Die zentrale Rolle von Login-Daten im Uber-Hack

Der Vermittlungsdienst zur Personenbeförderung Uber erlitt 2016 einen Hack, in dem bis zu 57 Millionen Daten von Kunden und Fahrern gestohlen wurden. Um den Hack geheim zu halten, zahlte Uber den Hackern 100.000$. Ein Kommentar von Vincent Weafer, Vice President von McAfee.

Obwohl Uber sich darüber bewusst war, dass ein solcher Hack unverzüglich den Regulierungsbehörden und allen Betroffenen berichtet werden muss, entschied sich das Unternehmen im Oktober 2016 den Hack vorerst geheim zu halten und das von den Hackern geforderte Geld zu zahlen. In einem offiziellen E-Mail-Statement von Dara Khosrowshahi (der neue Chief Executive von Uber) erklärt Uber, dass es keine Entschuldigung für das eigene Fehlverhalten bezüglich des Hacks gebe und das Unternehmen zukünftig einiges anders machen wird.

„Der Hack fand bereits 2016 statt und Uber versuchte den Vorfall durch das Zahlen der geforderten Geldsumme der Hacker unter den Tisch zu kehren, sodass der Datendiebstahl nicht an die Öffentlichkeit gelangte. Allerdings gibt es rechtliche Vorschriften, Hacks dieser Art, vor allem wenn es sich um den Diebstahl von Daten privater Personen handelt, den entsprechenden Behörden und allen Betroffenen zu melden. Es ist nicht das erste Mal, dass Informationen dieser Art zu spät veröffentlicht wurden. Organisationen müssen lernen Vorfälle dieser Art rechtzeitig zu melden.“

Der Uber-Hack ist ein weiteres Beispiel einer massiven Verletzung von Datensicherheit wie sie in der Industrie immer häufiger vorkommen. Die Hacker gelangten an persönliche Daten wie E-Mail-Adressen, die Adressen der Fahrer und sonstige Kontaktinformationen, die wiederum dazu benutzt werden können, zukünftige Hacks gezielt auf Individuen und Organisationen abzustimmen und durchzuführen.

Wie sich herausgestellt hat, verfügten die Angreifer über Login-Daten für Github, welche den Login-Daten der eigenen Datenbank von Uber wiederum sehr ähneln und konnten sich somit Zugang zu allen gespeicherten Informationen verschaffen. Hacker benutzen vermehrt Zugangsinformationen dieser Art, um sich in Datenbanken von Unternehmen einzuhacken und sich dort anschließend unbemerkt zu bewegen.

Hacker zu bezahlen, damit sie schweigen, ist keine übliche Taktik. Bisher wurde darüber kaum gesprochen, da Unternehmen es natürlich vermeiden, entsprechende Umstände an die Öffentlichkeit zu kommunizieren. Weitaus bekannter ist das Phänomen Ransomware: Hacker blocken mithilfe von sogenannten Erpressungstrojanern den Zugriff auf das eigene Computersystem. Allerdings ist auch hier bekannt, dass Unternehmen, die den Cyber-Kriminellen das geforderte Lösegeld zahlen, nicht zwangsläufig wieder den vollständigen Zugang zu den eigenen Daten bekommen. Denn hier muss man sich auf die Integrität von Kriminellen verlassen, was letztendlich ein Widerspruch in sich selbst ist.

 www.mcafee.com/de