SpyCloud Water Exposure: 1.787 Organisationen, 167 Tenants

Wenn du eine deprimierende moderne Versorgergeschichte möchtest, fang mit einem Passwortmanager im Browser an und ende bei einem Wasserzähler. Die neue Schwachstelle ist nicht immer eine Pumpensteuerung, die unheilvoll in einem abgeschlossenen Raum leuchtet. Manchmal ist es ein gespeicherter Login auf einem infizierten Gerät, der ganz leise zum Vorfallbericht von morgen wird, nur mit besserer Beleuchtung.

Laut CyberScoop fand SpyCloud offengelegte Identitätsdaten im Zusammenhang mit 1.787 von ungefähr 10.000 US-amerikanischen Wasser- und Abwasserorganisationen. Das besonders alptraumhafte Detail, weil Sicherheit offenbar ein Gruppenprojekt brauchte, war ein infiziertes Gerät, auf dem Logins für 167 Mieter von Versorger-Messplattformen gespeichert waren. Das ist kein bestätigter Ausfall, aber eine sehr laute Erinnerung daran, dass Zugangsdaten keine Organigramme respektieren.

Was laut CyberScoop passiert ist

CyberScoop berichtete, dass bei fast zwei von zehn US-amerikanischen Wasser- und Abwasserorganisationen Identitätsdaten aktiv offengelegt waren, weil Infostealer Zugangsdaten abgriffen. Der Bericht schreibt die Forschung dem Identitätsrisiko-Unternehmen SpyCloud zu und merkt an, dass sie nach Monaten von Meldungen über Angriffe auf Ziele in diesem Sektor erscheint. Wichtig ist die Form der Offenlegung: Es geht nicht nur um einen einzelnen Versorger mit einer unglücklichen Workstation. Es ist ein sektorweites Problem der Zugangsdaten-Hygiene mit Lieferketten-Beigeschmack, also genau die Würzung, die niemand bestellt hat.

@title Vom Infostealer zum Mieterrisiko
@source CyberScoop
@source Data Types & Breach Categories

  Infostealer device
        │
        ▼
  Credentials cookies logs
        │
        ▼
  Saved logins
        │
        ▼
  167 metering tenants

@caption Ein infiziertes Gerät kann viele Mieter von Messplattformen offenlegen.

Das eine Gerät mit 167 Mieter-Logins ist wichtig, weil Messplattformen in der gemeinsamen Service-Schicht sitzen, auf die viele kleinere Organisationen angewiesen sind. Ein einzelner infizierter Rechner kann zu einer kleinen Zugangsdaten-Deponie werden, nur dass diese Deponie Schlüssel zu vielen Toren enthält. Wenn diese Schlüssel Anbieterportale, Mieter-Dashboards oder Admin-Panels umfassen, wirkt der mögliche Schaden schnell weniger wie die Bereinigung einer Workstation und mehr wie eine Lieferkettenübung.

Was Infostealer laut SpyCloud Docs tatsächlich stehlen

SpyCloud Docs klassifiziert Malware-Daten als Informationen, die von mit Infostealern infizierten Maschinen abgegriffen werden, darunter Zugangsdaten, Browser-Fingerprints, Session-Cookies und Protokolle des Webverhaltens. Diese Liste ist der Grund, warum Verteidiger bei Infostealern so nervös werden. Passwörter sind der offensichtliche Preis, aber Cookies und Browser-Fingerprints können das Gefühl einer vertrauenswürdigen Sitzung bewahren. Das bedeutet: Ein Passwort-Reset allein kann sicherheitstechnisch so sein, als würde man das Schloss austauschen und das Fenster offen lassen.

Hier wird die Motivation von Bedrohungsakteuren schmerzhaft praktisch. Infostealer-Gruppen brauchen keinen filmreifen Kontrollraum-Monolog, wenn sie wiederverwendbares Identitätsmaterial sammeln und weiterverkaufen können. CSO Online berichtete unter Berufung auf SpyCloud-Forschung, dass 61 % aller Datenschutzverletzungen im vergangenen Jahr malwarebezogen waren, wobei Infostealer für den Diebstahl von 343,78 Millionen Zugangsdaten verantwortlich waren. Zugangsdaten sind nicht das Finale; sie sind der Vorspann.

