer Datenschutzlösung speziell für Finanzdienstleistungen besteht eine der besten Methoden zur Eindämmung von Datenschutzverletzungen darin, aus den Fehlern anderer zu lernen.

Erfahren Sie, wie UpGuard das Vendor Risk Management > vereinfacht

Um diese Bemühungen zu unterstützen, haben wir die 10 größten Datenschutzverletzungen in der Finanzbranche aufgelistet, geordnet nach Ausmaß der Auswirkungen. Diese Liste wird regelmäßig aktualisiert, um wichtige Ereignisse des Jahres 2022 auf der ganzen Welt in wichtigen Ländern wie den USA, Großbritannien, Australien, China und vielen anderen aufzunehmen.

Die 10 größten Datenschutzverletzungen im Finanzsektor

Jeder Datensatz enthält eine Zusammenfassung der wichtigsten Fehler, die zu einer Datenschutzverletzung führen, damit Sie eine Wiederholung vermeiden können.

1. Erste Datenschutzverletzung bei American Financial Corp

Datum: Mai 2019

Auswirkungen: 885 Millionen Kreditkartenanträge

Wie kam es zu der Datenschutzverletzung?

Mehr als 885 Millionen finanzielle und persönliche Datensätze, die mit Immobilientransaktionen in Verbindung stehen, wurden durch einen häufigen Website-Designfehler offengelegt.

Dieser Fehler wird auf der ersten Website der American Financial Corp. als "Business Logic Flaw" bezeichnet. Dies ist der Fall, wenn ein Webseitenlink, der zu vertraulichen Informationen führt, nicht durch eine Authentifizierungsrichtlinie zur Überprüfung des Benutzerzugriffs geschützt ist.

Diese Offenlegung wurde nicht von einem Hacker initiiert, die Schwachstelle, die den Zugriff auf sensible Daten erleichterte, wurde durch einen internen Fehler verursacht - ein Ereignis, das als Datenlecks bekannt ist.

Obwohl Datenlecks und Datenschutzverletzungen zwei verschiedene Ereignisse sind, haben beide das gleiche potenzielle Ergebnis: Sensible Kundeninformationen fallen in die Hände von Cyberkriminellen.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenschutzverletzung bei First American Corp kompromittiert:

• Namen
• E-Mail-Adressen
• Telefonnummern von Abschlussagenten und Käufern

Mit diesen Informationen ist eine breite Palette von Cyberkriminalität möglich, darunter:

• Identitätsdiebstahl
• Ransomware-Angriffe
• Malware-Injektionen

Lernen Sie aus dieser Sicherheitsverletzung:

Die folgenden Lehren können aus dem Verstoß gegen die First American Financial Corp gezogen werden:

• Implementieren von Code-Review-Richtlinien: Bevor Code live geschaltet wird, sollte er von einem Qualitätskontrollbeauftragten überprüft werden.
• Überwachung auf Datenlecks - Eine Lösung zur Erkennung von Datenlecks erkennt und schließt alle internen oder externen Datenlecks, bevor sie von Cyberkriminellen entdeckt werden.

2. Datenschutzverletzung bei Equifax

Datum: Sep 2017

Auswirkungen: 147 Millionen Kunden

Wie kam es zu der Datenschutzverletzung?

Die Datenpanne bei Equifax war nichts weniger als eine Katastrophe. Eine Reihe schrecklicher Cybersicherheitspraktiken machte die Sicherheitsverletzung für Cyberkriminelle fast zu einfach.

Es gibt vier Hauptfehler, die die Sicherheitsverletzung begünstigt haben.

1. Das Unternehmen hat es versäumt, eine bekannte Schwachstelle (CVE-2017-5638) für sein Open-Source-Entwicklungsframework Apache Struts zu patchen. Zum Zeitpunkt der Sicherheitsverletzung war der Patch für CVE-2017-5638 bereits seit 6 Monaten verfügbar.
2. Equifax versäumte es, sein Ökosystem zu segmentieren, so dass die Angreifer nahtlos auf mehrere Server zugreifen konnten, nachdem sie sich durch die Verletzung des Webportals Zugang verschafft hatten.
3. Die Hacker fanden Benutzernamen und Passwörter im Klartext, die verwendet wurden, um Berechtigungen zu eskalieren und einen tieferen Zugriff zu erhalten.
4. Die Hacker konnten monatelang unentdeckt Daten exfiltrieren, weil Equifax es versäumt hatte, ein Verschlüsselungszertifikat für eines ihrer internen Tools zu erneuern.

