Hacker stahlen die 1Password-Datenbank dieses Ingenieurs. Könnte Ihnen das auch passieren?
Ein Softwareentwickler bei der Disney Company lud unwissentlich eine Malware herunter, die sein Leben völlig auf den Kopf stellte. Lag es am Passwort-Manager?
Das ist die Definition eines Albtraum-Szenarios.
Im Februar 2024 lud Matthew Van Andel ein kostenloses KI-Tool auf den Computer in seinem Homeoffice herunter. Fünf Monate später stellte der in Südkalifornien ansässige Ingenieur fest, dass die App eine unerwünschte Zusatzkomponente enthielt - ein Datendiebstahl-Tool, das externen Angreifern vollen Zugriff auf seinen Computer gewährte.
Wie Robert McMillan und Sarah Krouse in der Wall Street Journal berichteten, stand dieses Malware unter der Kontrolle einer unbekannten Person, die behauptete, Mitglied einer Anti-KI-Aktivistengruppe zu sein, die es auf Van Andels Arbeitgeber, die Walt Disney Company, abgesehen hatte.
Der Hacker gelangte in den Zugriff auf 1Password - ein Passwort-Manager, den Van Andel nutzte, um Passwörter und andere sensible Informationen zu speichern - sowie auf „Sitzungscookies“, also digitale Dateien auf seinem Computer, die es ihm ermöglichten, auf Online-Ressourcen zuzugreifen, darunter den Slack-Kanal von Disney.
(Falls Sie kein WSJ-Abonnement haben, können Sie eine Kopie des Artikels ohne Bezahlbarriere auf MSN lesen.)
Van Andel sagte der WSJ, er habe den Sicherheitsvorfall umgehend dem Cybersecurity-Team von Disney gemeldet, eine Anzeige bei der Polizei erstattet und anschließend mehrere Tage damit verbracht, alle seine Passwörter zu ändern. Als Vergeltung packten die Hacker mehr als ein Terabyte an Daten aus Disneys internen Slack-Kanälen zusammen und veröffentlichten das gesamte Material - insgesamt 44 Millionen Nachrichten - online. Laut dem Cybersecurity-Team von Disney enthielt das Datenpaket „private Kundendaten, Reisepassnummern der Mitarbeiter sowie Angaben zu den Einnahmen aus Themenparks und dem Streaming-Dienst“.
Die Angreifer veröffentlichten außerdem sämtliche persönlichen Daten, die sie über den 42-jährigen Ingenieur hatten - darunter Kreditkartennummern, seine Krankengeschichte sowie alle 1Password-Anmeldedaten.
Van Andel verlor seinen Job, nachdem eine forensische Untersuchung von Disney angeblich ergeben hatte, dass er gegen die Richtlinien des Unternehmens verstoßen und pornografisches Material auf seinem Arbeitslaptop angesehen hatte. (Van Andel bestreitet diese Anschuldigung.)
Der Artikel der WSJ befasst sich ausführlich mit 1Password und weist darauf hin, dass das Opfer den Passwort-Manager nutzte, um die Zwei-Faktor-Authentifizierungsschlüssel für zahlreiche Webseiten zu speichern - und dass er die Zwei-Faktor-Authentifizierung für 1Password selbst nicht aktiviert hatte.
Heißt das also, dass seine Wahl des Passwort-Managers zum Teil dafür verantwortlich ist, dass er jetzt solche Probleme hat? Und nachdem Sie diese Geschichte gelesen haben: Sollten Sie Ihre Strategie zur Passwortverwaltung überdenken?
In diesem Fall ist es schwer, dem Passwort-Manager irgendeine Schuld zuzuweisen. Die Bösewichte hatten fünf Monate lang ungehinderten Zugang zu seinem Computer! Der Keylogger war in der Lage, sämtliche Anmeldeinformationen zu stehlen, die er in dieser Zeit verwendete - selbst dann, wenn die Benutzernamen und Passwörter manuell eingegeben wurden. Mithilfe ihres Remote-Zugriffs hätten sie nach dem Entsperren der 1Password-Datenbank einfach eine unverschlüsselte Kopie davon exportieren können.
