Das US-Justizministerium hat gegen den nordkoreanischen Staatsbürger Park Jin-hyok Anklage erhoben und veröffentlicht. Jin-hyok soll an mehreren sehr bekannten Cyberangriffen beteiligt gewesen sein. Unter anderem werden ihm ein Angriff gegen Sony, die Ransomware "WannaCry" und ein Angriff auf die Zentralbank Bangladeschs zur Last gelegt. Die Anklage lautet somit auf Verschwörung und elektronische Kriminalität (Wire Fraud).
Jin-hyok soll dabei im Auftrag der nordkoreanischen Regierung gearbeitet haben und Teil der Gruppe "Lazarus" sein. Dieser Gruppe werden die oben genannten Angriffe zur Last gelegt. Damit ist der angeklagte Jin-hyok möglicherweise nur ein Teil einer organisierten, im Regierungsauftrag handelnden, Gruppe. So wie es heutzutage in vielen Ländern gängige Praxis und damit ein offenes Geheimnis ist. Eine offizielle Bestätigung dieses Vorgehens hat bis dato aber noch keine Regierung verlauten lassen.
Jede dieser bekannten Attacken verursachte immense Schäden, nicht nur finanzieller Natur. Im Falle des Ransomware-Virus "WannaCry" wurden Hunderttausende Computer in über 150 Ländern lahmgelegt. Der verursachte Schaden wurde auf 4 Milliarden US-Dollar geschätzt und schon damals hat das FBI Nordkorea dafür verantwortlich gemacht. Das beispiellose Ausmaß dieser Attacke wurde sogar von der Europol anerkannt.
Gestoppt wurde „WannaCry“ von dem Briten Marcus Hutchins, der dadurch allerdings selbst verdächtigt und in Gewahrsam genommen wurde. Durch die Anklageerhebung gegen Jin-hyok sollte nun aber dieser Verdacht ausgeräumt sein.
Auch der Angriff auf das Filmstudio Sony Pictures im September 2014 wurde kurz vor einem geplanten Release einer Komödie um das nordkoreanische Staatsoberhaupt Kim Jong-un durchgeführt. Damals hatte Nordkorea gewarnt, die Veröffentlichung dieses Filmes als kriegerische Handlung anzusehen. Es wurden auch hier durch „WannaCry“ riesige Datenmengen vernichtet, vertrauliche Informationen gestohlen und veröffentlicht. Für Sony Pictures entstand gemäß eigenen Angaben ein Schaden von 35 Millionen US-Dollar.
Und auch die verwendete Malware für den Angriff auf die Zentralbank Bangladeschs im Februar 2016 weist genug technische Gemeinsamkeiten mit „WannaCry“ auf, um zu schlussfolgern, dass diese ebenfalls von der "Lazarus" Gruppe stammt. Dabei erlangten die Angreifer die Möglichkeit von der Bank aus Überweisungen zu tätigen. Es wurden 81 Millionen USD auf ihre Konten überwiesen und es hätten noch 850 weitere Millionen Dollar folgen können, wenn die Angreifer nicht einen Tippfehler beim Empfänger gemacht hätten.
Nordkorea streitet jegliche Beteiligung an allen Cyberangriffen ab, jedoch legt das FBI in der 180-seitigen Anklageschrift ihren Ermittlungsstand dar, in dem die Beteiligung der nordkoreanischen Regierung erläutert wird. Da der angeklagte Jin-hyok in Nordkorea lebt und sein Land ihn nicht ausliefern wird, wird er vermutlich nie vor einem amerikanischen Gericht landen. Dennoch setzt die USA ein Zeichen, dass sie hart gegen Cyberkriminalität vorgeht.
Wie groß die Gruppe "Lazarus" tatsächlich ist, ist unbekannt. Die Vermutung, dass Nordkorea nicht das einzige Land mit einer offensiv ausgelegten Hackergruppe ist, liegt nahe. Dass damit jedoch auch weit weniger aufmerksamkeitserregende Angriffe durchgeführt werden können, besser gesagt gemacht werden konnten, ist durchaus realistisch.