Darüber hinaus war über ein Monat vergangen, bis Equifax den Verstoß schließlich öffentlich machte. In dieser Zeit verkauften Top-Manager Unternehmensaktien, was zu Insiderhandelsvorwürfen führte.

Welche Daten wurden kompromittiert?

Mehr als 40 % der Bevölkerung Amerikas waren potenziell von der Datenschutzverletzung bei Equifax betroffen.

Die folgenden Daten wurden kompromittiert:

• Namen
• Geburtsdaten
• Sozialversicherungsnummern
• Führerscheinnummern
• Kreditkartennummern

Aufgrund der hochsensiblen Natur von personenbezogenen Daten (PII) und Finanzinformationen, die kompromittiert wurden, wurde Equifax für den Verstoß mit einer Geldstrafe von 700 Millionen US-Dollar belegt.

Lernen Sie aus dieser Sicherheitsverletzung:

Finanzdienstleistungsunternehmen und kleine Unternehmen können viele wichtige Lektionen aus dieser Sicherheitsverletzung lernen.

• Halten Sie die gesamte Software auf dem neuesten Stand - Dieser Cyberangriff hätte möglicherweise vollständig vermieden werden können, wenn Equifax seine Entwicklungsschwachstelle gepatcht hätte. Informationssicherheitsteams sollten regelmäßig auf die CVE-Datenbank verweisen, um über die neuesten Software-Schwachstellen informiert zu bleiben. Die Entdeckung bestehender und sogar potenzieller Software-Schwachstellen kann mit einer Lösung zur Überwachung der Angriffsfläche automatisiert werden.
• Segmentieren Sie Ihr Ökosystem - Segmentieren Sie Ihr Ökosystem, um den Zugriff auf alle sensiblen Ressourcen zu verschleiern. Diese Bemühungen beginnen mit der Erstellung eines digitalen Fußabdrucks. Sobald alle Wege zu sensiblen Ressourcen identifiziert wurden, wird eine Zero-Trust-Architektur böswillige Zugriffe weiter eindämmen.
• Überwachen Sie Drittanbieter - Eine Risikomanagementplattform für Anbieter deckt alle Dienste von Drittanbietern auf, die durch ungepatchte Schwachstellen einem erhöhten Risiko von Cyberangriffen ausgesetzt sind. Erfahren Sie, wie Finanzdienstleister das Risiko von Drittanbietern effektiv managen können.
• Implementieren Sie Richtlinien zur rechtzeitigen Benachrichtigung über Datenschutzverletzungen - Die rechtzeitige Benachrichtigung über Datenschutzverletzungen ist eine strenge Anforderung für die Finanzvorschriften. Die Nichteinhaltung kann zu kostspieligen Geldstrafen und sogar Gefängnisstrafen führen.

3. Datenschutzverletzung bei Heartland Payment Systems

Datum: Januar 2008

Auswirkungen: 130 Millionen Debit- und Kreditkartennummern

Wie kam es zu der Datenschutzverletzung?

Im Januar 2008 schleusten russische Hacker Malware über ein Webformular auf der Website von Heartland ein, was zu 130 Millionen Kredit- und Debitkartennummern führte.

Cyberangreifer nutzten einen SQL-Injection-Angriff, um sich Zugang zum Unternehmensnetzwerk des Unternehmens zu verschaffen. Sie verbrachten fast 6 Monate damit, auf Ressourcen zuzugreifen, die Kreditkartendaten verarbeiten.

Nachdem sie die Antiviren-Abwehrmaßnahmen erfolgreich umgangen hatten, installierten die russischen Bedrohungsakteure Sniffer-Software, um Kreditkartendaten während der Übertragung abzufangen.

Albert Gonzales wurde zusammen mit zwei nicht identifizierten Partnern wegen des Angriffs angeklagt. Gonzales wurde zu 20 Jahren Gefängnis verurteilt.

