Bitcoin-Betrug mit Lehren für Unternehmen und Gesellschaft Twitter arbeitet Sicherheitsvorfall auf
Zunächst als Bitcoin-Betrug wahrgenommen, beschäftigt der Mitte Juli bekannt gewordene Angriff den Kurznachrichtendienst Twitter immer noch. Nun bekannt gewordene Details liefern dabei auch nützliche Erkenntnisse für Unternehmen, Politik und Gesellschaft.
(Bild: © natanaelginting – stock.adobe.com)
Was mit Twitter im Argen lag oder noch liegt, konnte spätestens am Morgen des 16. Juli jeder sehen. Zu jenem Zeitpunkt kursierten im Netz bereits Screenshots mit fragwürdigen Wortmeldungen verifzierter Konten. Zu lesen war etwa ein vermeintliches Versprechen des ehemaligen US-Präsidenten Barack Obama. Überweise man ihm das Äquivalent von 1.000 US-Dollar in der Kryptowährung Bitcoin, gebe es postwendend den doppelten Betrag zurück. Laut Blockchain.com gingen auf die im Obama-Post genannte Adresse (bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhx0wlh) übrigens knapp 13 Bitcoin ein, was aktuell einem Betrag über 100.000 Euro entspräche.
Wer den Betrug jetzt noch nicht witterte, erhielt schließlich Gewissheit vom Twitter-Support. Der meldete bereits am 15. Juli einen „security incident“ und versuchte den Vorfall mit temporär eingeschränkten Twitter-Konten einzudämmen. Twitter-CEOs Jack Dorsey sprach angesichts der erfolgreichen Manipulation von einem schweren Tag für das Unternehmen und stellte eine offene Aufklärung des Vorfalls in Aussicht. Die liegt nun zumindest in Teilen vor.
Mit Social Engineering auf interne Systeme
Demnach hatten es die Angreifer per Social Engineering geschafft, eine „eine kleine Zahl von Mitarbeitern“ zu beeinflussen, um auf interne Systeme des Kurznachrichtendienstes zuzugreifen. Bemerkenswert ist hier einerseits, dass tatsächlich mehrere Mitarbeiter getäuscht wurden. Zum anderen seien dabei laut Twitter auch Verfahren zur Zwei-Faktor-Authentifizierung ausgehebelt worden.
Damit konnten Angreifer generell auf private E-Mail-Adressen und Telefonnummern zugreifen, die über Twitters interne Systeme zugänglich sind. Zudem haben die Eindringlinge auch Konten gekapert, darunter auch einige besonders vertrauenserweckende Accounts, die Twitter selbst „verifiziert“ und mit einem blauen Häkchen versehen hat.
Zugriff auf DMs eines gewählten Amtsträgers
Zu den kompromittierten Konten selbst hat Twitter am 23. Juli folgende Zahlen veröffentlicht: Ingesamt haben die Angreifer demnach 130 Konten angegriffen und konnten dabei über 45 Accounts erobern, das heißt: Passwörter zurücksetzen, sich einloggen und Tweets unter falscher – aber authentisch wirkender – Flagge absetzen. Bei 36 Nutzern konnten Fremde auf Direct Messages (DM) zugreifen – die dienen bei Twitter einer individuellen Kommunikation zwischen zwei Nutzern, sind nicht öffentlich und damit etwa mit E-Mails vergleichbar. Einer der 36 betroffen Nutzer sei gewählter Amtsträger in den Niederlanden gewesen. Bei acht Konten – nicht verifizierter Inhaber – seien zudem „Your Twitter Data“-Backups archivierter Daten heruntergeladen worden.
Twitter klärt auf und plant Prophylaxe
Laut einem zuletzt am 22. Juli aktualisierten Blogbeitrag arbeitet Twitter immer noch daran, den Vorfall in Zusammenarbeit mit den Strafverfolgungsbehörden aufzuklären. Zudem bemühe man sich, allen Inhabern betroffener Nutzerkonten wieder den vollständigen Zugriff auf die Accounts ermöglichen.
Künftig wolle man vergleichbare Vorfälle auf zweierlei Weise vermeiden. Zum einen sollen die Systeme offenbar besser als bisher gesichert werden. Zum anderen werde man Mitarbeiter intensiver als bisher schulen und dabei besonderen Wert auf Übungen zum Thema Phishing legen.
Kommentar: Lehren für Unternehmen…
Damit kommen wir zu den Lehren, die man aus dem Twittervorfall ziehen kann. So plakativ der anfängliche Ärger um den Betrug mit Bitcoins gewesen sein mag, die Implikation des Angriffs gehen deutlich weiter.
Für Unternehmen zeigt die erfolgreiche Attacke zweifelsohne den Wert von Mitarbeiterschulungen und Awareness. Wenn schon die Belegschaft eines IT-Unternehmens für Social Engineering und Phishing empfänglich ist, was bedeutet das erst für branchenfremde Unternehmen?
Ebenso könnte man die Implementierung von Verfahren zur Mehrfaktorauthentifizierung hinterfragen. Diese wurden schließlich von den Angreifern erfolgreich umgangen.
Und schließlich stellen sich auch Fragen um Datensparsamkeit und Datenzugriff. Tragen die gern von Twitter abgefragten Telefonnummern tatsächlich zu einer erhöhten Sicherheit des Dienstes bei oder stellen sie lediglich einen zusätzlichen Anreiz für Hacker dar? Und wenn derlei Daten schon abgefragt und gespeichert werden, wie lässt sich der Zugriff darauf reglementieren?
…und Gesellschaft
Für Twitternutzer allgemein lohnt es sich derweil über die Sicherheit zentraler Kommunikationsdienste zu diskutieren. Da wäre zum einen zu klären, wie sicher einem kommerziellen Dienst überlassene Daten und dort geknüpfte Beziehungsnetzwerke sind.
Gesellschaft und Politik dürfen derweil diskutieren, wie authentisch oder manipulierbar per Social Network verbreitete Wortmeldungen aus vermeintlich offiziellem Munde sind. Was sind Aussagen augenscheinlich verifizierter Twitter-Accounts wert, wenn diese vom Anbieter selbst oder Eindringlingen manipuliert werden können? Zu welchen Verwerfungen können gehackte von Accounts von Politikern und Staatsoberhäuptern führen, wenn diese zuvor intensiv darüber kommunizierten?
(ID:46748435)
