Hackerangriff erschüttert das FBI: „Einer der folgenschwersten Datendiebstähle der Geschichte“
Es ist einer der möglicherweise schwersten Hackerangriffe auf die zentrale Sicherheitsbehörde der Vereinigten Staaten, das Federal Bureau of Investigation (FBI). Vergangene Woche war bekannt geworden, dass eine kriminelle Hackergruppe große Mengen sensibler personenbezogener Daten beim FBI erbeutet hat. Zehntausende ehemalige und aktuelle Mitarbeiterinnen und Mitarbeiter sind davon betroffen. Nach Angaben der „New York Times“ ergriff die Behörde in den vergangenen Tagen „Eilmaßnahmen zum Schutz seiner Beschäftigten“.
Zur Tat bekannte sich eine Gruppe namens ShinyHunters. Sie hatte vor knapp einer Woche bekannt gegeben, dass sie vertrauliche Details über FBI-Personal aus dem Stellenportal der Behörde gestohlen hatte. Die Hacker drohten vorübergehend damit, diese öffentlich zu machen, nahmen diese Drohung aber später wieder zurück. Währenddessen arbeiten die FBI-Ermittler nach Angaben der „New York Times“ noch immer daran, den Hergang des Vorfalls und das gesamte Ausmaß des Schadens zu rekonstruieren.
Auch Spionageabwehr und Drogenbekämpfung könnten betroffen sein
In einer internen Mitteilung erklärte das FBI, es sei vorsorglich davon auszugehen, dass bei dem Vorfall sensible Daten aller seiner Beschäftigten gestohlen wurden. Das betrifft offenbar auch Beschäftigte in sensiblen Aufgabenbereichen, etwa der Spionageabwehr und Drogenbekämpfung sowie bei Ermittlungen mit Bezug zu Russland, China und Iran. Die Zeitung berichtete zudem von Angaben zu Ehepartnern, Kindern und anderen Notfallkontakten.
Journalisten der „New York Times“ prüften eine Stichprobe mit rund 5000 Datensätzen. Diese soll unter anderem Namen, private Anschriften, Telefonnummern, Geburtsdaten, Sozialversicherungsnummern und Angaben zu Notfallkontakten enthalten haben.
ShinyHunters erklärte, der Angriff sei eine Reaktion auf einen im Mai veröffentlichten FBI-Hinweis zu den Methoden der Gruppe gewesen. Darin hatte das FBI unter anderem vor Belästigungen und Drohungen gegen Opfer und deren Angehörige gewarnt. ShinyHunters bestritt diese Darstellung und verlangte, das FBI solle den Hinweis korrigieren oder zurücknehmen.
Später erklärte die Gruppe Medien gegenüber, sie habe nie vorgehabt, die Daten zu veröffentlichen. Sie bezeichnete den Angriff als eine Art „Marketingkampagne“ zum Schutz ihres Geschäfts.
Was macht den Vorfall so dramatisch?
Die Brisanz des Hackerangriffs liegt weniger in der Zahl möglicher Betroffener. Entscheidend ist nach Einschätzung von Fachleuten die Kombination persönlicher Daten mit beruflichen Funktionen, die auf Basis der gestohlenen Daten möglich wären. So könnten FBI-Mitarbeitende identifizierbar oder erpressbar werden sowie gezielt angegriffen werden, schreibt die „New York Times“.
Ciaran Martin, der ehemalige Leiter der britischen Cyberabwehrbehörde, wird in der US-Zeitung mit der Einschätzung zitiert, der Hackerangriff habe wahrscheinlich „enorme Auswirkungen auf die Einsatzfähigkeit“ des FBI und könne einer der folgenschwersten Datendiebstähle der Geschichte sein.
Was könnte passieren, wenn die Daten missbraucht werden?
Besonders brisant ist, dass die Daten laut „New York Times“ auch private Anschriften und Angaben zu Ehepartnern, anderen Notfallkontakten und teils Kindern umfassen könnten. Andere Datensätze könnten außerdem dabei helfen, Reisen von Beschäftigten nachzuverfolgen. Besonders gefährlich wäre das bei verdeckt arbeitenden Agenten. Angaben zu Aufgabenbereichen könnten nach Einschätzung von Fachleuten ausländischen Nachrichtendiensten helfen, über längere Zeit Dossiers über bestimmte Agenten aufzubauen.
