LONDON (IT BOLTWISE) – Ein Angriff auf die französische Steuerverwaltung DGFIP nutzte gestohlene Mitarbeiterpasswörter, um Daten über das Nachrichtentool E-Contact abzurufen. Laut ANSSI blieb die Exfiltration über mehrere Wochen unbemerkt, weil Portale nicht hinreichend getrennt waren und Überwachungssignale nicht zusammengedacht wurden. Betroffen sind mehr als 350.000 Privatpersonen und rund 250.000 Unternehmen, wobei auch Nachrichtentexte bei einer Teilmenge mitliefen. ANSSI empfiehlt unter anderem die sofortige Sitzungsrücknahme bei Passwort-Reset und eine echte Multi-Faktor-Authentifizierung für alle Anwendungen.
Der Bericht der französischen Cybersicherheitsbehörde ANSSI macht deutlich, wie schnell aus „ganz normalen“ Zugangsdaten ein massiver Datenschutzvorfall werden kann. Im Fall der Steuerverwaltung DGFIP kam kein neuartiger Exploit zum Einsatz: Ein Angreifer nutzte gestohlene Passwörter von Mitarbeitenden und greift damit auf echte Benutzerkonten zurück. Die Logik dahinter ist banal, aber wirkungsvoll. Denn wer mit einem realen Konto arbeitet, bewegt sich im Netz nicht wie ein Fremder, sondern wie ein plausibler Nutzer – selbst dann, wenn die eigentliche Aktivität (Scraping, systematisches Auslesen, stundenlanges Datenziehen) alles andere als normal ist.
Technisch verläuft die Tat nach ANSSI über zwei getrennte Routen, die jeweils unterschiedliche Angriffsflächen öffnen. Die erste Route führte zu E-Contact, dem Nachrichtentool, das Steuerpflichtige für den Kontakt zur Behörde nutzen. Dort reichte in zwei verwendeten Portalen offenbar jeweils bereits das Passwort als Zugangsvoraussetzung aus: PIGP für E-Mail- und HR-Funktionen der DGFIP sowie ADER als Zugriffsschicht auf bestimmte DGFIP-Anwendungen über das RIE-Netz, das die Ministerien miteinander verbindet. Der Angreifer gelangte laut Bericht bis in dieses Regierungsnetz über kompromittierte Systeme des Bildungsministeriums, fand aber vor allem ein weiteres Problem: Sensible DGFIP-Anwendungen waren nicht ausreichend vom restlichen RIE segmentiert. Dadurch konnte er von Teilen des Netzwerks aus auf Ressourcen zugreifen, ohne dass ein nahtloser Sicherheitsgrund erkennbar gewesen wäre.
Damit nicht genug: Selbst als das SOC der DGFIP offenbar einzelne Alarme korrekt auslöste, wurde der eigentliche Abfluss nicht gestoppt. ANSSI beschreibt, dass ein Routinenprozess zwar bei „kompromittiertem Konto“ oder Threat-Intelligence-Hinweisen Passwörter zurücksetzte, jedoch offenbar nicht konsequent die laufende Sitzung des Angreifers beendete. Konkret setzte das Team am 7. Juni nach verdächtigen Suchanfragen zwar sofort ein Passwort zurück, überging aber, dass der Angreifer zwischen PIGP und ADER wechselte. Am 23. Juni führte ein weiterer Hinweis zu einem Ticket um 20:50 Uhr; als der Angreifer kurze Zeit später über ADER mit automatisiertem Scraping auf E-Contact-Seiten zugriff, war das Ticket am nächsten Morgen gegen 10:40 Uhr zwar durch Passwort-Reset „abgearbeitet“ – die offene Session auf ADER lief jedoch weiter. Erst nach fast weiteren 16 Stunden brach der Datenabzug am 25. Juni um 2:31 Uhr ab. Im Juli wiederholte sich dieses Muster: verdächtige Suchaktivität führte zwar zu einem Reset, nicht aber zu einer durchgreifenden Beendigung der Exfiltration; außerdem habe die DGFIP-Umgebung ADER zeitweise gar nicht überwacht.
