Human Risk Roundup: Eine Salesforce-Kampagne und ein Rapper-Bot-Sandwich

In dieser Ausgabe des Human Risk Roundup befassen wir uns mit drei wichtigen Ereignissen der letzten Zeit - lesen Sie weiter, um mehr zu erfahren.

Datenpanne bei Workday zeigt Anzeichen eines weit verbreiteten Salesforce-Hacks

Workday hat eine Datenschutzverletzung bekannt gegeben, bei der Angreifer auf ein CRM-System eines Drittanbieters zugegriffen haben und durch eine Social-Engineering-Kampagne, die auf Mitarbeiter abzielte, an geschäftliche Kontaktinformationen gelangt sind. Dieser Vorfall ist Teil eines umfassenderen Angriffs auf Salesforce-Instanzen, der möglicherweise mit Cybercrime-Gruppen wie Scattered Spider und ShinyHunters in Verbindung steht und von dem mehrere große Unternehmen betroffen sind.

Was geschah

Während des Einbruchs erlangten die Angreifer geschäftliche Kontaktinformationen wie Namen, Telefonnummern und E-Mail-Adressen. Die Angreifer gaben sich unter anderem als IT- oder Personalabteilung aus, um Mitarbeiter dazu zu bringen, sensible Informationen preiszugeben. Workday hat bestätigt, dass es keinen Zugriff auf Kundenmieter oder interne Daten gab und hat zusätzliche Sicherheitsvorkehrungen getroffen. Andere große Unternehmen wie Adidas, Cisco und Google sind ebenfalls Ziel dieser Kampagne.

Warum es wichtig ist

Die Datenpanne bei Workday unterstreicht, wie wichtig eine solide Mitarbeiterschulung und vielschichtige Sicherheitsmaßnahmen sind, um Social-Engineering-Taktiken zu begegnen. Er betont auch die Notwendigkeit, dass Cybersicherheitspersonal die Systeme Dritter überwacht und Schutzmaßnahmen gegen unbefugten Zugriff implementiert. 

Vier praktische Tipps für Sicherheitsverantwortliche

1. Klären Sie Ihre Mitarbeiter über Social-Engineering-Taktiken auf, wie z. B. gefälschte Anrufe bei der IT- oder Personalabteilung, um zu verhindern, dass Angreifer Zugang zu sensiblen Informationen erhalten.
2. Prüfen und überwachen Sie regelmäßig Systeme von Drittanbietern, wie CRM-Plattformen, um sicherzustellen, dass sie keine Schwachstellen in Ihrer Sicherheitskette darstellen.
3. Fügen Sie zusätzliche Sicherheitsebenen hinzu, wie z.B. Multi-Faktor-Authentifizierung und Zugriffskontrollen, um sich vor unberechtigtem Zugriff zu schützen.
4. Bleiben Sie über laufende Kampagnen und Bedrohungsakteure wie Scattered Spider und ShinyHunters informiert, um Ihre Sicherheitsstrategien proaktiv anzupassen.

Lesen Sie mehr über den Einbruch.

Mann aus Oregon wegen "Rapper Bot" DDoS-Dienst angeklagt

Ein 22-jähriger Mann aus Oregon, Ethan J. Foltz, wurde verhaftet, weil er "Rapper Bot betrieben hat,", ein Botnetz mit Zehntausenden von gehackten IoT-Geräten, die für massive DDoS-Angriffe verwendet wurden, darunter einer, der Twitter/X im März 2025 lahmlegte. Das an Erpresser vermietete Botnetz führte weltweit über 370.000 Angriffe durch, während Foltz und sein Partner Maßnahmen ergriffen, um eine Entdeckung durch die Strafverfolgungsbehörden zu vermeiden.

Was geschah

Das Botnet wurde an Erpresser vermietet und zielte auf verschiedene Unternehmen ab, hauptsächlich in China. Foltz und sein Mitverschwörer, bekannt als "Slaykings," hielten das Botnet auf einer überschaubaren Größe, um nicht entdeckt zu werden, während sie zwischen April und August 2025 über 370.000 Angriffe durchführten. Die Ermittler haben Foltz durch PayPal- und Google-Aufzeichnungen aufgespürt und seine Bemühungen aufgedeckt, Sicherheitsblogs zu überwachen und sich der Strafverfolgung zu entziehen. Die Angriffe des Botnets überstiegen oft sechs Terabit pro Sekunde und verursachten bei den Opfern erhebliche finanzielle und operative Schäden. Im Falle einer Verurteilung drohen Foltz bis zu 10 Jahre Gefängnis wegen Beihilfe zum Eindringen in den Computer.

