Ein Cyberangriff auf das FBI entwickelt sich möglicherweise zu einem der schwerwiegendsten Datendiebstähle bei einer US-Sicherheitsbehörde. Die Hackergruppe ShinyHunters behauptet, persönliche und teilweise hochsensible Informationen von rund 60.000 aktuellen und ehemaligen FBI-Beschäftigten erbeutet zu haben. Besonders brisant: Unter den Daten sollen sich medizinische Untersuchungen von Special Agents befinden – einschließlich Blut- und Urinwerten, ärztlichen Anmerkungen sowie Angaben zu gesundheitlichen Auffälligkeiten. Das FBI untersucht den Vorfall. Der tatsächliche Umfang der erbeuteten Daten ist bislang jedoch nicht abschließend bestätigt.
Nach Informationen der BBC wurden Journalisten Stichproben aus den mutmaßlich gestohlenen Datensätzen zur Verfügung gestellt. Darin sollen sich sogenannte „Fitness-for-work“-Untersuchungen befinden, mit denen die gesundheitliche Eignung von Mitarbeitern dokumentiert wird.
Die Informationen reichen dem Bericht zufolge von Laborwerten bis zu ärztlichen Vermerken über Allergien, erhöhte Cholesterinwerte oder andere medizinische Auffälligkeiten.
Damit geht es bei diesem Cyberangriff um weit mehr als gestohlene E-Mail-Adressen oder Telefonnummern.
Medizinische Informationen gehören zu den sensibelsten personenbezogenen Daten überhaupt.
Namen, Adressen, Dienstausweise und Informationen über Ehepartner
Nach Darstellung der BBC enthalten die ihr vorgelegten Datenproben außerdem vollständige Namen, Privatadressen, Telefonnummern, Dienstnummern und Berufsbezeichnungen.
Teilweise sollen sogar Informationen über Ehepartner enthalten sein.
Auch ranghohe FBI-Mitarbeiter könnten betroffen sein.
Sollten sich Umfang und Authentizität der behaupteten Datensätze bestätigen, wäre das besonders problematisch, weil sich aus verschiedenen Einzelinformationen umfangreiche persönliche Profile von Mitarbeitern einer der wichtigsten Sicherheitsbehörden der Welt erstellen ließen.
Der Sicherheitsexperte Etay Maor von Cato Networks weist gegenüber der BBC auf einen entscheidenden Unterschied zu gewöhnlichen Zugangsdaten hin: Ein kompromittiertes Passwort kann geändert werden. Ein medizinischer Befund lässt sich dagegen nicht austauschen.
Gefahr durch Phishing, Identitätsdiebstahl und Erpressung
Sicherheitsexperten warnen deshalb vor weitreichenden Folgen.
Die Daten könnten theoretisch für maßgeschneiderte Phishing-Angriffe, Identitätsbetrug, die Nachahmung von FBI-Mitarbeitern oder Erpressungsversuche verwendet werden.
Je mehr persönliche Informationen Angreifer über ein Opfer besitzen, desto glaubwürdiger können entsprechende Kontaktversuche gestaltet werden.
Besonders heikel wäre dies bei Mitarbeitern, die in sensiblen Ermittlungsbereichen tätig sind.
Nach Angaben der BBC berichtete Reuters, dass sich unter den kompromittierten Informationen auch Angaben über FBI-Mitarbeiter befinden sollen, die mit Ermittlungen im Zusammenhang mit Russland, China und Drogenkartellen befasst waren.
Das Medium 404 Media berichtet zudem, dass möglicherweise Informationen über eine bislang wenig bekannte FBI-Einheit für offensive beziehungsweise technische Cyberoperationen offengelegt wurden.
Hacker sprechen inzwischen von rund 60.000 Betroffenen
Anfangs war davon ausgegangen worden, dass der Vorfall möglicherweise die rund 38.000 aktuellen FBI-Mitarbeiter betreffen könnte.
ShinyHunters behauptet inzwischen allerdings, den Umfang des Datendiebstahls zunächst selbst unterschätzt zu haben.
Nach Darstellung der Gruppe befinden sich Informationen von etwa 60.000 derzeitigen und ehemaligen FBI-Beschäftigten in ihrem Besitz.
Diese Zahl stammt von den mutmaßlichen Angreifern und ist bislang nicht unabhängig bestätigt.
Auch deshalb ist bei der Einordnung Vorsicht geboten.
