Vereinigte Staaten
US-Anwaltskanzleien
Google und das FBI haben US-Anwaltskanzleien vor einer Ransomware-Bande gewarnt, die ihre Vorgehensweise verschärft hat, indem sie in einigen Fällen falsche IT-Mitarbeiter direkt in die Büros der Opfer schickt.
Am 5. Juni veröffentlichten Googles Mandiant und die Google Threat Intelligence Group einen Bericht, in dem Angriffe der „Silent Ransom Group“ zwischen Januar und Mai detailliert beschrieben werden, die sich gegen Dutzende von Organisationen richteten. Dem Bericht zufolge nutzte die Gruppe physischen, persönlichen Zugang, um ihre Angriffe zu erleichtern, unter anderem durch das Einschleusen von Insidern, die Bestechung von Mitarbeitern und das Erlangen von Zutritt zu Bürogebäuden zur Unterstützung ihrer Cyberoperationen.
Erst im vergangenen Monat warnte das FBI, dass die „Silent Ransom Group“ Anwaltskanzleien im Rahmen von Phishing- und Social-Engineering-Kampagnen ins Visier nehme, wobei sich die Angreifer als IT-Support-Mitarbeiter ausgaben. In einigen Fällen sollen die Angreifer angeblich gefälschte IT-Mitarbeiter in die Büros der Opfer geschickt haben, wo diese sich mit den Geräten der Mitarbeiter verbanden und mithilfe von USB-Sticks oder Fernzugriffstools Verträge, Sozialversicherungsnummern, Finanzunterlagen und Steuerdaten stahlen.
QuelleWie sich das auf Ihr Unternehmen auswirken könnte
Sich als Mitarbeiter des IT- oder technischen Supports auszugeben, ist eine zunehmend verbreitete Taktik von Cyberkriminellen, um Zugriff auf sensible Systeme und Daten zu erlangen. Unter dem Vorwand, ein Sicherheits- oder technisches Problem zu beheben, bauen Angreifer Vertrauen auf und überreden ihre Opfer, an Bildschirmfreigabesitzungen teilzunehmen. Anschließend versuchen sie, Sicherheitskontrollen zu umgehen, indem sie die Opfer dazu überreden, Fernzugriffssoftware zu installieren oder in Anwendungen wie Zoom und Microsoft Teams integrierte Bildschirmfreigabefunktionen zu nutzen. Nutzer sollten stets die Identität und Legitimität jeder Person überprüfen, die Zugriff auf ihre Geräte oder sensible Informationen anfordert, bevor sie irgendwelche Maßnahmen ergreifen.
Nord-Amerika
Das Entwickler-Ökosystem von Microsoft
Ein sich rasch ausbreitender Angriff auf die Lieferkette im Zusammenhang mit dem „Miasma“-Wurm traf am 5. Juni das Entwickler-Ökosystem von Microsoft und verbreitete sich über Code-Repositorys, die mit Azure-Cloud-Tools verbunden sind.
GitHub hat 73 Repositorys in vier Microsoft-GitHub-Organisationen deaktiviert, nachdem über ein zuvor kompromittiertes Mitwirkendenkonto ein bösartiger Commit in das Repository „Azure/durabletask“ gepusht worden war. Bei dem Angriff wurden Konfigurationsdateien eingefügt, die darauf abzielten, eine Payload zum Diebstahl von Anmeldedaten auszuführen, sobald Entwickler das Repository mit Tools wie Claude Code, Gemini CLI, Cursor oder Visual Studio Code öffneten. Die Kampagne zielte gezielt auf die Vertrauensbeziehungen und Automatisierungsfunktionen ab, die zunehmend in moderne Softwareentwicklungs-Workflows integriert sind.
Der Vorfall scheint die jüngste Entwicklung der „Miasma“-Kampagne zu sein, einer Supply-Chain-Operation, die auf selbstreplizierender Malware basiert und mit dem Akteur „TeamPCP“ in Verbindung steht.
QuelleWie sich das auf Ihr Unternehmen auswirken könnte
Angriffe auf die Lieferkette nehmen weiter zu, da Angreifer zunehmend vertrauenswürdige Software-Repositorys, Entwicklungstools und Komponenten von Drittanbietern ins Visier nehmen, um einen größeren Kreis von Opfern zu erreichen. Da sich eine einzige Kompromittierung auf mehrere Organisationen auswirken kann, haben diese Angriffe weitreichende Folgen für das gesamte Software-Ökosystem. Unternehmen sollten ihre Code-Review-Prozesse verstärken, strenge Zugriffskontrollen für Repositorys durchsetzen, CI/CD-Pipelines kontinuierlich auf verdächtige Aktivitäten überwachen und Abhängigkeiten von Drittanbietern regelmäßig überprüfen, um das Risiko einer Kompromittierung zu verringern.
Nord-Amerika
Dashlane
Die Plattform für die Sicherheit von Zugangsdaten, Dashlane, gab bekannt, dass Angreifer mindestens ein Dutzend verschlüsselte Tresore erbeutet haben, in denen Kunden ihre Passwörter und andere sensible Zugangsdaten speichern.
Nach Angaben des Unternehmens gelang es den Angreifern, das Zwei-Faktor-Authentifizierungssystem durch Brute-Force-Angriffe zu überwinden und so Zugriff auf etwa 20 Kundenkonten zu erlangen. Durch die Umgehung des Authentifizierungsmechanismus konnten die Angreifer Kopien der verschlüsselten Tresore bestimmter Kunden herunterladen. Dashlane teilte mit, dass es die betroffenen Kunden, auf deren verschlüsselte Tresore die Angreifer zugegriffen und diese heruntergeladen hatten, benachrichtigt habe.