Warum es wichtig ist

Rapper Bot nutzte Zehntausende von IoT-Geräten, um massive DDoS-Angriffe auszuführen. Der Fall unterstreicht die Schwachstellen von IoT-Geräten und die Notwendigkeit robuster Sicherheitsmaßnahmen, um ihre Ausnutzung zu verhindern. Es zeigt auch, wie Cyberkriminelle versuchen, sich der Entdeckung zu entziehen, indem sie eine "Goldilocks" Botnet-Größe beibehalten und hochkarätige Ziele wie KrebsOnSecurity meiden. Die finanziellen und betrieblichen Auswirkungen solcher Angriffe, die die Opfer Tausende von Dollar pro Minute kosten können, unterstreichen die Bedeutung proaktiver Abwehrstrategien. Schließlich erinnert der Fall daran, wie wichtig die Zusammenarbeit zwischen Strafverfolgungsbehörden und Cybersicherheitsexperten bei der Bekämpfung dieser hochentwickelten Bedrohungen ist.

Vier praktische Tipps für Sicherheitsverantwortliche

1. Stellen Sie sicher, dass alle IoT-Geräte in Ihrem Netzwerk sicher und aktualisiert sind.
2. Investieren Sie in robuste DDoS-Abwehrtechnologien, wie Load Balancer, Overprovisioning oder Dienste wie Googles Project Shield.
3. Bleiben Sie auf dem Laufenden über neue Exploits und Malware-Stämme, indem Sie Nachrichten zur Cybersicherheit und Berichte zu Bedrohungen verfolgen.
4. Prüfen Sie Ihr Netzwerk regelmäßig und minimieren Sie die Anfälligkeit für potenzielle Bedrohungen, indem Sie strenge Zugangskontrollen durchsetzen, Passkeys verwenden und standardisierte Richtlinien implementieren, um zu verhindern, dass nicht autorisierte Geräte auf kritische Systeme zugreifen können.

Lesen Sie mehr über das Botnet.

Massive Datenschutzverletzung bei Allianz Life betrifft 1,1 Millionen Menschen

Eine Datenpanne bei Allianz Life, die mit einem auf Salesforce gerichteten targeted attack der Erpressergruppe ShinyHunters (die möglicherweise auch für die erste Panne im heutigen Human Risk Roundup verantwortlich ist) zusammenhängt, hat die persönlichen Daten von 1,1 Millionen Personen offengelegt, darunter Namen, E-Mail-Adressen und Steuernummern. Bei diesem Verstoß nutzten Angreifer bösartige OAuth-Apps, um Datenbanken zu stehlen und Opfer zu erpressen.

Was geschah

Der Verstoß erfolgte am 16. Juli 2025, ähnlich wie bei Workday, über ein Cloud-CRM-System eines Drittanbieters. Zu den gestohlenen Daten gehörten Namen, E-Mail-Adressen, Telefonnummern, physische Adressen und sensible Details wie Steuer-IDs. ShinyHunters ließ 2,8 Millionen Datensätze durchsickern, von denen Kunden, Finanzberater und Geschäftspartner betroffen waren. Der Angriff nutzte bösartige OAuth-Apps aus, um auf Salesforce-Datenbanken zuzugreifen. Allianz Life bestätigte den Verstoß, lehnte aber aufgrund der laufenden Untersuchung weitere Kommentare ab.

Warum es wichtig ist

Dieser Verstoß zeigt kritische Schwachstellen in Cloud-Systemen von Drittanbietern wie Salesforce auf. Cybersecurity-Mitarbeiter müssen zur Kenntnis nehmen, dass Angreifer OAuth-App-Verbindungen ausnutzen, um auf sensible Kundendaten zuzugreifen. Dieser Verstoß unterstreicht die zunehmende Raffinesse von Cyberkriminellen, die es auf hochrangige Unternehmen abgesehen haben, sowie die kaskadenartigen Risiken von Angriffen auf die Lieferkette, da mehrere globale Organisationen von dieser Kampagne betroffen waren. 

Vier praktische Tipps für Sicherheitsverantwortliche

1. Bewerten und überwachen Sie regelmäßig die Sicherheitspraktiken von Drittanbietern, insbesondere von solchen, die kritische Systeme wie Cloud-basierte CRM-Systeme verwalten.
2. Klären Sie Ihre Mitarbeiter über die Risiken auf, die mit der Verknüpfung nicht autorisierter OAuth-Apps mit Unternehmenssystemen verbunden sind, und setzen Sie Tools ein, um solche Verbindungen zu überwachen und zu beschränken, um unbefugten Zugriff zu verhindern.
3. Bereiten Sie sich auf mögliche Datenschutzverletzungen vor, indem Sie umfassende Reaktionspläne für Vorfälle entwickeln und testen, einschließlich klarer Kommunikationsstrategien für betroffene Kunden und Interessengruppen.
4. Bleiben Sie auf dem Laufenden über neue Bedrohungen, wie z.B. Erpressergruppen wie ShinyHunters, und implementieren Sie Maßnahmen, um diese Risiken zu erkennen und abzumildern, bevor sie Ihr Unternehmen beeinträchtigen.

Lesen Sie mehr über den Einbruch.