In dem Versuch, seinen angeschlagenen Ruf in Bezug auf Cyber-Resilienz zu korrigieren, hat Heartland seine Cybersicherheit erheblich verbessert und allen seinen Kunden den folgenden Haftbefehl für Datenschutzverletzungen ausgestellt:

"Heartland Payment Systems ist von der Sicherheit seiner Zahlungsabwicklungstechnologie so überzeugt, dass es am 12. Januar eine neue Garantie für seine Nutzer angekündigt hat. Das Garantieprogramm erstattet Händlern die Kosten, die durch eine Datenschutzverletzung entstehen, die das Heartland Secure Kreditkarten-Zahlungsabwicklungssystem betrifft." Als Angebot einfügen?

Ironischerweise brachen Cyberkriminelle nach dieser Ankündigung in die Gehaltsabrechnung des Unternehmens ein und stahlen 11 Computer, was zu einer Kompromittierung von personenbezogenen Daten führte, von der 2.200 Personen betroffen waren.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenschutzverletzung in Heartland kompromittiert:

• Kreditkartennummern
• Ablaufdatum der Karte
• Namen der Karteninhaber

Lernen Sie aus dieser Sicherheitsverletzung:

Die folgenden Lehren lassen sich aus dem Verstoß gegen das Heartland-Zahlungssystem ziehen.

• Die Einhaltung gesetzlicher Vorschriften reicht nicht aus - Heartland war zum Zeitpunkt des Vorfalls PCI DSS-konform, aber das reichte nicht aus, um die Datenschutzverletzung zu verhindern. Compliance sollte nicht mit Sicherheit verwechselt werden. Neben regulatorischen Rahmenbedingungen müssen Unternehmen zusätzliche Cybersicherheitssysteme implementieren, die speziell die Schwachstellen angehen, die Datenschutzverletzungen begünstigen.
• Implementieren Sie interne Sicherheitsprotokolle - Sicherheitsmaßnahmen auf äußerer Ebene sind nutzlos, wenn ein Bedrohungsakteur in der Lage ist, sich mit Geräten zu entfernen, auf denen vertrauliche Ressourcen gespeichert sind. Stellen Sie sicher, dass Sie auch das gesamte physische Inventar sichern.
• Sichern Sie alle Systeme von Drittanbietern - Alle Unternehmen, die mit Heartland zusammengearbeitet haben, um ihre Zahlungen abzuwickeln, waren von dieser Sicherheitsverletzung betroffen. Dieses Ereignis unterstreicht, wie wichtig das Risikomanagement von Anbietern ist, um zu verhindern, dass anfällige Dritte zu Angriffsvektoren werden.

Erfahren Sie mehr über die Funktionen des besten Produkts zur Behebung von Cyberrisiken für Finanzdienstleister >

4. Datenschutzverletzung bei Capital One

Datum: März 2019

Auswirkungen: 100 Millionen Kreditkartenanträge

Wie kam es zu der Datenschutzverletzung?

Die ehemalige Software-Ingenieurin von Amazon Web Services, Paige A. Thompson, griff illegal auf einen der AWS-Server zu, auf dem die Daten von Capital One gespeichert waren, und stahl 100 Millionen Kreditkartenanträge aus dem Jahr 2005.

Es dauerte nicht lange, bis das FBI den Angreifer identifizierte, da Thompson nicht versuchte, ihre Verbindung zu dem Vorfall zu verschleiern.

Sie verwendete ihren vollen Namen, als sie die gestohlenen Daten auf GitHub postete und prahlte sogar offen mit dem Verstoß in den sozialen Medien.

Ein GitHub-Benutzer schickte Captial One eine E-Mail, um ihn über den gestohlenen Datendump zu informieren.

Welche Daten wurden kompromittiert?

Die Datenschutzverletzung bei Captial One betraf etwa 100 Millionen Menschen in den Vereinigten Staaten und über 6 Millionen in Kanada.

Die folgenden Arten von sensiblen Daten wurden gestohlen:

• Sozialversicherungsnummern (ca. 140.000 Datensätze)
• Kanadische Sozialversicherungsnummern (ca. 1 Million Datensätze)
• Kontonummern (80.000)

Das Ausmaß der kompromittierten Daten stuft dieses Ereignis als eine der verheerendsten Datenschutzverletzungen in der Finanzdienstleistungsbranche ein.

