Erinnern Sie sich noch an den Slogan von AT&T Anfang der 80er Jahre: „Reach Out and Touch Someone“ (Erreichen Sie jemanden und berühren Sie ihn)? Offenbar haben Cyberkriminelle diesen Slogan im April dieses Jahres wörtlich genommen, als sie die Anrufprotokolldaten von über einer Million AT&T-Kunden abgriffen.

Am 19. April erfuhr AT&T, dass Angreifer behaupteten, Zugriff auf die Daten des Unternehmens zu haben. Anschließend stahlen sie AT&T-Protokolldaten zu Mobilfunkanrufen und -SMS zwischen dem 1. Mai und dem 31. Oktober 2022. Bei den Protokollinformationen handelte es sich um Metadaten, die Telefonnummern enthielten, die Mobilfunknutzer angerufen hatten, wie viele Anrufe sie getätigt hatten und wie lange die Anrufe insgesamt dauerten. Sie enthielten auch die Mobilfunk-Identifikationsnummern für einige dieser Anrufe.

Die gestohlenen Daten enthielten keine personenbezogenen Daten wie Anruf- oder SMS-Inhalte, Sozialversicherungsnummern oder Geburtsdaten. Wie AT&T jedoch in seiner SEC-Meldung zu dem Vorfall anmerkt: „Obwohl die Daten keine Kundennamen enthalten, gibt es oft Möglichkeiten, mithilfe öffentlich zugänglicher Online-Tools den Namen zu ermitteln, der mit einer bestimmten Telefonnummer verknüpft ist.“ Die enthaltenen Mobilfunkzellen-IDs ermöglichen es zudem, mithilfe dieses Datensatzes den Standort einiger dieser Anrufe und somit die Inhaber der Nummern zu analysieren.

Sechs Monate Anrufprotokolle enthalten eine große Menge an Daten. AT&T hat erklärt, dass es 110 Millionen Kunden informieren wird, deren Anrufdaten von dem Datendiebstahl betroffen sind. In seiner Stellungnahme hieß es, dass es nicht glaube, dass die Daten öffentlich zugänglich gemacht worden seien.

AT&T reichte den SEC-Bericht zum Datendiebstahl am 12. Juli ein, also weit außerhalb der viertägigen Frist. AT&T verzögerte die Einreichung im Einklang mit der Aufforderung des Justizministeriums, da das DOJ entschied, dass die Einreichung des Berichts innerhalb der von der SEC geforderten normalen viertägigen Frist potenziell gefährlich wäre. Das ist nachvollziehbar, wenn man bedenkt, dass der Datendiebstahl offenbar bereits andauerte, nachdem das Telekommunikationsunternehmen erstmals von dem Eindringen der Bedrohungsakteure erfahren hatte. Die Anrufprotokolldaten wurden Tage, nachdem AT&T nach eigenen Angaben von dem Eindringen erfahren hatte, gestohlen.

Der Datendiebstahl ereignete sich überhaupt nicht in den Systemen von AT&T. Stattdessen geschah er über einen Cloud-Anbieter, den das Unternehmen in der Presse als das Cloud-basierte Data-Warehousing-Unternehmen Snowflake identifizierte. Dies war nicht der einzige derartige Datendiebstahl bei Snowflake; laut Mandiant wurden die Daten von 165 Kunden aus den Speichersystemen des Unternehmens gestohlen. Dies schien jedoch keine Programmierschwachstelle in der Software von Snowflake zu sein. Die Kunden, die Opfer dieser Diebstähle wurden, darunter Marken wie Ticketmaster, hatten eines gemeinsam: Ihre Kontoanmeldeinformationen waren über Malware gestohlen worden und sie verwendeten keine Multi-Faktor-Authentifizierung.

Was können wir aus dem AT&T/Snowflake-Datenleck lernen?

Wir alle können aus den Fehlern der Kunden lernen, die vom Snowball-Hack betroffen waren, sagen Experten. „Unternehmen sollten ein klares Verständnis des Modells der geteilten Sicherheitsverantwortung haben, das mit Lieferantenbeziehungen einhergeht, und robuste Identitäts- und Zugriffsverwaltungskontrollen auf Cloud-Plattformen implementieren“, sagt Milda Petraityte, Forscherin beim Cybersicherheitsberatungsunternehmen S-RM.

