Risikoregister · Eintrag
Q1 · VorhersehbarTarget-Datenleck
Per Phishing über den Klimaanlagen-Lieferanten an 40 Millionen Karten. Die Alarme schlugen an. Niemand reagierte.
Dokumentierte, vorhersehbare Risiken, die trotzdem ignoriert wurden. Es fehlt an Aufmerksamkeit, nicht an Information.
Warum dieser Quadrant
Target gehört in den Quadranten Vorhersehbar, weil das Eindringen innerhalb von Targets eigener Abwehr seine eigenen Alarme auslöste, bevor irgendwelche Kartendaten das Netzwerk verließen. Das Malware-Erkennungssystem von FireEye schlug am 30. November und erneut am 2. und 3. Dezember 2013 dringenden Alarm, als die Exfiltrations-Malware installiert wurde, und seine Funktion zur automatischen Löschung, die die Malware ohne menschliches Zutun neutralisiert hätte, war abgeschaltet worden. Die „Kill Chain“-Analyse der Mehrheitsmitarbeiter des U.S. Senate Commerce Committee kam zu dem Schluss, dass Target mehrere Gelegenheiten verpasste, den Angriff in aufeinanderfolgenden Phasen zu unterbrechen. Die Information existierte, wurde automatisch erzeugt und wurde dem zuständigen Team zugestellt. Es fehlte allein die Reaktion.
Die Aktenlage
- Target bestätigte am 19. Dezember 2013, dass rund 40 Millionen Kredit- und Debitkartennummern gestohlen worden waren, und teilte am 10. Januar 2014 mit, dass zudem Namen, Adressen, Telefonnummern und E-Mail-Adressen von bis zu 70 Millionen Kunden entwendet worden waren; bei einer geschätzten Überschneidung von 12 Millionen liegt die maximale Zahl betroffener Kunden bei etwa 98 Millionen.gesichert
- Die Angreifer drangen über Zugangsdaten von Fazio Mechanical Services ein, einem Klima- und Kältetechnikunternehmen aus Pennsylvania mit Fernzugriff auf Targets Netzwerk für Abrechnung und Projektmanagement; Fazio war über eine Phishing-E-Mail kompromittiert worden und nutzte die kostenlose Version von Malwarebytes, die keinen Echtzeitschutz bietet.hoch
- Targets FireEye-System löste bei jeder Installation der Exfiltrations-Malware am 30. November und am 2. und 3. Dezember 2013 dringende Alarme aus, doch laut dem Bericht der Senatsmitarbeiter hat Targets Sicherheitsteam „weder auf die Alarme reagiert noch der FireEye-Software erlaubt, die Malware automatisch zu löschen“.gesichert
- Target erfuhr von dem Einbruch nicht aus den eigenen Systemen: Das Department of Justice kontaktierte das Unternehmen am 12. Dezember 2013, am 13. Dezember traf es sich mit dem DOJ und dem Secret Service, am 14. Dezember beauftragte es forensische Ermittler, und am 15. Dezember bestätigte und entfernte es die Malware weitgehend.gesichert
- Target wies zum Ende des Quartals am 1. November 2014 kumulierte Aufwendungen im Zusammenhang mit dem Einbruch von 248 Mio. USD aus, denen 90 Mio. USD an erhaltenen oder erwarteten Versicherungsleistungen gegenüberstanden; später zahlte es am 23. Mai 2017 18,5 Mio. USD an 47 Bundesstaaten und den District of Columbia, damals der größte bundesstaatenübergreifende Vergleich wegen eines Datenlecks.gesichert
Quellen
Der Newsletter
Jede Woche eine Risikogeschichte, auseinandergenommen wie diese: was bekannt war, was ignoriert wurde, und in welchem Quadranten sie wirklich lag.
Kein Spam, eine E-Mail pro Woche.