Ein Anruf von der „IT‑Abteilung“ entwickelt sich derzeit zu einer der kostspieligsten Social-Engineering-Bedrohungen an der Wall Street. Laut einem neuen Sicherheitsbericht von Google hat eine Welle koordinierter Cyberangriffe auf Finanzunternehmen einige der größten Private-Equity- und Investmentfirmen in den Vereinigten Staaten getroffen, wobei Hacker altmodische Telefonanrufe statt ausgefeilter Malware nutzen, um in Unternehmensnetzwerke einzudringen und sensible Daten für Erpressungszwecke zu stehlen.
Summary
Wichtigste Erkenntnisse
- Google identifizierte vier Hackergruppen – Falcon, Helix, Pink und Redact –, die Voice-Phishing-Anrufe nutzen, um in US-Finanzunternehmen einzudringen.
- Zu den angeblichen Zielen gehören laut Reuters Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s und TPG.
- Google verfolgt die Aktivitäten unter einem übergeordneten Kollektiv namens UNC6671, wobei unklar ist, ob es sich um verbundene Gruppen oder unabhängige Akteure handelt.
- Lösegeldforderungen liegen typischerweise zwischen 750.000 und 3 Millionen US‑Dollar, und eine mit der Kampagne verbundene Wallet erhielt in diesem Jahr rund 10 Millionen US‑Dollar in Bitcoin.
Voice-Phishing-Angriffe auf US-Finanzunternehmen
Unbekannte Hacker dringen in große Finanz- und Investmentfirmen im ganzen Land ein – mit einem klaren Ziel: den Diebstahl sensibler Unternehmensdaten, die sie später zur Erpressung der Opfer nutzen, indem sie mit deren Veröffentlichung drohen. Die Sicherheitsforscher von Google beschrieben die Kampagne in einem am Donnerstag veröffentlichten Bericht und schilderten ein Angriffsmuster, das eher auf menschliche Fehler als auf Software-Schwachstellen setzt.
Die Technik, die im Zentrum dieser Kampagne steht, ist in der Branche als Voice Phishing oder Vishing bekannt. Es handelt sich um einen jahrzehntealten Betrug, der für eine moderne Unternehmensumgebung neu verpackt wurde – und er scheint bei Mitarbeitenden gut zu funktionieren, die davon ausgehen, dass ein Telefonanruf sicherer ist als eine verdächtige E‑Mail.
Imitationstechniken beim Vishing
Die Angreifer rufen die privaten Handys von Mitarbeitenden an und geben sich als Kolleginnen und Kollegen oder als internes IT-Helpdesk-Personal aus. Während dieser Anrufe versuchen sie, das Ziel dazu zu bringen, Anmeldedaten und Multi-Faktor-Authentifizierungscodes auf Websites einzugeben, die wie legitime Unternehmensportale aussehen. Sobald diese Zugangsdaten in die falschen Hände geraten, erhalten die Hacker den Zugriff, den sie benötigen, um tiefer in die Systeme eines Unternehmens vorzudringen.
Das ist bedeutsam, weil Multi-Faktor-Authentifizierung weithin als Sicherheitsnetz gilt. Wenn jemand dazu überredet wird, einen Einmalcode in Echtzeit auf einer gefälschten Seite einzugeben, verschwindet dieses Sicherheitsnetz faktisch – keine Firewall und kein Antiviren-Tool kann eine Entscheidung aufhalten, die eine vertrauensvolle Person am Telefon trifft.
Betroffene wichtige Finanzunternehmen
Google nannte in seinem Bericht öffentlich keine Opfer. Reuters berichtete jedoch, dass die Liste der angegriffenen Organisationen mehrere der größten Namen im Bereich Private Equity und Finanzdienstleistungen umfasst: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s und TPG. Laurie Bischel, eine Sprecherin der CME Group, lehnte eine Stellungnahme zu den Berichten ab. Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, Moody’s und TPG reagierten nicht auf Anfragen zur Stellungnahme.
Erpressungsstrategien und finanzielle Forderungen
Sobald sie sich in einem Netzwerk befinden, stehlen die Hacker die Daten nicht einfach still und leise – mehrere der Gruppen betreiben öffentlich zugängliche Erpressungsseiten, die darauf ausgelegt sind, Opfer unter Druck zu setzen, schnell zu zahlen. Dies ist eine altbekannte Taktik unter Cyberkriminellen, doch ihr Einsatz gegen Elite-Finanzinstitute erhöht den Einsatz erheblich, angesichts der Sensibilität der transaktionsbezogenen Informationen, die diese Firmen besitzen.
Öffentliche Erpressungswebsites und Drohungen
Laut Google betreiben einige der identifizierten Gruppen spezielle Leak-Seiten, auf denen sie Sicherheitsverletzungen publik machen und damit drohen, gestohlene Dateien zu veröffentlichen, sofern kein Lösegeld gezahlt wird. Eine dieser Seiten enthielt Formulierungen, die die Erpressung fast wie eine Geschäftsverhandlung erscheinen ließen: „Wir führen jede Verhandlung zu professionellen Bedingungen. Die Veröffentlichung Ihrer Daten ist niemals unsere bevorzugte Lösung; sie ist die Folge der Weigerung, sich einzulassen, des bewussten Hinauszögerns oder des Versäumnisses, eine Vereinbarung einzuhalten“, hieß es in der Nachricht, ergänzt um den Satz: „Reagieren Sie zügig und nach Treu und Glauben, und die Angelegenheit wird ohne weitere Zwischenfälle beigelegt.“
Lösegeldforderungen und Kryptowährungszahlungen
Die involvierten Geldbeträge sind erheblich. Die Forscher von Google erklärten, dass die Hacker von jedem Opfer typischerweise zwischen 750.000 und 3 Millionen US‑Dollar verlangen. Ein besonders auffälliger Datenpunkt: Eine Kryptowallet, die mit einer der Hackergruppen in Verbindung steht, erhielt allein in den ersten Monaten dieses Jahres rund 10 Millionen US‑Dollar in Bitcoin – eine Zahl, die darauf hindeutet, dass sich die Kampagne für die Verantwortlichen bereits äußerst bezahlt gemacht hat.