Warum Wasserversorger laut SpyCloud und CSO Online Risiken erben

Der Wasser- und Abwassersektor hat viele kleine Organisationen, gemeinsame Anbieter und Betriebssysteme, die nicht für die Zugangsdaten-Ökonomie gebaut wurden, in der wir heute leben. Der CyberScoop-Bericht über die Ergebnisse von SpyCloud zeigt, warum das wichtig ist: 1.787 offengelegte Organisationen sind schon eine große Zahl, aber das Beispiel mit 167 Mietern verwandelt die Kompromittierung eines einzelnen Geräts in ein Risiko für ein gemeinsames Ökosystem. Der Angreifer muss am ersten Tag nicht jeden Betriebsprozess jedes Versorgers verstehen. Er braucht nur genug Zugriff, um zu lernen, sich weiterzubewegen und daraus Geld zu machen.

SpyClouds GlobeNewswire-Veröffentlichung zu breiterer Infostealer-Forschung ergab, dass jede fünfte Person Opfer einer Infostealer-Infektion geworden ist und dass jede Infektion im Durchschnitt 10 bis 25 Elemente offenlegt. Kombiniert man das mit der Berichterstattung von CSO Online über Hunderte Millionen gestohlene Zugangsdaten, ist das Muster nicht gerade subtil. Infostealer sind industrialisierte Identitätsernte, und Teams für kritische Infrastruktur leben nun mit Verbrauchergewohnheiten bei Geräten, ausuferndem Anbieterzugriff und gespeicherten Passwörtern, die alle im selben Risikotopf liegen.

Was Verteidiger den Belegen zufolge als Nächstes tun sollten

Die praktische Reaktion besteht darin, Infostealer-Offenlegung als Identitätsvorfallreaktion zu behandeln, nicht nur als Malware-Bereinigung. Weil SpyCloud Docs sagt, dass diese Infektionen Zugangsdaten, Session-Cookies, Browser-Fingerprints und Protokolle des Webverhaltens offenlegen können, sollten Verteidiger davon ausgehen, dass das Problem den Gerätescan überdauern kann. Ändert offengelegte Passwörter, widerruft aktive Sitzungen, prüft privilegierte Konten und sucht nach gespeichertem Zugriff auf gemeinsame Anbieterplattformen oder Mieterumgebungen.

Das CyberScoop-Beispiel mit 167 Mietern sollte auch das Gespräch zur Anbieterprüfung verändern. Fragt Anbieter, wie sie offengelegte Mieter-Zugangsdaten erkennen, wie sie Sitzungen nach einer Offenlegung ungültig machen und wie schnell sie Kunden benachrichtigen, wenn das Gerät eines einzelnen Nutzers ein Risiko für viele Organisationen schafft. Kleine Versorger sollten nicht zu Vollzeit-Bedrohungsaufklärungsstellen werden müssen, nur um zu erfahren, dass der infizierte Laptop einer anderen Person ihre Schlüssel mit sich herumträgt.

Was es wirklich für dich bedeutet

Für Betreiber von Versorgungsunternehmen bedeutet das nicht, dass jede offengelegte Zugangsdatenkombination automatisch eine betriebliche Kompromittierung ist. Es bedeutet, dass Identitätsdaten jetzt Teil der Verteidigung kritischer Infrastruktur sind und dieselbe Ernsthaftigkeit verdienen wie das Patchen internetseitig erreichbarer Systeme. Der nächste sinnvolle Schritt ist auf die bestmögliche Weise langweilig: erfassen, wer worauf zugreifen kann, gespeicherte Zugangsdaten wo möglich entfernen, Multifaktor-Authentifizierung durchsetzen und auf durch Infostealer verursachte Offenlegung achten, bevor daraus die nächste Erklärung in vorsichtigem Unternehmensbeige wird.

Für Einwohnerinnen und Einwohner lautet die Schlussfolgerung nicht Panik. Sie lautet Druck für bessere Grundlagen in Systemen, von denen alle abhängen, besonders dort, wo Anbieter und kleine Organisationen Plattformen teilen. Beobachte, ob der Sektor anfängt, Identitäts-Offenlegung als Frühwarnsignal zu behandeln, denn der günstigere Kampf findet immer statt, bevor gestohlene Logins zum Wochenendnotfall von jemand anderem werden.