Lernen Sie aus dieser Sicherheitsverletzung:

Die folgenden Lehren können aus der Datenschutzverletzung von Capital One gezogen werden:

• Sichern Sie alle Cloud-Technologien - Diese Sicherheitsverletzung wäre möglicherweise nicht aufgetreten, wenn Capital One den Übergang zu Cloud-Speicher mit einer Lösung zur Überwachung der Angriffsfläche gesichert hätte. Dies hätte auf etwaige Sicherheitslücken hingewiesen, die das Risiko von Datenschutzverletzungen erhöhen.
• Sichern Sie alle Firewall-Konfigurationen: Eine falsch konfigurierte Web Application Firewall machte diese Sicherheitsverletzung möglich. Solche unsicheren Konfigurationen könnten schnell entdeckt und mit Software zur Überwachung der Angriffsfläche behoben werden.

5. Datenschutzverletzung bei JPMorgan Chase

Datum: Oktober 2014

Auswirkungen: 83 Millionen Konten

Wie kam es zu der Datenschutzverletzung?

Cyberangreifern, die angeblich in Brasilien ansässig sind, ist es gelungen, in den Perimeter von JP Morgans einzudringen, die höchste Stufe an administrativen Privilegien zu erlangen und Root-Zugriff auf mehr als 90 seiner Server zu erhalten.

Überraschenderweise wurden nicht die verfügbaren Kontoprivilegien genutzt, um Finanzinformationen zu stehlen, sondern nur die Kontaktinformationen der Kunden gestohlen. Dieses sehr unspektakuläre Ergebnis deutet darauf hin, dass das Ziel des Angriffs darin bestand, nur bestimmte Kundendaten zu stehlen - möglicherweise für zukünftige gezielte Cyberangriffe.

Welche Daten wurden kompromittiert?

Die folgenden Daten wurden bei der Datenschutzverletzung bei JPMorgan Chase kompromittiert:

• Interne Anmeldedaten für einen JPMorgan-Mitarbeiter
• Namen der Kunden
• E-Mail-Adressen
• Telefonnummern

Lernen Sie aus dieser Sicherheitsverletzung:

Untersuchungen ergaben, dass diese Sicherheitslücke durch eine sehr grundlegende Sicherheitslücke ermöglicht wurde.
Als das Sicherheitsteam von JPMorgan einen seiner Netzwerkserver aktualisierte, konnte die Multi-Faktor-Authentifizierung (MFA) nicht implementiert werden.

Dieses Ereignis zeigt, dass selbst die anspruchsvollsten Finanzinstitute anfällig für grundlegende Versäumnisse in der Cybersicherheitshygiene sind. Um übersehene Gefährdungen zu erkennen, die durch manuelle Prozesse entstehen, sollte der menschliche Aufwand immer mit einer Lösung zur Überwachung der Angriffsfläche unterstützt werden.

6. Experian

Datum: August 2020

Auswirkungen: 24 Millionen Kunden

Wie kam es zu der Datenschutzverletzung?

Ein Bedrohungsakteur, der behauptete, ein Vertreter eines der Kunden von Experian zu sein, überzeugte einen Mitarbeiter der südafrikanischen Niederlassung von Experian, sensible interne Daten preiszugeben.

Experian behauptete, dass es sich bei den bereitgestellten Informationen nicht um hochsensible Informationen handelte, sondern um Daten, die üblicherweise im Rahmen des normalen Geschäftsverlaufs ausgetauscht werden.

Nach Angaben des South African Banking Risk Information Center (SABRIC) - eine der Behörden, die an den Ermittlungen beteiligt sind - waren 24 Millionen Kunden und fast 800.000 Unternehmen von dem Verstoß betroffen.

Welche Daten wurden kompromittiert?

Die folgenden Kundeninformationen wurden an den Bedrohungsakteur weitergegeben:

• Handynummern
• Private Telefonnummern
• Arbeitsnummern
• E-Mail-Adressen
• Wohnadressen
• Arbeitsorte
• Arbeitsadressen
• Berufsbezeichnungen
• Starttermine des Auftrags

Laut Experian beabsichtigte der Bedrohungsakteur, die gestohlenen Daten zu nutzen, um Marketing-Leads für Versicherungs- und kreditbezogene Dienstleistungen zu erstellen.