Christian Stehle
IT Security Consultant
Laut Presse und offiziellem Sony Blog wurden rund 77 Millionen Datensätze mit personenbezogenen Daten wie Name, Adresse, Geburtstag, Passworte(!), Sicherheitsantworten zum Passwort etc. kompromittiert, welche man im Rahmen der Anmeldung am PSN erhoben hat. Man fragt sich zunächst natürlich, ob wirklich alle Daten zum Mitspielen nötig waren.
Unabhängig davon bestätigt Sony, dass auf Kreditkartendaten zugegriffen werden konnte. Nach geraumer Zeit hat man aber nachgelegt und klar gestellt, dass diese verschlüsselt gewesen wären. Man darf sich allerdings schon fragen, ob man dieser Aussage glauben schenken darf. Immerhin schreibt der PCI-DSS Standard der Kreditkartenhersteller eine Verschlüsselung von Kreditkartennummern vor - und man wird irgendwie den Eindruck nicht los, dass man bei Sony durch eine Veränderung seiner Aussage dort im Nachhinein nichts anbrennen lassen will.
Der Eindruck wird dadurch verstärkt, dass zunächst auch behauptet wurde, die sogenannten CVCs (die dreistelligen Sicherheitscodes auf der Rückseite von Kreditkarten) seien nicht betroffen, da sie andernorts gespeichert wären. Mittlerweile hat man aber wohl erkannt, dass die CVC Nummern laut PCI-DSS in keinem Falle überhaupt gespeichert werden dürfen und beeilt sich nun zu behaupten, dass dies selbstverständlich der Fall sei.
All das sieht dann doch eher nach einer Schutzbehauptung aus haftungsrechtlicher Sicht aus, als nach glaubhaften Tatsachen, zumal offenbar mittlerweile lt. N-TV 2.2 Mio Datensätze aus dem Bestand inkl. Kreditkartennummern zum Kauf angeboten werden.
Immerhin ist davon auszugehen, dass das PCI Council einen unabhängigen Forensiker hinschicken wird und man wird sehen ...
Was tun?
Nachfolgend kurz die wichtigsten Tipps für Betroffene:
- viele Menschen benutzen dieselben Accounts mit denselben Passworten auf verschiedenen Plattformen (ebay, Amazon, ...). Daher tut jeder Betroffene gut daran seine Passworte auf allen Plattformen zu ändern (und idealerweise überall andere zu nutzen)
-
Kreditkartenkonto und Bankkonto checken und unerklärbare Buchungen dem Kreditkartenunternehmen oder der ausgebenden Bank melden!
Sollte bekannt werden, dass wirklich Kartennummern kompromittiert sind, werden die Kartenunternehmen normalerweise neue Kreditkarten mit neuen Nummern ausgeben und die alten Karten invalidieren! -
Es ist damit zu rechnen, dass in nächster Zeit Spam oder Phishing Mails an die eMail Adressen von Betroffenen gesendet werden. Diese werden u.U. sehr vertrauenserweckend sein, kennt man ja die Nationalität, das Alter, Kreditkartenunternehmen etc.
Es ist daher unbedingt darauf zu achten auf Anfragen hin keine persönlichen Angaben oder Passwörter preis zu geben. Sony wird derlei nicht erfragen.
Vorbeugen
- Bei der Registrierung auf irgendwelchen Plattformen sollten man (im Rahmen des rechtlich vertretbaren) nur die wirklich wichtigen und nötigen Daten angeben, die der Anbieter tatsächlich benötigt. Ist es nicht möglich Felder leer zu lassen, kann man sich ja sicher schon mal vertippen.
- Werden eMail Adressen gefordert, die für den eigentlichen Ablauf nicht nötig sind, kann es auch sinnvoll sein sich eine Spam-Adresse bei einem kostenfreien Provider zu sichern, die nur dazu dient unerwünschte Mails zu empfangen.
- Lesen Sie die AGB und die Datenschutzbestimmungen! Stimmen Sie nicht zu, wenn Ihnen nicht gefällt was Sie lesen, oder wenn Sie die eigentlichen Text auch nach fünf klicks auf weitere Links noch nicht gefunden haben!
- Wählen Sie Optionen ab, wie "ich will weitere Informationen erhalten", oder "ich bin einverstanden, dass meine Daten an Dritte weitergegeben werden, die mir wahnsinnig interessante Angebote machen werden".