Einloggen statt einbrechen Cyberkriminelle nutzen immer häufiger kompromittierte Konten

Anbieter zum Thema

Varonis Systems (Deutschland) GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Ein neuer Report enthüllt, dass Angreifer zunehmend kompromittierte Konten statt Einbrüche nutzen, um an sensible Unternehmensdaten zu gelangen. 57 Prozent der Attacken erfolgten per gestohlener Anmeldedaten, die Datenexfiltration dominierte. Ohne schnelle Forensik bleibt die Gefahr oft monatelang unentdeckt.

Während aufwändige, oftmals staatlich finanzierte Angriffe die Schlagzeilen bestimmen, sieht die Realität meist weniger spektakulär aus. Wie genau, zeigt der aktuelle Report „The Identity Crisis: An in-depth report of cyberattacks in 2024“ von Varonis Systems, für den 35 der US-amerikanischen Börsenaufsicht gemeldeten Cybervorfälle zwischen Januar und August 2024 analysiert wurden. So nutzten bei mindestens jedem zweiten erfolgreichen Angriff (57 Prozent) Cyberkriminelle ein kompromittiertes Nutzerkonto, um Zugang auf die Systeme zu erhalten. Dieser Anteil könnte sogar noch deutlich höher ausfallen, da auch Wochen und Monate nach dem Vorfall 85 Prozent der Angriffe noch untersucht werden.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

„Die Zahlen unterstreichen einen Trend, den unser Incident Response Team schon seit geraumer Zeit beobachtet: Cyberkriminelle brechen immer seltener ein, stattdessen nutzen sie ergaunerte Anmeldeinformationen, um sich in die Systeme ihrer Opfer einzuloggen“, erklärt Volker Sommer, Regional Sales Director DACH von Varonis. „Dies macht ihre Entdeckung prinzipiell schwieriger, da es sich ja um scheinbar legitime Insider handelt, die sich mit gewissen Rechten ausgestattet in der Infrastruktur bewegen. Ohne eine intelligente Analyse des Nutzerverhaltens hat man kaum eine Chance, diesen Kriminellen schnell auf die Schliche zu kommen.“

In einigen der dokumentierten Fälle verwendeten die Angreifer bereits kompromittierte Anmeldedaten, wie bei der gezielten Kampagne gegen Snowflake-Kunden. Diese führte bislang zu mindestens vier Cyberangriffen. Einigen Berichten zufolge könnten die Angreifer insgesamt auf etwa 165 Konten von Unternehmen zugegriffen haben. In anderen Fällen haben die Angreifer Anmeldedaten durch Techniken wie Phishing, Social Engineering oder Password Spraying erlangt.

Angreifer nutzen Infostealer-Malware für Zugriff auf Kundendatenbanken

Hacker UNC5537 nimmt Snowflake-Kunden ins Visier

Das Hauptziel: Sensitive Daten

Das Ziel der meisten Cyberangriffe sind der Analyse zufolge die wertvollen Unternehmensdaten: Datenexfiltration war die häufigste Folge der Attacken, noch deutlich vor der Unterbrechung des Geschäftsbetriebs und Verschlüsselung. Dabei betrafen 54 Prozent der Vorfälle personenbezogene Daten, 23 Prozent Gesundheitsinformationen und 7 Prozent Finanzdaten.

Auffallend sind zudem die langen Untersuchungszeiten von oftmals mehreren Monaten. Sie deuten auf die Komplexität der Analyse gepaart mit mangelnden Forensik-Möglichkeiten hin. „Aber gerade die Zeit ist ein kritischer Faktor nach einem Cybervorfall“, so Sommer. „Sicherheitsverantwortliche müssen möglichst schnell die drängendsten Fragen beantworten können: Wurden sensitive Daten entwendet? Und wenn ja: welche und in welchem Umfang? Gerade hier sehen wir bei zahlreichen Cyberangriffen, dass die betroffenen Unternehmen immer nur scheibchenweise Informationen veröffentlichen. Dabei ist nicht einmal böse Absicht zu unterstellen, sondern wohl in erster Linie mangelnder Einblick in die Datensicherheitslage.“

Mit der zunehmenden Ausnutzung von Anmeldedaten rückt der Blast Radius, also der potenzielle Schaden, den ein kompromittiertes Konto verursachen kann, stärker in den Fokus der Security. Seine Minimierung, insbesondere durch die Reduzierung von Zugriffsrechten und der Durchsetzung eines Least-Privilege-Ansatzes, sollte bei allen Sicherheitsverantwortliche auf der Agenda ganz oben stehen.

„Sicherheitsverantwortliche können gar nicht paranoid genug sein“

Das Ende der Unschulds­vermutung in der IT-Sicherheit

(ID:50287731)