Lernen Sie aus dieser Sicherheitsverletzung:

Implementieren Sie Schulungen zu Cyberbedrohungen am Arbeitsplatz

Der betroffene Experian-Mitarbeiter hatte wenig Grund, die Echtheit des Anrufs des Bedrohungsakteurs in Frage zu stellen. Sie stellten alle relevanten identifizierenden Informationen zur Verfügung, die Experian von seinen Kunden benötigt - Vorname, Nachname und RSA-ID-Nummer.

Dies zeigt, wie ausgefeilt moderne Social-Engineering-Kampagnen sind und wie unvorbereitet die Mitarbeiter auf diese Cyberbedrohung vorbereitet sind.

Der Mensch wird immer das schwächste Glied in einem Cybersicherheitsprogramm sein. Um Investitionen in die Sicherheitskontrolle zu erhalten, müssen Finanzdienstleister Schulungen zur Sensibilisierung für Cyberbedrohungen am Arbeitsplatz durchführen.

In diesem Training sollte es darum gehen, wie man betrügerische Anfragen auf Linkedin erkennt, da dies ein wachsender Angriffsvektor für Social-Engineering-Kampagnen ist.

Erfahren Sie mehr über die größten Cyberbedrohungen, von denen Finanzinstitute betroffen sind.

Implementieren Sie eine Lösung zur Erkennung von Datenlecks

Am 24. Oktober 2021 wurde Experian auf einen Darknet-Beitrag in einem kriminellen Forum aufmerksam, der einige der Daten aus dieser Sicherheitsverletzung enthielt. Mit Unterstützung der Strafverfolgungsbehörden wurden diese Aktivitäten abgefangen und die Daten gelöscht.

Während solche Datenlecks unentdeckt bleiben, sind die Opfer von Datenschutzverletzungen und ihre betroffenen Kunden einem erhöhten Risiko laufender Datenschutzverletzungen ausgesetzt.

Durch die Implementierung einer Lösung zur Erkennung von Datenlecks können solche Ereignisse sofort erkannt und abgeschaltet werden, ohne Zeit mit dem Warten auf externe Sicherheitsunterstützung zu verschwenden.

7. Blockieren

Datum: Apr 2022

Auswirkungen: 8,2 Millionen Mitarbeiter

Wie kam es zu der Datenschutzverletzung?

Ein Mitarbeiter von Square (jetzt bekannt als Block) lud ohne Erlaubnis Berichte mit detaillierten Kundeninformationen herunter. Es wird geschätzt, dass etwa 8,2 Millionen aktuelle und ehemalige Kunden in den Bericht aufgenommen wurden.

Welche Daten wurden kompromittiert?

Der Bericht enthielt die folgenden Informationen.

• Vollständige Namen
• Nummern der Brokerage-Konten
• Werte des Brokerage-Portfolios
• Bestände an Brokerage-Portfolios
• Aktienhandelsaktivitäten für einen Handelstag

Block sagte, dass sensible Informationen wie Passwörter, Sozialversicherungsnummern und Zahlungskarteninformationen bei dem Verstoß nicht kompromittiert wurden.

Lernen Sie aus dieser Sicherheitsverletzung:

Eine interne Bedrohung verursachte diese Sicherheitsverletzung bei der Verwaltung von Prozessen, die zu ihren täglichen Aufgaben gehören. Da keine Berechtigungseskalation erforderlich war, wäre dieser Vorfall mit herkömmlichen Strategien zur Überwachung von Insider-Bedrohungen schwer zu erkennen gewesen.

Die Erkennung potenzieller böswilliger Bestrebungen im Rahmen der zulässigen Prozesse eines Mitarbeiters erfordert einen äußerst zielgerichteten und maßgeschneiderten Ansatz.

Klicken Sie hier, um Ihre kostenlose sofortige Sicherheitsbewertung anzufordern.

8. Desjardins-Gruppe

Datum: Juni 2019

Auswirkungen: 4,2 Millionen Kunden

Wie kam es zu der Datenschutzverletzung?

Ein verärgerter Mitarbeiter von Kanadas größter Kreditgenossenschaft, Desjardins, verschaffte sich unbefugten Zugriff auf die Daten von 4,2 Millionen Mitgliedern mit der Absicht, dem Unternehmen Schaden zuzufügen.

