Online-Ticketanbieter „See“ für 2.5 Jahre von Angreifern pwned

See Tickets ist ein bedeutender Global Player im Online-Event-Ticketing-Geschäft: Sie verkaufen Ihnen Tickets für Festivals, Theateraufführungen, Konzerte, Clubs, Gigs und vieles mehr.

Das Unternehmen hat gerade einen großen Datenverstoß eingeräumt, der mindestens ein Merkmal mit den Verstärkern teilt, die von berüchtigten Rockkünstlern bevorzugt werden Spinal Tap: „Die Zahlen gehen alle bis 11, quer durch die Bank.“

Gemäß der E-Mail-Vorlage, die See Tickets verwendet hat, um das Mailing zu erstellen, das an Kunden ging (danke an Phil Muncaster des Infosecurity Magazine für einen Link zum Website des Justizministeriums von Montana für eine offizielle Kopie), die Verletzung, ihre Entdeckung, ihre Untersuchung und Behebung (die immer noch nicht abgeschlossen sind, also könnte diese noch bis 12 gehen) entfaltete sich wie folgt:

• 2019-06-25. Spätestens zu diesem Zeitpunkt hatten Cyberkriminelle offenbar datenstehlende Malware auf Event-Checkout-Seiten des Unternehmens implantiert. (Risikodaten enthalten: Name, Adresse, Postleitzahl, Zahlungskartennummer, Ablaufdatum der Karte und CVV-Nummer.)
• 2021-04. Siehe Tickets „wurde auf Aktivität aufmerksam gemacht, die auf potenziellen unbefugten Zugriff hinweist“.
• 2021-04. Untersuchung eingeleitet, an der eine Cyberforensik-Firma beteiligt war.
• 2022-01-08. Unbefugte Aktivitäten werden endgültig abgeschaltet.
• 2022-09-12. See Tickets schließt diesen Angriff schließlich ab „kann zu unbefugtem Zugriff geführt haben“ zu Zahlungskarteninformationen.
• 2022-10. (Untersuchung läuft.) Siehe Tickets sagt „Wir sind nicht sicher, ob Ihre Informationen betroffen waren“, sondern benachrichtigt Kunden.

Einfach ausgedrückt dauerte die Verletzung mehr als zweieinhalb Jahre, bevor sie überhaupt entdeckt wurde, aber nicht von See Tickets selbst.

Die Verletzung dauerte dann neun weitere Monate, bevor sie ordnungsgemäß entdeckt und behoben wurde und die Angreifer rausgeschmissen wurden.

Das Unternehmen wartete dann weitere acht Monate, bevor es akzeptierte, dass Daten „möglicherweise“ gestohlen wurden.

See Tickets wartete dann noch einen Monat, bevor es die Kunden benachrichtigte, und gab zu, dass es immer noch nicht wusste, wie viele Kunden bei der Verletzung Daten verloren hatten.

Selbst jetzt, weit über drei Jahre nach dem frühesten Datum, an dem die Angreifer bekanntermaßen in den Systemen von See Ticket waren (obwohl die Grundlagen für den Angriff nach allem, was wir wissen, möglicherweise älter waren), hat das Unternehmen seinen Angriff immer noch nicht abgeschlossen Untersuchung, so dass es noch weitere schlechte Nachrichten geben könnte.

Was als nächstes?

Die Benachrichtigungs-E-Mail von See Tickets enthält einige Ratschläge, soll Ihnen aber in erster Linie sagen, was Sie selbst tun können, um Ihre Cybersicherheit im Allgemeinen zu verbessern.

