Folge 7 von 13 · Anatomie eines Hacks
Der Angreifer hatte das Passwort. Die Bestätigung schenkte ihm der Mitarbeiter.
Nicht aus Dummheit. Aus Genervtheit.
September 2022, Uber. Die Zwei-Faktor-Anmeldung war eingerichtet und hat funktioniert. Trotzdem stand der Angreifer kurz darauf im internen Netz.
- Das Passwort eines externen Dienstleisters kursierte bereits im Untergrund – abgegriffen von einem Schadprogramm auf dessen Privatgerät.
- Der Angreifer meldete sich damit immer wieder an. Bei jedem Versuch kam beim Dienstleister eine Push-Nachricht aufs Handy: „Anmeldung bestätigen?“ Wieder. Und wieder. Über Stunden.
- Dann schrieb der Angreifer ihn über einen Messenger an – angeblich als IT-Support des Unternehmens: Die Meldungen hörten auf, sobald er einmal bestätige.
- Er bestätigte. Kurz darauf fand der Angreifer auf einem Netzlaufwerk ein Skript, in dem ein Administrator-Passwort im Klartext stand – und kam damit an zentrale interne Systeme.
Die Folgen
- Zugriff auf interne Werkzeuge, Verwaltungsoberflächen und das Chat-System
- der Angreifer meldete sich im firmeninternen Chat selbst zu Wort
- mehrere Systeme wurden vorsorglich abgeschaltet, die Aufarbeitung zog sich über Wochen
Warum ich diese Geschichte teile
Weil hier nicht die Technik versagt hat, sondern ihre Bedienung. Die Zwei-Faktor-Anmeldung hat exakt das getan, wofür sie da ist – sie hat gefragt. Drei Punkte:
- Eine Bestätigung, die Sie nicht ausgelöst haben, wird nie bestätigt. Auch nicht beim zehnten Mal. Genau auf diese Ermüdung wird gesetzt.
- Stellen Sie auf Nummernabgleich um. Eine zweistellige Zahl abtippen ist etwas lästiger als „Ja“ – und beendet diese Angriffsart praktisch vollständig.
- Echte IT bittet nie um eine Bestätigung. Kein Anruf, keine Nachricht, keine Mail. Wenn doch jemand fragt: auflegen und selbst zurückrufen. Und der unbequeme Teil zum Schluss: das Administrator-Passwort im Skript auf dem Netzlaufwerk. Genau danach sucht jeder, der einmal drin ist. Solche Dateien liegen in fast jedem Unternehmen – meist seit Jahren, meist weiß niemand mehr davon.
Die gute Nachricht: Beides lässt sich prüfen. Bei einem Penetrationstest schauen wir, wie weit man mit einem gekaperten normalen Benutzerzugang tatsächlich kommt – und wo bei Ihnen Zugangsdaten im Klartext herumliegen.
Ehrliche Frage: Wüssten Ihre Mitarbeiter, was zu tun ist, wenn das Handy plötzlich zum zehnten Mal nach einer Bestätigung fragt?
Quelle: öffentlich dokumentiert (Sicherheitsvorfall bei Uber 2022; u. a. die eigenen Vorfallberichte des Unternehmens, heise online, BleepingComputer).