Mögliche Folgen reichen von Identitätsbetrug, gezieltem Phishing und Erpressung bis zu Belästigung oder Racheaktionen durch Kriminelle, gegen die Agenten ermittelt haben. Wenn Daten mit anderen geleakten Informationen verknüpft werden, können sie laut „New York Times“ außerdem für Spionage oder zur Einschüchterung von Beschäftigten und Angehörigen genutzt werden.
Wer sind die ShinyHunters?
ShinyHunters ist der Name, unter dem eine seit etwa 2019 oder 2020 aktive Gruppe von Cyberkriminellen bekannt ist. Ihr werden großangelegter Datendiebstahl und Erpressung zugeschrieben. Das Motiv war in früheren Fällen häufig finanzieller Art; nicht jeder Angriff führte jedoch zu einer bekannten Geldforderung.
Cybersicherheitsfirmen beschreiben ShinyHunters nicht unbedingt als klar abgegrenzte Organisation mit einer festen Mitgliedschaft. Mandiant etwa ordnet Aktivitäten mehreren Bedrohungsclustern zu, die unter derselben Marke auftreten. Die Bezeichnung kann also verschiedene Akteure oder Gruppen umfassen.
Wie gefährlich ist die Hackergruppe?
Der mutmaßliche Angriff auf das FBI ist einer der öffentlichkeitswirksamsten Fälle, die ShinyHunters zugeschrieben werden. Sollte sich die Behauptung bestätigen, wäre der Zugriff wegen der möglichen Menge und Sensibilität der Daten besonders schwerwiegend.
Die Gefahr liegt bei dieser Art von Angriff vor allem darin, dass große Mengen personenbezogener, geschäftlicher oder interner Daten gestohlen werden. Solche Daten können für Erpressung, Betrugsversuche, Phishing oder gezielte Täuschungsversuche genutzt werden. Das FBI beschreibt die Gruppe als Akteur, der mit der Veröffentlichung gestohlener Daten Druck auf Opfer ausübt. ShinyHunters bestreitet Teile dieser Darstellung.
Wie soll die Gruppe das FBI angegriffen haben?
Nach eigenen Angaben nutzte ShinyHunters das Bewerbungsportal des FBI und eine Schwachstelle in der Personalverwaltungssoftware Oracle PeopleSoft als Zugang. Von dort aus seien die Angreifer in FBI-Systeme vorgedrungen, die in der AWS GovCloud betrieben werden. Dabei handelt es sich um eine Cloud-Umgebung von Amazon Web Services für US-Behörden und andere Kunden mit besonderen Sicherheitsanforderungen.
Das FBI hat den von ShinyHunters beschriebenen Angriffsweg und den behaupteten Zugriff auf die AWS GovCloud bislang nicht unabhängig bestätigt. Auch die Behauptung, die Gruppe habe Daten von nahezu allen FBI-Beschäftigten und Bewerbern erbeutet, ist nicht verifiziert.
Welche anderen prominenten Opfer gab es?
In den vergangenen Jahren wurden ShinyHunters Angriffe oder Datenlecks bei Unternehmen, Behörden und Bildungseinrichtungen zugeschrieben. Dazu zählen Vorfälle bei Ticketmaster beziehungsweise Live Nation, den Mode- und Sportartikelunternehmen Louis Vuitton und Adidas sowie beim kanadischen Telekommunikationsanbieter Telus.
Auch Fälle, bei denen Daten von Kunden großer Technologieanbieter wie Google oder Microsoft betroffen gewesen sein sollen, wurden mit der Gruppe in Verbindung gebracht. Das bedeutet nicht zwangsläufig, dass diese Anbieter selbst gehackt wurden.
Zu den betroffenen Einrichtungen gehörten außerdem Schulen und Hochschulen, die die Lernplattform Canvas nutzen. Canvas wird vom US-Unternehmen Instructure betrieben. Bei mehreren Vorfällen liefen die Zugriffe über Drittanbieter oder gemeinsam genutzte Dienste; die genaue Zuordnung zur Gruppe ist nicht in allen Fällen gleich gut belegt.
