Die britischen Einzelhändler The Co-Operative Group (Co-op), Marks & Spencer (M&S) und Harrods wurden in den letzten Tagen Opfer schwerwiegender Cyberangriffe. Obwohl die genauen Umstände der Angriffe noch unklar sind, deutet die zeitliche Nähe darauf hin, dass ein einzelner Akteur für alle drei Angriffe verantwortlich ist – möglicherweise die Hackergruppe Scattered Spider, die bereits mit dem Angriff auf M&S in Verbindung gebracht wurde. Wie sollten Einzelhändler, Banken und alle anderen Beteiligten reagieren?
Taktiken von Hackern im Einzelhandel
Während zuletzt die britische Einzelhandelskette Boots von IT-Störungen betroffen war, wurden die Umsätze von Morrisons im vergangenen Jahr durch einen Cyberangriff stark beeinträchtigt, und auch Currys und JD Sports waren Opfer von Angriffen, bei denen Kundendaten kompromittiert wurden. Einzelhändler sind eindeutig gefährdet. Marks & Spencer verlor eine halbe Milliarde Pfund, weil das Unternehmen keine kontaktlosen Zahlungen mehr akzeptieren konnte, und die Co-op-Läden blieben mit leeren Regalen zurück. Die Bedeutung dieser Angriffe darf nicht unterschätzt werden.
Was ist da los? Wurden IT-Abteilungen etwa von nordkoreanischen Fernarbeitern infiltriert, die sich mit gefälschten Qualifikationsnachweisen Jobs verschafft haben? Wir wissen, dass diese Betrüger bereits sehr raffiniert vorgehen. Eine Personalabteilung, die vier Videointerviews führte (wodurch bestätigt wurde, dass der Bewerber mit dem KI-bearbeiteten Foto in seiner Bewerbung übereinstimmte) und zusätzliche Hintergrundüberprüfungen durchführte, die alle negativ ausfielen (da eine gestohlene US-Identität verwendet worden war), stellte schließlich einen Scheinarbeiter ein, der sofort begann, Schadsoftware herunterzuladen. Ein anderes Unternehmen entdeckte schließlich, dass es Opfer eines koordinierten Komplotts geworden war, um Nordkoreanern Fernarbeitsplätze zu verschaffen, und dass mehr als ein Drittel seines gesamten Entwicklerteams aus Nordkoreanern bestand!
Wenn es nicht nordkoreanische Python-Programmierer waren, haben dann Agenten einer ausländischen Macht auf einen bis dahin unbekannten Quantencomputer zugegriffen, um Geheimcodes zu knacken und in Händlernetzwerke einzudringen, indem sie private Schlüssel duplizierten, um die Netzwerksicherheit zu umgehen? Haben sich die Insider gegen ihre Gastgeber gewandt und versucht, sie als Vergeltung für eine unerwünschte Änderung der Geschäftsbedingungen zu behindern? Wurden IT-Systeme großer Lieferanten von getarnten Angreifern gehackt, die im Auftrag konkurrierender Einzelhändler arbeiteten?
Nein, natürlich nicht. Es ging nicht um falsche Mitarbeiter oder Hacker, die Codes knacken; es war der altbekannte Angriff, der überall und ständig vorkommt. Hacker kontaktierten den Helpdesk und gaben sich als Mitarbeiter aus, die ihre Passwörter vergessen hatten. Das britische Nationale Zentrum für Cybersicherheit (NCSC) erklärte im Zusammenhang mit diesen Angriffen, dass Unternehmen ihre Authentifizierungsverfahren für Mitarbeiter überprüfen sollten , bevor Passwörter zurückgesetzt werden, insbesondere bei Führungskräften mit Zugriff auf sensible Bereiche des IT-Netzwerks. Na klar. Es ist der altbekannte Social-Engineering-Angriff.
Es muss nicht so sein. Im Finanzsektor ist die Kontowiederherstellung eine der häufigsten Anwendungen für Biometrie. Ich sehe keinen Grund, warum Einzelhändler nicht dieselbe Technologie verwenden könnten, um die Know Your Employee (KYE)-Authentifizierung zu reparieren, so wie Banken die Know Your Customer (KYC)-Authentifizierung verwenden, um den Kontozugriff wiederherzustellen.
(Sehen Sie sich beispielsweise an, was Unternehmen wie Keyless und Anonybit tun.)
