Das „Cyber Safety Review Board“ des US-amerikanischen Heimatschutzministeriums hat die Methoden der Hackergruppe Lapsus$ geprüft und analysiert. Der Bericht wurde nun veröffentlicht.

Demnach seien technische Fertigkeiten der Gruppe gar nicht so entscheidend gewesen. Dabei war Lapsus$ doch in die IT-Systeme von Konzernen wie Microsoft, Nvidia, Samsung, Okta, Rockstar Games und Uber vorgedrungen. Unzählige sensible Daten wurden entwendet.

Lapsus$ :„Geschick bei der Identifizierung von Schwachstellen im System“

Die Beamt:innen schreiben in ihrem 52-seitigen Bericht, dass Lapsus$ „Geschick bei der Identifizierung von Schwachstellen im System – wie nachgelagerte Anbieter oder Telekommunikationsprovider -, die den weiteren Zugang zu ihren beabsichtigten Opfern ermöglichten“, zeigten. Demnach präsentierte die Gruppe auch ein besonderes Talent für Social Engineering, indem sie die Mitarbeiter:innen eines Ziels dazu brachten, die Tore zum Unternehmensnetzwerk zu öffnen.

Ars Technica beschreibt einige der Methoden, mit denen die Gruppe Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA) umgehen konnten, die andere Hacker:innen mühsam knacken oder auf Zero-Day-Schwachstellen hoffen müssten. „Ruf de Mitarbeiter immer wieder um ein Uhr nachts an, wenn er schlafen will, und er nimmt den Anruf wahrscheinlich an“, zitiert die Website ein Mitglied von Lapsus$. Schon hätte man einen Fuß in der Tür, um Informationen über die MFA zu erhalten.

In anderen Fällen hätten sie sich nötige Cookies und andere Daten für die Authentifizierung schlicht von darauf spezialisierten Cyberkriminellen gekauft.

Mit diesen und weiteren Stilmitteln gelang es den Teenager-Hacker:innen innerhalb eines Jahres rund ein Terabyte an Unternehmensdaten von Nvidia zu stehlen. Außerdem entwendete die Gruppe geschützte Daten von Microsoft.

Prominente Opfer waren zudem Samsung, Uber, Rockstar Games, T-Mobile in den USA, Twilio, der IT-Dienstleister Globant sowie das brasilianische Gesundheitsministerium. Nur fast erfolgreich war die Gruppe beim Versuch, in das Content-Delivery-Network von Cloudflare einzudringen.

Der Sicherheitsbericht richtet einen dringenden Appell an Unternehmen: „Organisationen müssen nun handeln, um sich zu schützen.“ Möglichkeiten hierfür zeigt der Bericht sogleich auf.

So empfiehlt er die Umstellung auf Fido2-basierte passwortlose Authentifizierungsverfahren. Dazu gehören sogenannte Passkeys. Regelmäßige Schulungen für Mitarbeiter:innen seien zudem unabdingbar – gerade mit Blick auf aktuelle Angriffstrends und Social Engineering.

Viele der Ratschläge des Ministeriums sind auf das Konzept Security by Design zurückzuführen. Damit würde eine größere Konversation über Sicherheit in der Industrie widergespiegelt. Wie der Bericht zeigt, sollte diese langsam Früchte tragen.