Australisches Telco-Unternehmen Optus wird erpresst Wenn APIs zur Bedrohung werden

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Bei Optus, dem zweitgrößten Telekommunikationsunternehmen Australiens, ist es zu einem API-Sicherheitsvorfall in enormem Ausmaß gekommen. Hacker sind über nicht authentifizierte APIs in das Unternehmen eingedrungen und konnten etwa 10 Millionen Kundendaten stehlen. Bei etwa 2,8 Million Kunden wurden sogar sensible Informationen wie Ausweis- oder Führerscheinnummern gestohlen. Die Hacker forderten 1 Million Australische Dollar von Optus.

Als wäre der Datendiebstahl bei Optus von knapp 40 Prozent der australischen Bevölkerung nicht schlimm genug, haben sich die Hacker auch noch direkt an Optus-Kunden gewandt und sie aufgefordert, 2.000 Australische Dollar zu bezahlen, oder ihre persönlichen Daten werden für „betrügerische Aktivitäten“ verkauft. Doch wie konnte es zu einem Sicherheitsproblem wie diesem kommen? Bislang ist klar: Nicht authentifizierte APIs haben den Erpressern den Weg geebnet und setzen dem Unternehmen nun schwer zu. Dabei stellen nicht authentifizierte APIs (auch offene APIs genannt), eine der häufigsten API-Sicherheitslücken dar. Laut der Liste der OWASP API Security Top 10 des Open Web Application Security Project stellt eine nicht funktionierende Benutzerauthentifizierung die zweitgrößte API-Schwachstelle dar. Böswillige Akteure wissen, dass sie Daten von nicht authentifizierten APIs sehr leicht auslesen können – was diese Schwachstelle zu einem ihrer wichtigsten Ziele macht.

Wachsende API-Nutzung im Telekommunikationssektor erhöht die Sicherheitsrisiken

Wie Unternehmen in vielen anderen Branchen setzen nun verstärkt auch Telekommunikationsunternehmen und Internetanbieter auf APIs, um ihre Initiativen zur digitalen Transformation voranzutreiben. Einer kürzlich von Acumen Research and Consulting veröffentlichten Studie zufolge wird der globale Telekommunikations-API-Markt zwischen 2022 und 2030 eine jährliche Wachstumsrate von mehr als 20 Prozent verzeichnen. Studie führt das Wachstum auf den immer stärker werdenden Wettbewerb zwischen Telekommunikationsunternehmen zurück, die ihren Kunden verbesserte und erweiterte Dienste anbieten wollen.

Ein Leben ohne APIs ist kaum noch denkbar: Es gibt mittlerweile kein IoT-Gerät mehr, das ohne sie auskommt, seien es Sicherheitskameras oder gar Video-Türklingeln. APIs sind allgegenwärtig geworden -und IoT-Geräte immer stärken von dieser Art von Verstößen betroffen. APIs können, wie im Fall des australischen Telekommunikationsunternehmens, nicht authentifiziert sein, oder aber sie verwenden eine sehr einfache Authentifizierung, wie beispielsweise die standardmäßige Basisauthentifizierung. Diese ist jedoch sehr leicht zu umgehen.

Aufgrund der zunehmenden Verbreitung solcher IoT-Geräte im Telekommunikationssektor sollten sich Telcos und Internet Service Provider dieser Bedrohungen bewusst sein. Darüber hinaus müssen sie sicherstellen, dass jeder in ihrem Unternehmen die verschiedenen Sicherheitsanforderungen versteht und dass die Teams miteinander über die Sicherheitsschritte kommunizieren, die in jeder Phase des API-Design-, Entwicklungs- und Bereitstellungsprozesses durchgeführt bzw. nicht durchgeführt wurden. Denn sehr oft wird die API-Entwicklung von mehreren Personen und Gruppen gemeinsam durchgeführt. Deren Wiederverwendung ist ein bewusstes Gestaltungsprinzip. Wenn jedoch eine API in einer neuen Sequenz verwendet wird, wird mitunter ein früherer Sicherheitsschritt in einer früheren API nicht berücksichtigt.

