Risikoregister · Eintrag
Q1 · VorhersehbarSony-Pictures-Hack 2014
Nordkorea löschte die Computer eines Studios, um eine Seth-Rogen-Komödie über die Ermordung Kim Jong-uns zu verhindern.
Dokumentierte, vorhersehbare Risiken, die trotzdem ignoriert wurden. Es fehlt an Aufmerksamkeit, nicht an Information.
Warum dieser Quadrant
Der zugewiesene Quadrant richtet sich nach der Exponierung und nicht nach dem Angreifer, und auf dieser Grundlage hält er stand. Sonys Kontrollversagen waren dokumentiert und bereits sanktioniert worden: Die Kompromittierung des PlayStation Network im Jahr 2011 zog eine Geldbuße des britischen Information Commissioner's Office nach sich, ausdrücklich mit der Feststellung, der Einbruch hätte verhindert werden können, wären Softwarepatches und Passwortpraxis auf dem aktuellen Stand gewesen, und die eigene Informationssicherheitsleitung von Sony Pictures hatte die Unterinvestition in Sicherheit öffentlich als bewusst eingegangenes unternehmerisches Risiko dargestellt. Das Unternehmen ging damit 2014 mit einer bekannten, zuvor sanktionierten Kontrolllücke in das Jahr, und der zerstörerische Einbruch nutzte diesen bestehenden Zustand und keinen neuartigen. Das ist das Muster von Q1: Die Information war vorhanden, die Aufmerksamkeit folgte ihr nicht. Siehe Flags: Die Einordnung ist mit Blick auf den Akteur bestreitbar, der Merkmale von Q2 trägt.
Die Aktenlage
- Die Angreifer behaupteten, mehr als 100 Terabyte Daten entwendet zu haben. Dies ist eine BEHAUPTUNG der Angreifer und wurde nie unabhängig bestätigt; die Erklärung des FBI selbst enthält keine Angabe zum Datenvolumen.mittel
- Am 19. Dezember 2014 kam das FBI zu dem Schluss, dass die nordkoreanische Regierung verantwortlich war, und verwies dabei auf Ähnlichkeiten in bestimmten Codezeilen, Verschlüsselungsalgorithmen und Methoden der Datenlöschung zu bekannter nordkoreanischer Schadsoftware, auf Überschneidungen zwischen der Angriffsinfrastruktur und IP-Adressen, die zuvor mit Nordkorea in Verbindung gebracht wurden, sowie auf die Ähnlichkeit der Werkzeuge mit den Angriffen vom März 2013 auf südkoreanische Banken und Medienhäuser.gesichert
- Der Angriff machte Tausende Rechner von Sony Pictures unbrauchbar, zwang das Unternehmen, sein gesamtes Computernetzwerk vom Netz zu nehmen, und störte den Geschäftsbetrieb erheblich (Darstellung des FBI selbst).gesichert
- 47.000 eindeutige Sozialversicherungsnummern wurden aus dem Netzwerk von Sony Pictures entwendet.hoch
- Frühere Sicherheitsverletzung bei Sony: Der Einbruch in das PlayStation Network im Jahr 2011 zog eine Geldbuße von 250.000 £ des britischen Information Commissioner's Office nach sich, das zu dem Schluss kam, der Angriff hätte verhindert werden können, hätte Sony aktuelle Sicherheitspatches eingespielt und die bewährte Passwortpraxis befolgt.gesichert
Quellen
Der Newsletter
Jede Woche eine Risikogeschichte, auseinandergenommen wie diese: was bekannt war, was ignoriert wurde, und in welchem Quadranten sie wirklich lag.
Kein Spam, eine E-Mail pro Woche.