Die Untersuchungen grenzten die Exposition auf eine einzige Quelle ein und enthüllten den verantwortlichen Mitarbeiter.

6 Monate nach dem Vorfall wurde bekannt, dass der Verstoß auch 1,8 Kreditkarteninhaber außerhalb der Mitgliederbasis von Desjardin betraf.

Diese Aktualisierung trug wahrscheinlich zu dem deutlichen Anstieg der geschätzten Schadenskosten bei, die von 70 Millionen US-Dollar auf 108 Millionen US-Dollar stiegen.

Ein weiterer Beitrag zum Anstieg der Schadenkosten war die Aufnahme einer 5-jährigen kostenlosen Kreditüberwachung durch Equifax in ein Entschädigungspaket für die Opfer.

Auch Equifax erlitt eine Datenschutzverletzung, allerdings mit deutlich größeren Auswirkungen (siehe oben).

Welche Daten wurden kompromittiert?

Der böswillige Mitarbeiter hat auf die folgenden Mitgliedsdaten zugegriffen:

• Sozialversicherungsnummern
• Namen
• E-Mail-Adressen
• Transaktionsdatensätze

Desjardins versichert, dass bei der Sicherheitsverletzung keine Kredit-, Debit- oder Zahlungskartennummern, Passwörter oder PINs verwendet wurden.

Lernen Sie aus dieser Sicherheitsverletzung:

Diese Sicherheitsverletzung war insofern einzigartig, als sie nicht das Ergebnis von Cyberangriffen, sondern eine Insider-Bedrohung war.

Diese Kategorie von Cyberrisiken ist am schwierigsten abzufangen, da ihre böswilligen Aktionen leicht mit legitimen täglichen Aufgaben verwechselt werden könnten.

Für interne Sicherheitsteams ist es auch schwierig, auf Insider-Bedrohungen zu achten, da sie ihre Bandbreite mit Risikomanagementaufgaben bereits überschreiten.

Aus diesen Erkenntnissen und den Schlüsselereignissen, die zum Strand führten, können die folgenden Lehren gezogen werden:

• Sichern Sie alle privilegierten Zugriffe - Der böswillige Insider von Desjardins hätte keinen so liberalen und unüberwachten Zugriff auf eine große persönliche Datenressource haben dürfen. Durch die Absicherung des gesamten Privileged Access Managements können solche unbefugten Zugriffe verhindert werden.
• Optimieren Sie das Lieferantenrisikomanagement - Effiziente Praktiken für das Lieferantenrisikomanagement, wie z. B. Vendor Tiering, schützen Sicherheitsteams vor Überlastung und schaffen ausreichend Bandbreite für die Überwachung von Insider-Bedrohungen.
• Achten Sie auf Anzeichen für die Unzufriedenheit der Mitarbeiter - Regelmäßige interne Server oder Einzelgespräche können auf Beschwerden der Mitarbeiter hinweisen, bevor sie zu Insider-Bedrohungen eskalieren.

9. Westpac Bankgesellschaft

Datum: Juni 2013

Auswirkungen: 98.000 Kunden

Wie kam es zu der Datenschutzverletzung?

Diese Datenschutzverletzung erfolgte über PayID - den Drittanbieter von Westpac für die Erleichterung von Überweisungen zwischen Banken mit einer Handynummer oder einer E-Mail-Adresse.

PayID funktioniert wie ein Telefonbuch. Über die PayID-Lookup-Funktion kann jeder die Details eines Kontoinhabers bestätigen, indem er nach seiner Telefonnummer oder E-Mail-Adresse sucht.

Diese Schwachstelle ermöglichte es Hackern, einen Enumerationsangriff auszuführen, bei dem Brute-Force-Techniken verwendet werden, um gültige Datensätze in einer Datenbank entweder zu bestätigen oder zu erraten.

Als der Angriff vorbei war, deckten die Hacker die Bankdaten von 98.000 Westpac-Kunden auf.

Welche Daten wurden kompromittiert?