Koordination der Hackergruppen unter UNC6671
Die Forscher von Google gehen davon aus, dass die vier genannten Gruppen möglicherweise nicht isoliert agieren. Stattdessen könnten sie unterschiedliche Gesichter eines einzigen, größeren Netzwerks sein, das darauf ausgelegt ist, das wahre Ausmaß der Operation zu verschleiern.
Identifizierte Hackergruppen und mögliche Verbindungen
Google gab den vier Gruppen die Namen Falcon, Helix, Pink und Redact und erklärt, dass sie alle unter ein breiteres Dach fallen könnten, das das Unternehmen intern als UNC6671 verfolgt. Unklar bleibt, wie genau sie zueinander stehen – ob es sich um formelle Partner, Splittergruppen mit gemeinsamer Herkunft oder einfach um separate Akteure handelt, die auf dieselbe Phishing-as-a-Service-Infrastruktur zurückgreifen. „Wir glauben, dass dies höchstwahrscheinlich eine koordinierte Gruppe von Bedrohungsakteuren widerspiegelt, die mehrere öffentliche Erpressungsmarken betreiben, möglicherweise in dem Versuch, Operationen zu segmentieren, das Gesamtvolumen der Verstöße zu verschleiern und etwaige Verhandlungsfolgen zu isolieren“, heißt es im Bericht von Google.
Strategische Motive und Zielauswahl
Dies ist keine Kampagne, die mit Private Equity begonnen hat. Google erklärt, dass dieselben Gruppen zuvor große Unternehmen in den Bereichen Fertigung, Immobilien, Gesundheitswesen, Versicherungen, Technologie, Transport und Gastgewerbe ins Visier genommen haben, um „wertvolles geistiges Eigentum, Software-Quellcode oder sensible VIP-Kundendaten“ zu erbeuten.
Die Hinwendung zu juristischen und Finanzorganisationen, einschließlich Private-Equity-Firmen, scheint bewusst zu sein. Die Forscher von Google stellten fest, dass „die Konzentration auf Organisationen, die an Fusionen, Übernahmen, Kapitaleinsatz und Rechtsstreitigkeiten beteiligt sind, eine Strategie widerspiegeln könnte, hochwertige Unternehmens- und vertrauliche Daten ins Visier zu nehmen, um den Hebel für Erpressungsforderungen zu maximieren.“ Mit anderen Worten: Die Hacker scheinen genau jene Art von Informationen zu jagen – Transaktionskonditionen, Prozessstrategien, sensible Kundendaten –, für deren Geheimhaltung Unternehmen bereitwillig hohe Summen zahlen.
Für eine Branche, die auf Vertraulichkeit und Vertrauen aufgebaut ist, ist diese Zielauswahl das eigentliche Warnsignal. Es geht nicht nur um einen einzelnen Vorfall oder eine einzelne Zahlung; es ist ein Hinweis darauf, dass Angreifer Private Equity und Finanzdienstleistungen als besonders fruchtbaren Boden identifiziert haben – gerade weil die Kosten einer Offenlegung für diese Firmen weit höher sind als das geforderte Lösegeld.
FAQ
Wie verschaffen sich Hacker in diesen Angriffen Zugang zu den Zugangsdaten von Mitarbeitenden?
Hacker rufen an und geben sich als Kolleginnen und Kollegen oder IT-Helpdesk-Mitarbeitende aus, um Mitarbeitende dazu zu bringen, Zugangsdaten auf gefälschten Websites einzugeben.
Welche Finanzunternehmen wurden bei diesen Voice-Phishing-Angriffen ins Visier genommen?
Zu den angeblich betroffenen Unternehmen gehören Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s und TPG.
Welche Erpressungstaktiken setzen die Hacker nach dem Datendiebstahl ein?
Einige Gruppen betreiben Websites, auf denen sie damit drohen, gestohlene Daten zu veröffentlichen, sofern die Opfer kein Lösegeld zahlen.
Wie hoch sind die typischen Lösegeldforderungen dieser Hackergruppen?
Die Lösegeldforderungen liegen typischerweise zwischen 750.000 und 3 Millionen US‑Dollar.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wie verschaffen sich Hacker in diesen Angriffen Zugang zu den Zugangsdaten von Mitarbeitenden?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Hacker rufen an und geben sich als Kolleginnen und Kollegen oder IT-Helpdesk-Mitarbeitende aus, um Mitarbeitende dazu zu bringen, Zugangsdaten auf gefälschten Websites einzugeben.“}},{„@type“:“Question“,“name“:“Welche Finanzunternehmen wurden bei diesen Voice-Phishing-Angriffen ins Visier genommen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Zu den angeblich betroffenen Unternehmen gehören Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s und TPG.“}},{„@type“:“Question“,“name“:“Welche Erpressungstaktiken setzen die Hacker nach dem Datendiebstahl ein?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Einige Gruppen betreiben Websites, auf denen sie damit drohen, gestohlene Daten zu veröffentlichen, sofern die Opfer kein Lösegeld zahlen.“}},{„@type“:“Question“,“name“:“Wie hoch sind die typischen Lösegeldforderungen dieser Hackergruppen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Lösegeldforderungen liegen typischerweise zwischen 750.000 und 3 Millionen US‑Dollar.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