Die Folgen für Betroffene unterscheiden sich von Fall zu Fall. Im Fall Ticketmaster/Live Nation boten Angreifer Medienberichten zufolge Daten zum Verkauf an, die möglicherweise mehrere hundert Millionen Kundinnen und Kunden betrafen. Für Betroffene bestand damit das Risiko von Identitätsbetrug, Phishing und Social Engineering. Ob in diesem Fall Erpressungsforderungen gestellt oder Zahlungen geleistet wurden, ist öffentlich nicht kommuniziert worden.
Nach Medienberichten schloss Instructure im Zusammenhang mit dem Angriff auf Canvas eine Vereinbarung mit den Angreifern. Ob eine Zahlung vereinbart oder geleistet wurde und wie hoch sie gegebenenfalls war, wurde nicht öffentlich bestätigt.
Was ist die Motivation der ShinyHunters?
Das FBI beschreibt ShinyHunters als eine Gruppe, die sich auf „großangelegte Datenlecks und Erpressung“ spezialisiert habe. Typischerweise stählen die Angreifer demnach große Datenmengen, drohten mit deren Veröffentlichung und verlangten Geld. Die gestohlenen Informationen könnten auch an andere Kriminelle verkauft werden.
Für den FBI-Fall erklärte ShinyHunters dagegen, es gehe nicht um Geld. Die Gruppe verlangte, dass das FBI seine Warnung über ihre Methoden korrigiert oder zurücknimmt. Ihre Behauptung, sie habe nie vorgehabt, die Daten zu veröffentlichen, lässt sich bislang nicht unabhängig überprüfen.
Sind die ShinyHunters auch in Europa aktiv?
Die Aktivitäten der Gruppe und die Ermittlungen gegen sie betreffen auch Europa. Am Montag, dem 28. September, teilte die niederländische Polizei mit, dass ein 24-jähriger Mann aus Amsterdam im Zusammenhang mit Ermittlungen zu ShinyHunters festgenommen worden sei. Die Polizei nannte den Namen des Mannes nicht öffentlich.
Der Chef des Amsterdamer Cybersicherheitsunternehmens Neo Security sagte Reuters, es handle sich um einen Mitarbeiter des Unternehmens, der im Bereich Offensive Security tätig gewesen sei. Die Polizei kündigte an, der Mann solle an diesem Dienstag vor einem Gericht in Rotterdam erscheinen.
ShinyHunters wies eine Verbindung des Mannes zur Gruppe zurück. Auch ein möglicher Zusammenhang mit dem mutmaßlichen FBI-Angriff war zunächst nicht belegt.
Inwieweit betreffen die Vorfälle auch deutsche Nutzer?
Da den ShinyHunters Angriffe auf international tätige Organisationen, Hochschulen und Unternehmen zugeschrieben werden, könnten auch Menschen in Deutschland betroffen sein. Für den mutmaßlichen Angriff auf das FBI gibt es bislang jedoch keine Bestätigung, dass Daten deutscher Nutzerinnen und Nutzer betroffen sind.
Ein konkreter deutscher Fall betrifft Fresenius Medical Care, den in Bad Homburg ansässigen Dialyseanbieter. Das Unternehmen teilte mit, dass Unbefugte Zugriff auf eine begrenzte Zahl interner Systeme hatten. Medizinische Geräte und die Versorgung von Patientinnen und Patienten seien nicht betroffen gewesen.
ShinyHunters beanspruchte den Angriff für sich und drohte mit der Veröffentlichung gestohlener Daten. Fresenius Medical Care hat jedoch bislang weder einen Datenabfluss durch die Gruppe bestätigt noch öffentlich mitgeteilt, welche Daten betroffen sein könnten oder wie viele Menschen möglicherweise betroffen sind.
Woher kommt der Name ShinyHunters?
Der Name wird häufig auf die Pokémon-Videospielwelt zurückgeführt. Als „Shiny Pokémon“ werden seltene Varianten regulärer Spielfiguren bezeichnet, die sich durch besondere Farben unterscheiden. ShinyHunters wäre demnach eine Anspielung auf Spielerinnen und Spieler, die gezielt nach solchen seltenen Pokémon suchen.
Hinweis zur Recherche: Zur Informationsauswertung für diesen Text wurde auch Künstliche Intelligenz eingesetzt.