ShinyHunters' neuester Angriff enthüllt das Wesen moderner Cyberangriffe: Identitätssicherheit wird zum Hauptschlachtfeld

Einleitung

Die jüngsten Einbruchserien der ShinyHunters-Angriffsgruppe – die prominente Organisationen wie die University of Nottingham, DentaQuest, 7-Eleven, Medtronic und Wynn Resorts betrafen – sind ein weiterer Weckruf für Sicherheitsverantwortliche: Angreifer umgehen traditionelle Grenzsicherungen und zielen direkt auf Identitäten ab. Sie benötigen weder Malware noch Zero-Day-Exploits – nur gestohlene Anmeldedaten, OAuth-Tokens und Social Engineering, um sich legitim anzumelden und sensible Daten zu stehlen. Dies markiert den Beginn einer Ära identitätsbasierter Angriffe in der Cybersicherheit.

Überblick über die Vorfälle

Seit Anfang 2025 hat die ShinyHunters-Gruppe mehrere Datenschutzverletzungen aufgedeckt:

• University of Nottingham: Angreifer stahlen und veröffentlichten Daten von Studierenden und Mitarbeitern.
• DentaQuest: Persönliche Daten von etwa 2,6 Millionen Personen wurden offengelegt.
• 7-Eleven: Nach einem Datendiebstahl forderten die Angreifer Lösegeld.
• Medtronic: Das Medizintechnikunternehmen wurde gehackt, Daten waren von Offenlegung bedroht.
• Wynn Resorts: Rund 21.000 Mitarbeiter waren betroffen.

Darüber hinaus wird ShinyHunters mit Angriffen auf Kunden von Salesforce Experience Cloud und Snowflake in Verbindung gebracht, wobei übermäßig freizügige Gastkonfigurationen und Schwachstellen in Drittanbieter-Integrationen ausgenutzt wurden. Keiner dieser Angriffe nutzte Software-Sicherheitslücken in den Plattformen selbst aus – sie zeigten vielmehr auf Identitäts- und Zugriffskontrollschwachstellen.

Technische und Risikoanalyse

Angriffsmethoden Die typische Angriffskette von ShinyHunters umfasst:

• Anmeldedatendiebstahl: Erlangen von Anmeldeinformationen von Mitarbeitern oder Auftragnehmern durch Infostealer-Malware.
• MFA-Ermüdungsangriffe: Wiederholtes Senden von Multi-Faktor-Authentifizierungsanfragen, bis der Benutzer versehentlich zustimmt.
• Social Engineering: Vortäuschen von IT-Support (Vishing) oder Nutzung von Helpdesk-Rücksetzungen für Anmeldedaten.
• Missbrauch von OAuth-Tokens: Verwendung bereits autorisierter Tokens von Drittanbieter-Apps für den Zugriff auf Unternehmensressourcen.
• Ausnutzung übermäßiger Berechtigungen: Verwendung von nicht eingeschränkten Gast- oder externen Benutzerrechten in SaaS-Anwendungen.
• Ausnutzung von Vertrauensbeziehungen: Seitwärtsbewegung über kompromittierte Lieferanten, Partneridentitäten oder Integrationsplattformen.

Angriffskette 1. Erstzugriff: Erlangen gültiger Anmeldedaten durch Infostealer oder Phishing. 2. Identitätsescalation: Erhöhung der Zugriffsrechte durch MFA-Ermüdung oder Social Engineering. 3. Seitwärtsbewegung: Nutzung von OAuth-Tokens oder Drittanbieter-Integrationen für den Zugriff auf mehrere SaaS-Anwendungen. 4. Datendiebstahl: Export sensibler Daten aus CRM, Datenbanken oder Cloud-Speichern über legitime Sitzungen.### Betroffene Vermögenswerte - Identitätssysteme (z. B. Okta, Azure AD) - SaaS-Anwendungen (Salesforce, Snowflake, E-Mail usw.) - APIs und Drittanbieter-Integrationen - Personal- und Finanzsysteme - Kunden- und Mitarbeiterdaten

Analyse der Auswirkungen auf Unternehmen

Diese Angriffe gehen weit über Datenlecks hinaus und betreffen Unternehmen in vielerlei Hinsicht:

• Betriebsrisiko: Angriffe führen zu Systemausfällen, Betriebsunterbrechungen und ungewissen Wiederherstellungszeiten.
• Finanzielles Risiko: Lösegeldzahlungen, behördliche Geldstrafen, Prozesskosten und Kundenentschädigungen.
• Compliance-Risiko: Verstöße gegen Vorschriften wie GDPR, CCPA, HIPAA, die zu hohen Geldstrafen führen können.
• Markenrisiko: Rufschädigung, sinkendes Kundenvertrauen, mögliche Umsatzrückgänge.
• Datenrisiko: Offenlegung sensibler Daten, die für weitere Angriffe oder öffentliche Bloßstellung genutzt werden können.