Der Enumerationsangriff hat die folgenden Arten von Kundendaten offengelegt:

• Vollständige Namen
• E-Mail-Adressen
• Telefonnummern
• Kontoinformationen

Mit diesen Details können Cyberkriminelle ihre Opfer mit einer breiten Palette von Phishing-Angriffen erneut ins Visier nehmen.

Lernen Sie aus dieser Sicherheitsverletzung:

Nur weil eine Regierung eine Plattform sponsert, bedeutet das nicht, dass sie cyberresistent ist.

Trotz Warnungen vor potenziellen Sicherheitsrisiken genehmigte die australische Regierung ihre neue Zahlungsplattform (NPP) und versicherte der Öffentlichkeit, dass Betrug und Sicherheitsbedenken bei der Entwicklung von PayID "umfassend berücksichtigt" wurden.

Die Datenschutzverletzung, die ironischerweise nach dieser Aussage ausbrach, zeigt, dass staatliche Lösungen für die gleichen Cyberbedrohungen anfällig sind wie alle Software von Drittanbietern, einschließlich veralteter Techniken wie Brute-Force-Angriffe.

Um einen solchen Vorfall zu verhindern, sollten Sicherheitskontrollen gegen Brute-Force-Angriffe implementiert werden.

Einige Beispiele sind unten aufgeführt.

• Begrenzen Sie Anmeldeversuche - Begrenzen Sie falsche Anmeldeversuche von einer einzelnen IP-Adresse.
• Geräte-Cookies verwenden - Geräte-Cookies blockieren böswillige Anmeldeversuche, die von bestimmten Browsern kommen.
• Verdächtige Anmeldungen blockieren - Blockieren Sie die Anmeldefunktion nach einer bestimmten Anzahl falscher Versuche.
• Nicht korrekte Anmeldeinformationen anzeigen - Verhindern Sie, dass Anmeldefelder bestätigen, welche spezifischen Details korrekt sind.
• CAPTCHAS verwenden - Wählen Sie CAPTCHAS, die mit jedem falschen Anmeldeversuch immer schwieriger und zeitaufwändiger werden.

10. Flagstar Bank

Datum: Juni 2022

Auswirkungen: 1,5 Millionen Kunden

Wie kam es zu der Datenschutzverletzung?

Einer der größten Finanzdienstleister in den Vereinigten Staaten, die Flagstar Bank, erlitt im Juni 2022 eine massive Datenschutzverletzung, bei der die Sozialversicherungsnummern von fast 1,5 Millionen Kunden durchsickern konnten. Der Angriff ist der zweite derartige Angriff auf den in Michigan ansässigen Online-Banking-Riesen in ebenso vielen Jahren. Wie Hacker erfolgreich in das Netzwerk eingedrungen sind, gab die Bank nicht bekannt, aber erste Untersuchungen zeigten, dass der Angriff bereits im Dezember 2021 stattgefunden haben könnte.

Die Flagstar Bank leitete Incident-Response-Protokolle ein, sobald sie eine Datenschutzverletzung entdeckte und erklärte, dass es bei den Untersuchungen keine Beweise für eine Ausnutzung gab. Sie rieten den Kunden jedoch weiterhin, ihre Kreditwürdigkeit genau zu überwachen und verdächtige Aktivitäten zu melden.

Welche Daten wurden kompromittiert?

Bedrohungsakteure waren in der Lage, die folgenden Finanzdaten zu erhalten:

• Sozialversicherungsnummern (SSN)
• Bankverbindung
• Persönliche Informationen (Namen, Adressen, Geburtstage)

Lernen Sie aus dieser Sicherheitsverletzung:

Obwohl der genaue Angriffsvektor nicht angegeben wurde, unterstreicht er, wie wichtig es ist, jede mögliche Schwachstelle abzudecken, von Risiken durch Dritte bis hin zu internen Bedrohungen für den Schutz vor Ransomware. Trotz der Beilegung mehrerer Sammelklagen im März 2021 hat die Flagstar Bank es versäumt, rechtzeitig ausreichende Schutzprotokolle zu implementieren.

Zu den bewährten Methoden für eine bessere Sicherheit sollten unter anderem immer die folgenden Punkte gehören:

• Jährliche Penetrationstests
• Sicherheitsaudits (z.B. SOC 2 Audit)
• Aktualisierte Incident-Response-Pläne
• Bieten Sie Cybersicherheitsschulungen an