Ungewöhnliche Forderung der Hacker
Bemerkenswert ist auch die angebliche Erpressungsforderung.
Normalerweise verlangen Cyberkriminelle nach einem erfolgreichen Angriff Geld oder Kryptowährungen.
ShinyHunters fordert nach Angaben der BBC diesmal offenbar etwas anderes.
Die Gruppe verlangt demnach, dass das FBI eine im Mai veröffentlichte Warnung zurückzieht, von der sich die Hacker nach eigener Darstellung angegriffen beziehungsweise beleidigt fühlen.
Sollte das FBI der Forderung nicht nachkommen, droht die Gruppe damit, den vollständigen Datensatz innerhalb von fünf Tagen zu veröffentlichen.
Ob sie tatsächlich sämtliche behaupteten Daten besitzt und ihre Drohung umsetzen kann, lässt sich derzeit nicht abschließend beurteilen.
Wie konnten die Hacker überhaupt an die Daten gelangen?
Auch die technische Ursache des Vorfalls ist noch Gegenstand der Ermittlungen.
ShinyHunters behauptet, eine Schwachstelle in einem vom FBI verwendeten Cloud-Speichersystem von Oracle ausgenutzt zu haben.
Dadurch will die Gruppe Zugang zu mehreren Systemen erhalten haben.
Genannt werden unter anderem FBIJobs, das System FBI BEAST für Hintergrundüberprüfungen von Mitarbeitern und Bewerbern sowie FBI MedLink, in dem medizinische Informationen gespeichert werden sollen.
Darüber hinaus behaupten die Angreifer, Zugang zu FBI BICS mit Ermittlungsinformationen erhalten zu haben.
Auch diese Angaben stammen von den Hackern und sind nicht vollständig unabhängig bestätigt.
FBI untersucht, ob eigene Systeme oder ein Dienstleister betroffen sind
Das FBI hat den Sicherheitsvorfall grundsätzlich bestätigt und erklärt, ihn intensiv zu untersuchen.
Eine zentrale Frage ist offenbar, ob die Angreifer tatsächlich direkt in Systeme der Bundespolizei eindringen konnten oder ob ein externer Dienstleister beziehungsweise dessen Infrastruktur kompromittiert wurde.
Nach der von der BBC zitierten Stellungnahme arbeitet das FBI mit Drittanbietern zusammen, die FBIJobs.gov unterstützen, um mögliche Risiken einzudämmen.
Über den endgültigen Umfang des Datenabflusses hat sich die Behörde bislang nicht öffentlich geäußert.
Besonders problematisch: Diese Daten kann niemand einfach ändern
Genau darin liegt die außergewöhnliche Dimension des Vorfalls.
Wird eine Kreditkartennummer gestohlen, kann die Karte gesperrt werden.
Wird ein Passwort kompromittiert, kann es geändert werden.
Selbst eine E-Mail-Adresse lässt sich notfalls ersetzen.
Eine Krankengeschichte kann man nicht zurücksetzen.
Ebenso wenig lassen sich frühere Wohnanschriften, Familienbeziehungen oder andere biografische Informationen einfach auswechseln.
Sollten die Hacker tatsächlich medizinische und persönliche Daten Tausender FBI-Mitarbeiter besitzen, könnte das Sicherheitsrisiko deshalb noch Jahre bestehen.
Einer der schwerwiegendsten denkbaren Datendiebstähle
Ciaran Martin, früherer Leiter des britischen National Cyber Security Centre, bezeichnete den Vorfall gegenüber der BBC – sofern sich die Angaben bestätigen – sinngemäß als einen Datendiebstahl von höchster Schwere.
Diese Einschränkung ist derzeit entscheidend.
Dass ein Sicherheitsvorfall untersucht wird, steht fest. Wie viele Datensätze tatsächlich entwendet wurden, welche Systeme betroffen sind und ob ShinyHunters wirklich sämtliche behaupteten Informationen besitzt, ist dagegen noch nicht abschließend geklärt.
Sollte sich jedoch bestätigen, dass medizinische Daten, Privatadressen, Dienstinformationen und weitere persönliche Angaben von Zehntausenden aktuellen und ehemaligen FBI-Beschäftigten in die Hände von Cyberkriminellen gelangt sind, wäre dies nicht nur ein Datenschutzproblem.
Es wäre ein Sicherheitsproblem für eine ganze Bundesbehörde – und eines, dessen Folgen sich nicht einfach mit einem neuen Passwort beheben lassen.
Kommentar hinterlassen