Snowflake ergriff selbst Maßnahmen und führte am 9. Juli, fast drei Monate nach Beginn der zahlreichen unautorisierten Zugriffe auf seine Systeme, eine neue Funktion für Kundenadministratoren ein, mit der diese die obligatorische Multi-Faktor-Authentifizierung (MFA) erzwingen können. Das ist ein Anfang, doch man fragt sich, warum diese Funktion nicht schon früher vorhanden war – oder warum es im Sinne echter Cybersicherheit überhaupt ein anderes Betriebsmodell als die obligatorische MFA geben sollte.

Unternehmen hinken bei der Nutzung von MFA weiterhin deutlich hinterher. Laut dem CompTIA- Bericht „State of Cybersecurity 2024“ integrieren lediglich 41 % der Unternehmen MFA in ihre Cybersicherheitsstrategien. Nur 38 % nutzen irgendeine Form der Cloud-Workload-Governance.

Das andere Problem, das die Unternehmen in Schwierigkeiten brachte, war, dass sie den Diebstahl von Anmeldeinformationen nicht erkannten und eindämmten. „Einige Unternehmen waren sich nicht bewusst, dass sie von Infostealern kompromittiert worden waren, sodass ihre Anmeldeinformationen im Dark Web verfügbar waren“, betont Stephanie Schneider, Cyber ​​Threat Intelligence Analyst beim Passwortmanager-Unternehmen LastPass. Die Erkennung ist ein entscheidender Schritt in jedem Krisenreaktionsplan. Da die Unternehmen die Malware-Infektion, die zum Diebstahl der Anmeldeinformationen führte, nicht erkannten und dann keinen zusätzlichen Zugriffsschutz implementierten, machten sie sich angreifbar.

Unternehmen können sich in gängigen Cybersicherheitsstandards über solche sicheren Vorgehensweisen informieren. Beispielsweise erwähnt ISO 270001 in Anhang A 8.5 explizit sichere Authentifizierungsmethoden wie die Authentifizierung externer Geräte . Darüber hinaus werden in Abschnitt 8.7 – Schutz vor Malware – Maßnahmen wie die Erkennung und Verhinderung der Nutzung nicht autorisierter Software, ein mehrschichtiger Malware-Schutz an verschiedenen Infrastrukturpunkten sowie Schulungen der Mitarbeiter zum Schutz vor Social Engineering und der Installation schädlicher Software genannt.

Die effektive Umsetzung solcher Maßnahmen hätte möglicherweise dazu beigetragen, das Snowflake-Desaster von AT&T sowie die Angriffe vieler anderer Unternehmen über den Cloud-basierten Dienst zu verhindern. Das Telekommunikationsunternehmen hatte jedoch mit anderen Cybersicherheitsvorfällen zu kämpfen.

Im März dieses Jahres gab AT&T bekannt, dass personenbezogene Daten von 73 Millionen Kunden im Darknet kursierten und deren Herkunft unbekannt war. Diese Daten, die im Zuge eines Datenlecks im Jahr 2021 ans Licht kamen, reichten aus, um eine Sammelklage verärgerter Kunden auszulösen.

Im Januar 2023 meldete das Telekommunikationsunternehmen, dass PII von neun Millionen Kundenkonten über einen seiner externen Marketingpartner kompromittiert worden seien. Dies unterstreicht die Notwendigkeit gründlicher Lieferantenbewertungen und fortlaufender Sicherheitsaudits durch externe Anbieter, um nicht nur das eigene Netzwerk des Unternehmens, sondern sein gesamtes Datenökosystem zu sichern.

Die Verwaltung eines solchen Ökosystems stellt für ein so weitverzweigtes Unternehmen wie AT&T eine Herausforderung dar, insbesondere da es auch ohne Zustimmung der Kunden deren Standortdaten an Dritte verkauft hat . Dies zeigt zudem, dass wir verstärkte regulatorische Maßnahmen benötigen, um diese Unternehmen zur Implementierung robuster Sicherheits- und Datenschutzvorkehrungen zu verpflichten.