Internet Service Provider benötigen eine starke Authentifizierung, um ihre Geräte und Daten zu schützen. Außerdem geht das Risiko, dass solche nichtauthentifizierten APIs mit sich bringen, weit über das pure Auslesen von Daten hinaus. Angreifer können Schwachstellen in der Authentifizierung nicht nur ausnutzen, um Benutzerkonten zu übernehmen, sondern auch auf alle Daten zugreifen, für die ein Gerät zugriffsberechtigt ist. Angreifer können also auch recht schnell das gesamte Netzwerk kontrollieren, wenn die Netzwerkkomponenten eines Telekommunikationsunternehmens ausgenutzt werden können.

Telekommunikationsunternehmen brauchen einen abteilungsübergreifenden Ansatz für die API-Sicherheit

Menschliches Versagen spielt bei Sicherheitsverletzungen fast immer eine Rolle. Doch es geht nicht nur darum, dass Einzelne vorsichtiger sind. APIs tangieren alle Bereiche innerhalb einer Organisation, nicht nur die Entwicklung. In der Regel teilen sich mehrere Teams die Verantwortung für APIs. Oft kann eine falsche (oder unvollständige) Kommunikation zu Problemen führen. So können beispielsweise Infrastrukturteams davon ausgehen, dass das Entwicklungsteam die Authentifizierungsanforderungen bereits erfüllt hat. Sie glauben vielleicht, dass die API bereits einer Sicherheitsüberprüfung unterzogen wurde – dabei ist das gar nicht der Fall. Solche Missverständnisse sind leider häufig an der Tagesordnung. Im Fall von Optus hat das Netzwerkteam offenbar unbeabsichtigt ein Testnetzwerk im Internet zur Verfügung gestellt, das dann leicht ausgenutzt werden konnte.

Was Telekommunikationsunternehmen tun sollten

Wie viele andere API-Verletzungen zeigt auch der Optus-Sicherheitsvorfall, dass eine besondere API-Sicherheit wirklich unverzichtbar ist. Die zunehmende Verbreitung von APIs in Telekommunikations- und ISP-Umgebungen hat neue und komplexe Sicherheitsrisiken geschaffen, die mit den bestehenden Vorschriften und herkömmlichen Sicherheitslösungen nicht vollständig abgewehrt werden können. Um diese wachsende Angriffsfläche zu schützen, ist es für Telekommunikationsunternehmen ratsam:

• die Risiken zu kennen – angefangen bei den in der OWASP API Security Top 10 aufgelisteten Bedrohungen

• einen unternehmensweiten Ansatz sicherzustellen. API-Sicherheit ist nicht abteilungsgebunden und muss funktionsübergreifend im gesamten Unternehmen kommuniziert und unterstützt werden.

• APIs kontinuierlich zu überwachen – Zusätzlich sollte eine vollständige Inventarliste sämtlicher APIs angefertigt werden. Darüber hinaus sollten Telcos und ISPs die APIs in ihrer Umgebung kontinuierlich und lückenlos auf Verhaltensabweichungen überwachen.

Um potenzielle API-Bedrohungen erkennen zu können, müssen Unternehmen verstehen, wie APIs normalerweise in ihrer Umgebung funktionieren. Mit diesem Wissen können Telekommunikationsunternehmen Bedrohungen schnell erkennen und schnell reagieren, bevor ein böser Akteur auf ihre kritischen Benutzerdaten zugreift - oder gar schlimmeres anrichtet.

Über den Autor: Daniel Wolf ist als Regional Director DACH von Salt Security tätig. Er ist verantwortlich für den Ausbau der Marktposition des Anbieters von API-Sicherheit in der Region, den Aufbau einer Vertriebsorganisation sowie eines Partnernetzwerks in DACH. Zuvor hatte der Diplom-‚Betriebswirt mehrere weitere Positionen bei innovativen Security-Anbietern inne, darunter Exabeam, Ironport und Fireeye.

(ID:48800786)