M&S warnte in seinem jüngsten Jahresbericht, dass die Umstellung auf hybrides Arbeiten das Unternehmen anfälliger für Cyberangriffe mache. Bemerkenswert ist, dass die Reaktion des Unternehmens auf den Angriff unter anderem darin bestand, Mitarbeiter anzuweisen, ihre Kameras während Online-Meetings eingeschaltet zu lassen und die Anwesenheit aller Teilnehmer zu überprüfen. In einer internen E-Mail an 70,000 Mitarbeiter wurden diese zudem angewiesen, Teams-Anrufe weder aufzuzeichnen noch zu transkribieren. Dies implizierte, dass Hacker an internen Meetings teilnahmen und Protokolle anfertigten, um Informationen für die Verbesserung von Social-Engineering-Angriffen zu sammeln und möglicherweise Einblicke in interne Systeme zu gewinnen, die zukünftige Sicherheitslücken begünstigen könnten.
Neue Verbrechen, neue Verbrecher.
Wir alle wissen, dass sich die Art der Kriminalität verändert und Cyberkriminelle immer raffinierter werden. Ich bin mir nicht sicher, ob das bloße Abschalten von Überwachungskameras, so sinnvoll es auch sein mag, hier viel bewirken wird. Künstliche Intelligenz ist bereits in der Lage, Videos von Personen zu erstellen, die Kollegen täuschen können, und wird seit Jahren für betrügerische Zwecke missbraucht: Arup verlor 25 Millionen US-Dollar an Betrüger, die KI nutzten, um sich als Finanzchef des Unternehmens auszugeben und einen Mitarbeiter während einer Videokonferenz mit mehreren Teilnehmern anzuweisen, Geld zu überweisen. Laut der Hongkonger Polizei stellte sich jedoch heraus, dass alle Personen, die der Mitarbeiter sah, gefälscht waren.
Solche Deepfakes verbreiten sich, und das nicht nur im Bank- und Einzelhandelsbereich. Der Besitzer einer Londoner Kunstgalerie verlor 30,000 Pfund, nachdem er monatelang mit einem falschen Pierce Brosnan über eine Ausstellung verhandelt hatte. In einem anderen Fall im Vereinigten Königreich wurde eine Frau verhaftet, nachdem sie angeblich verschiedene Perücken und Kostüme getragen hatte, um im Namen von mindestens 14 anderen Männern und Frauen einen Einbürgerungstest zu bestehen. Dabei verwendete sie „gefälschte Ausweisdokumente“, um nicht entdeckt zu werden. Ein AirBnB-Besitzer vermietete seine Immobilie an eine Frau, die einen gestohlenen Ausweis besaß und mit einem gefälschten Führerschein die Referenzmeldung bestand: Anschließend stahl sie die Möbel und vermietete das Haus als Partylocation unter!
KI-Hacker, KI-Abwehr? NEIN.
Der Gouverneur der US-Notenbank, Michael Barr, erklärte kürzlich, Banken sollten angesichts zunehmender KI-basierter Deepfake-Angriffe „mit gleichen Mitteln kämpfen“ und selbst mehr in KI investieren. Ich bin da anderer Meinung. Gesichtserkennung, Stimmanalyse und Verhaltensbiometrie könnten KI-gestützte Fälschungen zwar erkennen, bis diese Fälschungen besser funktionieren. Zwar könnten erhebliche Investitionen in KI Banken vor einer Flut von KI-gestütztem Betrug schützen, doch könnte dies nur eine vorübergehende Erleichterung sein, da die Betrüger ihre Methoden verbessern. Aber warum diesen Weg einschlagen? Anstatt zu versuchen, Angreifer mit KI auszutricksen, warum nicht eine bewährte und fälschungssichere Technologie nutzen: digitale Signaturen?
Der Wettlauf zwischen KI und KI ist ein hektisches, endloses Rennen. Stattdessen sollten wir Banken, Einzelhändler, Medienunternehmen und alle anderen Institutionen verpflichten, ihre bewährte Sicherheitsinfrastruktur zu optimieren, um moderne Hacker mit Deepfakes abzuwehren. Wie ich bereits geschrieben habe , lässt sich zwar ein perfekt überzeugendes gefälschtes Video von Brad Pitt erstellen, aber keine perfekt überzeugende digitale Signatur von ihm. Anstatt Mitarbeiter raten zu lassen, ob sie den stellvertretenden Leiter der Abteilung für Rechnungsabwicklung (Nordostregion) oder einen Bot vor sich haben, sollten wir ihnen Zwei-Faktor-Authentifizierung statt Passwörter, verifizierbare Anmeldeinformationen mit starker biometrischer Authentifizierung statt Kamera-Aktivierungsberechtigungen, verschlüsselte und digital signierte Kopien sowie manipulationssichere Speicherung der Verschlüsselungsschlüssel (z. B. auf Mobiltelefonen) bieten. *Hinweis: Digitale Signaturen garantieren die Authentizität und Integrität von Daten und sind daher ein wertvolles Werkzeug im Kampf gegen Fälschungen.*
Kommentarfunktion ist geschlossen.