Die Datenmenge und der Inhalt zeigen dabei, warum ein solches „Ablenkungs-Manöver“ so riskant ist. Für Privatpersonen nennt die DGFIP Werte von knapp über 350.000 Betroffenen, für Unternehmen von knapp über 250.000. Laut Beschreibung umfassten die ausgelesenen Informationen unter anderem Steuer-ID, Kontaktdaten, familiäre Situation, Referenzwerte zur steuerlichen Bemessung sowie die Steuereinbehaltsrate. Zusätzlich konnten die Nachrichtenlisten zwischen den Betroffenen und der DGFIP betroffen sein; bei weniger als 250 Personen sei sogar der Inhalt einzelner Nachrichten mitgezogen worden. Bei Unternehmen betreffen die Daten unter anderem Firmennamen, SIREN-Registrierungsnummer, Adresse und Basisinformationen der Nachrichten; bei weniger als 2.076 Unternehmen könne auch der Nachrichtentext selbst einsehbar gewesen sein. Sichtbar wurde die Attacke erst am 12. August, als der Angreifer sie in einem Online-Forum beanspruchte – also rund sieben Wochen nach dem ersten Datenbatch.
Auch die Ursachenanalyse bei „Warum wurde es nicht erkannt?“ ist für IT-Verantwortliche besonders relevant, weil sie typische Sicherheitslücken in der Monitoring-Praxis benennt. ANSSI zufolge existierten Warnsignale, etwa Logins zu unüblichen Zeiten, Verbindungen über VPNs und Zugriffe aus dem Ausland sowie von Adressen, die als bösartig gelten. Doch mehrere Faktoren landeten nicht in einer gemeinsamen Auswertung. Datenvolumen schlug ebenfalls nicht an: Zwischen dem 22. und 25. Juni habe es etwa 11 GB an ausgetauschtem Inhalt gegeben. Hinzu kommt ein klassisches Problem bei Scraping: Die Zahl der Requests pro Nutzer wird nicht zuverlässig geprüft, obwohl die Technik häufig Seite für Seite abruft und damit die Anfrageanzahl künstlich erhöht. Ein gleiches Muster findet sich auch in der Sichtweise der Behörde: ANSSI überwache Sensoren nur an Entry- und Exit-Punkten des RIE sowie des Internets, nicht aber in Form von Anwendungslogs. Da der Angreifer echte Mitarbeiterkonten nutzte, reichten die Netzwerk-Sichtsignale allein offenbar nicht aus.
Was sich daraus für die Absicherung ableitet, beschreibt ANSSI sehr konkret. Laut Bericht wird die DGFIP inzwischen nicht nur Portale, sondern auch Partnerzugänge für Mitarbeiterzugriffe konsequent gesperrt: ADER ab dem 13. August, PIGP ab dem 18. August. APEX wurde bereits am 14. August gesperrt, zudem seien Konten bei einer beteiligten Vermessungsfirma später deaktiviert worden. Als technische Leitlinien nennt ANSSI unter anderem, bei jedem Passwort-Reset alle aktiven Sessions auf allen Anwendungen und Portalen zu widerrufen, und bei gemeldeten Kompromittierungen unmittelbar die Aktivitäten im Zeitfenster um den vermuteten Kompromittierungszeitpunkt nachzuvollziehen. Entscheidend ist außerdem eine Multi-Faktor-Authentifizierung mit einem zweiten Faktor, der nicht allein vom Mailpostfach abhängt; Einmalcodes per E-Mail sollen also nicht als alleinige Absicherung gelten, wenn derselbe Authentikator auch für das Postfach missbraucht werden kann. Ergänzend empfiehlt ANSSI, jedes Geschäftssystem zentral in einem SIEM zu überwachen, Quoten für Datensätze, Request-Zahlen und Transfermengen pro Zeitraum durchzusetzen und den Zugriff über persönliche Geräte auf Arbeitsressourcen zu unterbinden. Für Unternehmen ist die Botschaft damit klar: Sicherheit ist nicht nur ein Login-Problem, sondern eine Kette aus Session-Handling, Log-Korrelation und nutzungsbasierten Grenzwerten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ANSSI deckt Steuerdaten-Diebstahl über gestohlene Mitarbeiterpasswörter auf" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ANSSI deckt Steuerdaten-Diebstahl über gestohlene Mitarbeiterpasswörter auf" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ANSSI deckt Steuerdaten-Diebstahl über gestohlene Mitarbeiterpasswörter auf« bei Google Deutschland suchen, bei Bing oder Google News!