Sicherheitslücke im California State Controller’s Office

Cyber Security News

Das California State Controller’s Office (SCO) hat eine Datenpanne erlitten, nachdem es Opfer einer Phishing-Attacke wurde.

Bedrohungsakteure konnten auf E-Mails und Dateien zugreifen, nachdem ein Mitarbeiter auf einen bösartigen Link geklickt und unwissentlich seine Anmeldedaten weitergegeben hatte.

In einer am 20. März veröffentlichten Mitteilung über die Datenverletzung sagte das SCO: “Ein Mitarbeiter des California State Controller’s Office (SCO) Unclaimed Property Division klickte auf einen Link in einer E-Mail, die er erhielt, und gab dann seine Benutzer-ID und sein Passwort nach Aufforderung ein, wodurch er unwissentlich einem unbefugten Benutzer Zugriff auf sein E-Mail-Konto gab.”

Das SCO sagte, dass es “Grund zu der Annahme” hatte, dass persönliche Informationen, die in Berichten über Inhaber von nicht beanspruchten Vermögenswerten enthalten waren, für denjenigen zugänglich waren, der das E-Mail-Konto des Mitarbeiters kompromittiert hatte.

Eine Untersuchung des Vorfalls ergab, dass der unbefugte Benutzer von 13:42 Uhr am 18. März bis 15:19 Uhr am 19. März Zugriff auf das E-Mail-Konto des Mitarbeiters hatte. Während dieses kurzen Zeitfensters hat der unbefugte Benutzer potenziell bösartige E-Mails an einige Kontakte des SCO-Mitarbeiters gesendet.

“An alle Kontakte, die eine E-Mail von dem nicht autorisierten Benutzer erhalten haben, wurde ein Hinweis per E-Mail geschickt, in dem sie aufgefordert wurden, die E-Mail zu löschen und nicht auf darin enthaltene Links zu klicken”, so das SCO.

James McQuiggan, Anwalt für Sicherheitsbewusstsein bei KnowBe4, kommentierte: “Diese Veranstaltung unterstützt das Thema, dass alle Organisationen ihre Mitarbeiter regelmäßig schulen und phishen müssen, um sicherzustellen, dass sie wissen, wie sie sozial manipulierte E-Mails erkennen und melden können.”

Er riet Organisationen, Maßnahmen zu ergreifen, um Benutzer zu warnen, wenn sie eine externe E-Mail erhalten.

“Ein Banner oder fettgedruckter Text am Anfang der E-Mail, der den Mitarbeiter darüber informiert, dass er eine externe E-Mail liest, mahnt ihn zu besonderer Aufmerksamkeit, da die E-Mail mit Anhängen oder Phishing-Links bösartig sein könnte”, so McQuiggan.

Er riet den Mitarbeitern auch, mit dem Mauszeiger über Links zu fahren, um zu überprüfen, ob sie legitim sind.

“Manchmal kann es eine Herausforderung sein, festzustellen, ob es sich um einen echten Link handelt oder nicht. Ein Alarm-Tool innerhalb der Organisation, mit dem die Mitarbeiter potenzielle Phishing-E-Mails melden können, kann das Risiko von Angriffen verringern und sicherstellen, dass der Mitarbeiter die richtigen Maßnahmen zum Schutz der Organisation ergreift”, so McQuiggan.

Einige Teile dieses Artikels stammen aus:
www.infosecurity-magazine.com