Dashlane bestätigte später, dass die Untersuchung des Vorfalls abgeschlossen sei, und stellte fest, dass die Angreifer API-Endpunkte ins Visier genommen hatten, die für die Geräteregistrierung genutzt werden. Nach Angaben des Unternehmens setzten die Angreifer eine Brute-Force-Attacke ein, um eine große Anzahl automatisierter Anfragen an diese Endpunkte zu senden, wodurch sie Zugriff auf eine begrenzte Anzahl von Kundenkonten erlangten.
QuelleWie sich das auf Ihr Unternehmen auswirken könnte
Ein Brute-Force-Angriff, auch als „Credential Stuffing“ bekannt, liegt vor, wenn Angreifer eine große Anzahl von Benutzernamen- und Passwortkombinationen einsetzen, um sich unbefugten Zugriff auf Konten zu verschaffen. Vorfälle wie dieser unterstreichen die Bedeutung der Multi-Faktor-Authentifizierung, die eine zusätzliche Sicherheitsebene bietet, selbst wenn Zugangsdaten kompromittiert werden. Unternehmen sollten zudem die Verwendung sicherer, einzigartiger Passwörter fördern und ungewöhnliche Anmeldeaktivitäten überwachen, um unbefugten Zugriff zu verhindern.
Vereinigte Staaten
Colina Financial Advisors Limited
Die Ransomware-Gruppe „Incransom“ hat am 3. Juni Colina Financial Advisors Limited (CFAL) auf ihrer Website für Datenlecks als Opfer aufgeführt.
Colina Financial Advisors Limited mit Sitz auf den Bahamas ist ein unabhängiges Vermögensverwaltungs- und Anlageberatungsunternehmen und der Investmentzweig der Colina Holdings Ltd. Der Angriff soll am 1. Juni stattgefunden haben und Berichten zufolge den Diebstahl von etwa 500 GB streng vertraulicher Daten zum Gegenstand gehabt haben. Zu den offengelegten Informationen sollen personenbezogene Daten von Kunden, Finanzprofile und Vermögensdaten, firmeneigene Geschäftsinformationen, Systemdaten, Dokumente zur Nachlass- und Rechtsplanung sowie Unterlagen zur Einhaltung aufsichtsrechtlicher Vorschriften gehören.
Die Offenlegung sensibler Finanzprofile von Kunden und Dokumenten zur Nachlassplanung birgt ein erhebliches Risiko für gezielten Betrug, Social Engineering und andere böswillige Aktivitäten, die sich gegen die Kunden des Unternehmens richten.
QuelleWie sich das auf Ihr Unternehmen auswirken könnte
Sollten Ihre Daten bei Vorfällen wie diesem kompromittiert worden sein, ist es wichtig, wachsam gegenüber potenziellen Phishing-Versuchen, Identitätsdiebstahl und unbefugten Finanztransaktionen zu bleiben. Betroffene sollten ihre Finanzkonten sorgfältig auf verdächtige Transaktionen überwachen, Kontoauszüge regelmäßig überprüfen und erwägen, eine Betrugswarnung in ihre Kreditauskünfte eintragen zu lassen, um den Missbrauch ihrer persönlichen Daten aufzudecken und zu verhindern.
Vereinigte Staaten
Eversource Energy
Die persönlichen Daten von Einwohnern in Connecticut, Massachusetts und New Hampshire wurden infolge von Phishing- und Social-Engineering-Angriffen auf Eversource Energy offengelegt.
Eversource Energy, früher bekannt als Northeast Utilities, teilte mit, dass Phishing- und Social-Engineering-Angriffe im April zur Kompromittierung von zwei Mitarbeiterkonten geführt hätten. Über diese Konten verschafften sich die Angreifer Zugriff auf die persönlichen Daten von mehr als 3.000 Kunden. Das Unternehmen gab an, die Regulierungsbehörden für die Energieversorgung in allen drei Bundesstaaten sowie die Strafverfolgungsbehörden auf Bundes- und Landesebene informiert zu haben, hat jedoch keine weiteren Details zu dem Vorfall bekannt gegeben.
Die bei dem Datenleck offengelegten Informationen variieren je nach Kunde und können Namen, Post- und Serviceadressen, Kontoinformationen, Telefonnummern, E-Mail-Adressen, Sozialversicherungsnummern, Führerscheinnummern sowie Finanzkontoinformationen umfassen.
QuelleWie sich das auf Ihr Unternehmen auswirken könnte
Dieser Vorfall verdeutlicht, wie ein einziger erfolgreicher Phishing-Angriff sensible Kundendaten offenlegen und sowohl für Unternehmen als auch für Einzelpersonen Folgegefahren mit sich bringen kann. Unternehmen sollten ihre Schulungsmaßnahmen zur Sensibilisierung der Nutzer verstärken, eine Multi-Faktor-Authentifizierung einführen und verdächtige Kontoaktivitäten kontinuierlich überwachen. Kunden, die von solchen Sicherheitsverletzungen betroffen sind, sollten gegenüber unaufgeforderten Mitteilungen weiterhin vorsichtig sein und Anfragen nach persönlichen oder finanziellen Daten überprüfen, bevor sie darauf reagieren.
