BlackCat nutzt SEC-Vorschriften zur Erpressung von Opfern
Die neuesten Ereignisse in der Cybercrime-Welt zeigen, dass die Täter nicht nur technisch versiert sind, sondern auch ein grundlegendes Verständnis für die Aufgaben und Pflichten bei der Regulierung von Cyberverbrechen haben. Sie gehen Unternehmen gezielt an und nutzen dieses Wissen, um noch raffiniertere Cyberangriffe zu planen und durchzuführen.
Seit dem 26. Juli 2023 schreibt die US-Börsenaufsicht SEC vor, dass börsennotierte Unternehmen bedeutende Cyberangriffe innerhalb von vier Tagen melden müssen. Diese Regel erfordert von Firmen die Offenlegung von Art, Umfang und Zeitpunkt des Angriffs sowie dessen mögliche Auswirkungen. Cybercrime-Gruppen wie BlackCat/ALPHV nutzen dies aus, wie ein kürzlicher Ransomware-Angriff zeigt. Am 7. November behaupteten sie, sensible Daten gestohlen zu haben, was eine Meldung bis zum 11. November erforderte. Um Druck auf die Opfer auszuüben, setzten sie ein 24-Stunden-Ultimatum für das Lösegeld.
In Deutschland müssen Betreiber kritischer Infrastrukturen Vorfälle innerhalb einer Frist dem BSI melden. Die DS-GVO erfordert auch die Meldung von Datenverlusten innerhalb von 72 Stunden. Die Behörden haben dazu eine Vielzahl an Dokumenten und Handreichungen erstellt, damit sich betroffene Organisationen grundlegend informieren können, welche Informationen bis zu welchem Zeitpunkt übermittelt werden müssen.
BlackCat ist bekannt für verschiedene Erpressungsmethoden, von Verschlüsselungsangriffen bis zu Datendiebstahl. Die neue Methode, Berichte bei der SEC im Namen ihrer Opfer einzureichen, zeigt ihre Raffinesse.
Das unterstreicht die Dringlichkeit für Unternehmen, proaktiv bei der Cybersicherheit zu handeln. Ransomware-Gruppen werden weiterhin versuchen, an Geld zu gelangen. Prävention ist besser als Heilung. Unternehmen sollten Mitarbeiter schulen und Sicherheitsmaßnahmen verstärken.
Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4
