iRhythm nach Social-Engineering-Angriff auf Drittanbieteranwendungen erpresst

Was passiert ist

iRhythm teilte mit, dass ein Angreifer mittels Social Engineering auf von Dritten gehostete Unternehmensanwendungen zugegriffen und potenziell sensible Informationen erlangt habe. Nach dem Zugriff erhielt das Unternehmen eine Zahlungsforderung, wie Reuters in einem Überblick über jüngste Angriffe auf US-Unternehmen berichtete.

Der Angriff kompromittierte nicht die eigene Infrastruktur von iRhythm, sondern Cloud-Anwendungen externer Anbieter, denen das Unternehmen einen Teil seiner Daten anvertraut hatte.

Was Unternehmen daraus lernen können, die auf Anwendungen von Drittanbietern angewiesen sind

Immer mehr geschäftskritische Funktionen werden über Anwendungen außerhalb des Unternehmens abgewickelt: Verwaltung, Personalwesen, Kundenservice. Die Sicherheit dieser Daten hängt sowohl vom Anbieter als auch davon ab, wie das Unternehmen die eigenen Zugriffe auf diese Anwendungen verwaltet.

Dass die Erpressung erst nach dem Zugriff erfolgte, bestätigt ein gängiges Muster: Zunächst werden Informationen erbeutet, anschließend wird das Opfer mit der Drohung einer Veröffentlichung finanziell unter Druck gesetzt.

Was Sie überprüfen sollten

Relevante Sicherheitsmaßnahmen für Anwendungen von Drittanbietern mit sensiblen Daten:

• Bestandsaufnahme der genutzten Cloud-Anwendungen und der darin verarbeiteten Datenarten.
• Zwei-Faktor-Authentifizierung und verstärkte Identitätsprüfung beim Zugriff auf diese Anwendungen, insbesondere wenn sie Gesundheitsdaten verarbeiten.
• Vertragliche Regelungen mit dem Anbieter zur Meldung von Sicherheitsvorfällen und zur Reaktion darauf.
• Vorab abgestimmter Maßnahmenplan für den Fall einer Erpressungsforderung, ohne improvisierte Entscheidungen.

Häufig gestellte Fragen

Wie verschafften sich die Angreifer Zugang?

Laut iRhythm mittels Social Engineering, das auf von Dritten gehostete Unternehmensanwendungen abzielte.

Was geschah nach dem Zugriff?

Das Unternehmen erhielt eine Zahlungsforderung der Angreifer.

Ist das Risiko anders, wenn die Daten in der Cloud eines Anbieters liegen?

Das Risiko verändert seine Form, nicht seinen Kern: Zugriffskontrollen, Monitoring und ein mit dem Anbieter abgestimmter Reaktionsplan bleiben erforderlich.