Die Angreifer stahlen außerdem Sitzungs-Cookies, wodurch sie als authentifizierter Nutzer remote auf Konten zugreifen konnten. Das ist die wahrscheinlichste Erklärung dafür, wie die Slack-Kommunikation des Unternehmens kompromittiert wurde. Und das wäre auch der Fall gewesen, wenn der Besitzer des PCs ausschließlich Phishing-resistente 2FA-Codes oder -Abfragen verwendet hätte, die auf einem separaten Gerät verwaltet wurden.
Die Angreifer haben die Server von 1Password nie berührt, und es gibt keine Beweise dafür, dass sie die Verschlüsselung knacken konnten, mit der diese Datenbank geschützt wurde. Dasselbe wäre bei jedem Passwort-Manager-Programm passiert.
Nein, das eigentliche Problem ist, dass das Opfer eine nicht vertrauenswürdige Software heruntergeladen und unbewusst Malware installiert hatte, die seinen PC übernommend kontrollierte. (Eine Analyse des schädlichen Codes finden Sie in diesem Reddit-Beitrag eines anderen GitHub-Nutzers.) Der Schaden wäre vielleicht geringer gewesen, wenn das Opfer die Übernahme seines PCs in den ersten Tagen bemerkt hätte - doch offenbar löste nichts irgendwelche Alarmsignale aus. Und als die Hacker erkannten, dass sie es mit einem hochbezahlten Ingenieur eines Fortune-50-Unternehmens zu tun hatten, war das Spiel vorbei.
Es ist erwähnenswert, dass dieser Sicherheitsverstoß auf dem privaten Gerät des Opfers stattfand - auf diesem hatte er Zugriff auf die Disney-Slack-Kanäle. Sein Arbeitsgerät blieb laut Berichten jedoch von dem Datenklau-Programm unberührt. Die meisten großen Unternehmen verfügen über Sicherheitsprotokolle, die verhindern, dass Nutzer willkürlich Software auf Firmencomputern installieren. Dieser Vorfall ist ein gutes Beispiel dafür, warum solche Beschränkungen existieren - und warum es niemals eine gute Idee ist, unzuverlässige Programme auf eigenen Geräten zu installieren.
Ein Aspekt dieser Geschichte hat mich davon überzeugt, meine Online-Sicherheitseinstellungen noch einmal zu überprüfen - insbesondere für Konten, die durch Zwei-Faktor-Authentifizierung geschützt sind. Ich verwende gerne meinen Passwort-Manager, um für viele Konten einmalige Zugangscodes als zweiten Authentifizierungsfaktor zu generieren. Doch bei besonders wichtigen Zugangsdaten - wie denen zu meinem Haupt-E-Mail-Anbieter, meinen Bank- und Kreditkartenkonten sowie Authentifizierungsdiensten wie ID.me und login.gov - setze ich lieber auf ein separates Authentifizierungsgerät oder einen Schlüssel, der an die Biometrie meines PCs gebunden ist.
Und natürlich habe ich die Zwei-Faktor-Authentifizierung für 1Password aktiviert - wobei ich einen Yubico-Hardware-Schlüssel sowie ein separates Authenticator-Gerät als zweite Authentifizierungsfaktoren verwende. Wie die Entwickler von 1Password in ihren Schritt-für-Schritt-Anleitungen betonen, ist dies eine wichtige Vorsichtsmaßnahme: „Es ist wichtig, eine andere Authenticator-App zu verwenden, um die Authentifizierungscodes für Ihr 1Password-Konto zu speichern. Sie in 1Password zu speichern wäre so, als würde man den Schlüssel zum Safe in den Safe selbst legen.“
Jede Entscheidung im Bereich Online-Sicherheit beinhaltet Kompromisse. Die Verwendung eines Passwort-Managers ermöglicht es, leicht starke, einzigartige Passwörter für jede Website zu erstellen und diese sicher auf mehreren Geräten zu synchronisieren. Das wäre ohne Hilfsmittel unmöglich. Dieser Kompromiss scheint es wert zu sein - daher ist es essenziell, die Passwortdatenbank mit einem starken Passwort sowie einer zusätzlichen Zwei-Faktor-Authentifizierung zu schützen.
Und wenn Ihre unternehmensinterne IT-Abteilung manchmal übertrieben vorsichtig zu sein scheint, versuchen sie vielleicht einfach, ein Albtraum-Szenario für sich zu vermeiden.