Für Unternehmen im Gesundheitswesen, Finanzsektor und in kritischen Infrastrukturen können solche Angriffe auch die öffentliche Sicherheit gefährden.

Branchentrends und Beobachtungen

Der Erfolg von ShinyHunters ist kein Einzelfall. Immer mehr Angreifer geben komplexe Schwachstellen auf und nutzen stattdessen Identitäten und Vertrauensbeziehungen aus. Dies kennzeichnet drei große Trends:

1. Identität ist die neue Grenze: Moderne Unternehmen haben keine klare Netzwerkgrenze mehr; jede Identität (Mitarbeiter, Auftragnehmer, Bots) ist ein Angriffseingang. 2. Vertrauensbeziehungen werden zur Angriffsfläche: Drittanbieter-Integrationen, APIs und OAuth-Berechtigungen erweitern die Angriffsfläche; ein Kompromiss kann sich auf andere Organisationen ausbreiten. 3. Traditionelle Abwehr versagt: Firewalls, EDR und Signaturerkennung können Angriffe mit legitimen Anmeldeinformationen nicht erkennen.

Die Sicherheitsbranche beschleunigt den Wandel hin zur Identitätsbedrohungserkennung und -reaktion (ITDR), die eine kontinuierliche Überwachung des Identitätsverhaltens betont, anstatt sich nur auf punktuelle Verifizierung zu verlassen.

Verteidigungs- und Reaktionsempfehlungen

Auf Unternehmensebene - Stärkung der Identitätsgovernance: Implementierung des Prinzips der geringsten Privilegien, regelmäßige Überprüfung der Berechtigungen von Benutzern und Gästen. - Umfassende Einführung von MFA: Verwendung von phishing-resistentem MFA (z. B. FIDO2-Schlüssel) und Einrichtung von MFA-Ermüdungsschutz (z. B. Nummernzuordnung). - Überwachung nicht-menschlicher Identitäten: Verwaltung von Dienstkonten, API-Schlüsseln und OAuth-Tokens, Widerruf nicht genutzter Berechtigungen.

Auf technischer Ebene - Bereitstellung von ITDR-Lösungen: Kontinuierliche Analyse von Anmeldeverhalten, ungewöhnlichen geografischen Standorten, Privilegieneskalation und Token-Missbrauch. - Zentrale Protokollierung und Analyse: Integration von Protokollen aus Identitätssystemen, SaaS-Anwendungen und Cloud-Plattformen, Aufstellung von Basisverhalten. - Automatisierte Reaktion: Bei Erkennung verdächtigen Authentifizierungsverhaltens automatische Deaktivierung von Konten oder Auslösung von Incident-Response-Prozessen.### Managementebene - Regelmäßige Übungen: Durchführung von Red-Team-Übungen, um die Erkennung und Reaktion auf Identitätsangriffe zu testen. - Risikomanagement für Dritte: Bewertung der Identitätssicherheitspraktiken von Lieferanten und Integratoren, Einschränkung übermäßig berechtigter Integrationen. - Sicherheitsschulungen: Schulung der Mitarbeiter zur Erkennung von MFA-Ermüdungsangriffen, Phishing-Anrufen und Social Engineering.

SecurityPost Insight

Die Angriffsmethoden von ShinyHunters sind nicht neu, aber ihre wiederholten Erfolge offenbaren systemische Schwachstellen in der Unternehmenssicherheit: Sicherheitsinvestitionen konzentrieren sich immer noch auf Endpunkte, Netzwerke und Schwachstellenmanagement, während der Schutz auf der Identitätsebene stark vernachlässigt wird. In der heutigen Zeit der hybriden Cloud und SaaS kann jede Identität zum Hintertür für Angreifer werden. Unternehmen sollten erkennen, dass der nächste große Einbruch wahrscheinlich nicht durch das Ausnutzen von Schwachstellen, sondern durch legitime Anmeldeprozesse erfolgen wird. Die Umstellung auf eine identitätszentrierte Sicherheitsstrategie und die Implementierung spezifischer Erkennungsfähigkeiten für Identitätsbedrohungen sind unerlässlich, um derartige moderne Angriffe zu bewältigen. In Zukunft werden die Investitionen in den Bereich Identitäts- und Zugriffsmanagement weiter steigen, und Unternehmen, die diesen Trend ignorieren, werden einen höheren Preis zahlen.