Soweit es Ihnen sagt, was das Unternehmen selbst getan hat, um diesen langjährigen Verstoß gegen das Vertrauen und die Daten der Kunden auszugleichen, hat es nur Folgendes gesagt: „Wir haben Schritte unternommen, um zusätzliche Schutzmaßnahmen auf unseren Systemen bereitzustellen, unter anderem durch die weitere Stärkung unserer Sicherheitsüberwachung, Authentifizierung und Codierung.“

Angesichts der Tatsache, dass See Tickets von jemand anderem auf den Verstoß aufmerksam gemacht wurde, nachdem er ihn zweieinhalb Jahre lang nicht bemerkt hatte, können Sie sich nicht vorstellen, dass es sehr viel dauern würde, bis das Unternehmen in der Lage wäre, ihn zu legen Anspruch darauf, seine Sicherheitsüberwachung zu „verstärken“, aber anscheinend hat es das getan.

Was die Beratung von See Tickets an seine Kunden betrifft, so läuft diese auf zwei Dinge hinaus: Überprüfen Sie regelmäßig Ihre Finanzberichte und achten Sie auf Phishing-E-Mails, die versuchen, Sie zur Preisgabe persönlicher Informationen zu verleiten.

Dies sind natürlich gute Vorschläge, aber der Schutz vor Phishing hätte in diesem Fall keinen Unterschied gemacht, da alle gestohlenen personenbezogenen Daten direkt von legitimen Webseiten stammen, die sorgfältige Kunden überhaupt erst besucht hätten.

Was ist zu tun?

Seien Sie kein Langsamtrainer für Cybersicherheit: Stellen Sie sicher, dass Ihre eigenen Verfahren zur Erkennung und Reaktion auf Bedrohungen mit den TTPs Schritt halten (Werkzeuge, Techniken und Verfahren) der Cyberunterwelt.

Die Gauner entwickeln ihre Tricks ständig weiter, die weit über die althergebrachte Technik des einfachen Schreibens neuer Malware hinausgehen.

In der Tat verwenden viele Kompromittierungen heutzutage kaum (oder gar keine) Malware, die sogenannte Von Menschen geführte Angriffe bei dem die Kriminellen versuchen, sich so weit wie möglich auf Systemverwaltungstools zu verlassen, die bereits in Ihrem Netzwerk verfügbar sind.

Die Gauner haben eine große Auswahl an TTPs nicht nur zum Ausführen von Malware-Code, sondern auch für:

• Einbrechen beginnen mit.
• Auf Zehenspitzen um das Netz herum sobald sie drin sind.
• Unentdeckt bleiben so lange wie möglich.
• Planen Sie Ihr Netzwerk und Ihre Namenskonventionen so gut wie Sie sie selbst kennen.
• Hinterhältige Möglichkeiten einrichten, wie sie später wieder hineinkommen können wenn du sie rausschmeißt.

Diese Art von Angreifer wird allgemein als aktiver Gegner, was bedeutet, dass sie oft genauso praktisch sind wie Ihre eigenen Systemadministratoren und in der Lage sind, sich so weit wie möglich in legitime Vorgänge einzufügen:

Es reicht nicht aus, einfach Malware zu entfernen, die die Gauner möglicherweise implantiert haben.

Sie müssen auch alle Konfigurations- oder Betriebsänderungen überprüfen, die sie möglicherweise vorgenommen haben, falls sie eine versteckte Hintertür geöffnet haben, durch die sie (oder andere Gauner, an die sie ihr Wissen später verkaufen) möglicherweise zurückwandern können später in ihrer Freizeit.

Denken Sie daran, wie wir gerne auf der sagen Naked Security-Podcast, obwohl wir wissen, dass es ein Klischee ist, das Cybersicherheit ist eine Reise, kein Ziel.

Wenn Sie nicht genug Zeit oder Fachwissen haben, um diese Reise alleine voranzutreiben, scheuen Sie sich nicht, Hilfe bei der sogenannten MDR (verwaltete Erkennung und Reaktion), wo Sie sich mit a zusammenschließen vertrauenswürdige Gruppe von Cybersicherheitsexperten um zu helfen, Ihre eigenen Datenverletzungszifferblätter deutlich unter einer Spinal Tap-ähnlichen „11“ zu halten.

---