Immer mehr Unternehmen lagern ihre Dateien in die Cloud aus, um ihren Arbeitnehmern immer und überall Zugriff auf Dokumente, Programme und Daten zu ermöglichen. Doch der Schritt in die Cloud bietet nicht nur zahlreiche Vorteile, sondern birgt auch ein gewisses Gefahrenpotenzial. Gerade erst haben Sicherheitsforscher von Mitiga Security eine neue Sicherheitslücke im Google Workspace gefunden, die es Hackern erlaubt, Daten von Google Drive Accounts zu stehlen, ohne dabei die geringste Spur zu hinterlassen.
Möglich ist dieser Angriffsvektor, weil bestimmte Funktionen von Google Workspace nur in bezahlten Accounts zur Verfügung stehen. Dazu gehört auch die Aufzeichnung der Kontoaktivitäten. Dadurch sind Aktivitäten, die der Nutzer – oder eben ein unbefugter Dritter – auf einem kostenlosen Konto vornimmt, überhaupt nicht nachvollziehbar.
Nun dürften die meisten Nutzerkonten von Unternehmen in die Kategorie der bezahlten Accounts fallen, also sollte es doch an dieser Stelle kein Problem geben. Könnte man meinen, allerdings haben die kriminellen Hacker eine ebenso einfache wie geniale Möglichkeit gefunden, trotzdem an ihr Ziel zu gelangen. Zunächst versuchen sie, ein Nutzerkonto zu übernehmen, beispielsweise durch Phishing oder indem sie Zugangsdaten bereits kompromittierter Konten im Darknet erwerben. Dann kündigen sie den bezahlten Account kurzfristig und setzen ihn so auf ein unbezahltes Konto zurück. Damit ist das Logbuch ausgeschaltet und sie können einzelne oder auch alle Daten entwenden, ohne dabei eine Spur zu hinterlassen. Das Einzige, was sie verraten könnte, ist die Tatsache, dass es sich nicht mehr um einen bezahlten Account handelt.
Problematisch ist das vor allem deshalb, weil die Identifikation der gestohlenen Daten ein wesentlicher Bestandteil des Untersuchungsprozesses nach einem Sicherheitsvorfall ist. Nur wenn bekannt ist, was die Angreifer erbeutet haben, lässt sich die Situation einschätzen und lassen sich die nächsten Schritte planen. Eine ordnungsgemäße Protokollierung ist auch eine der Standardmethoden für IT-Teams, um potenzielle Angriffe aufzuspüren, noch bevor sie ernsthaften Schaden anrichten können.
Wie in der IT-Sicherheit üblich, haben die Sicherheitsforscher Google über ihre Erkenntnisse informiert, bevor sie damit an die Öffentlichkeit gingen. Eine Antwort steht jedoch noch aus. Um sich vor dieser Art des Angriffs zu schützen, wird empfohlen, die Admin-Log-Ereignisse in Google Workspace kontinuierlich zu überwachen und dabei insbesondere auf die Zuweisung bzw. den Entzug von Lizenzen zu achten, da plötzliche Änderungen auf eine potenzielle Bedrohung hinweisen können. Treten diese Aktionen kurz hintereinander auf, kann dies darauf hindeuten, dass ein Bedrohungsakteur Lizenzen manipuliert und sich Zugang zu Daten verschafft hat.
Möglich ist dieser Angriffsvektor, weil bestimmte Funktionen von Google Workspace nur in bezahlten Accounts zur Verfügung stehen. Dazu gehört auch die Aufzeichnung der Kontoaktivitäten. Dadurch sind Aktivitäten, die der Nutzer – oder eben ein unbefugter Dritter – auf einem kostenlosen Konto vornimmt, überhaupt nicht nachvollziehbar.
Nun dürften die meisten Nutzerkonten von Unternehmen in die Kategorie der bezahlten Accounts fallen, also sollte es doch an dieser Stelle kein Problem geben. Könnte man meinen, allerdings haben die kriminellen Hacker eine ebenso einfache wie geniale Möglichkeit gefunden, trotzdem an ihr Ziel zu gelangen. Zunächst versuchen sie, ein Nutzerkonto zu übernehmen, beispielsweise durch Phishing oder indem sie Zugangsdaten bereits kompromittierter Konten im Darknet erwerben. Dann kündigen sie den bezahlten Account kurzfristig und setzen ihn so auf ein unbezahltes Konto zurück. Damit ist das Logbuch ausgeschaltet und sie können einzelne oder auch alle Daten entwenden, ohne dabei eine Spur zu hinterlassen. Das Einzige, was sie verraten könnte, ist die Tatsache, dass es sich nicht mehr um einen bezahlten Account handelt.
Problematisch ist das vor allem deshalb, weil die Identifikation der gestohlenen Daten ein wesentlicher Bestandteil des Untersuchungsprozesses nach einem Sicherheitsvorfall ist. Nur wenn bekannt ist, was die Angreifer erbeutet haben, lässt sich die Situation einschätzen und lassen sich die nächsten Schritte planen. Eine ordnungsgemäße Protokollierung ist auch eine der Standardmethoden für IT-Teams, um potenzielle Angriffe aufzuspüren, noch bevor sie ernsthaften Schaden anrichten können.
Wie in der IT-Sicherheit üblich, haben die Sicherheitsforscher Google über ihre Erkenntnisse informiert, bevor sie damit an die Öffentlichkeit gingen. Eine Antwort steht jedoch noch aus. Um sich vor dieser Art des Angriffs zu schützen, wird empfohlen, die Admin-Log-Ereignisse in Google Workspace kontinuierlich zu überwachen und dabei insbesondere auf die Zuweisung bzw. den Entzug von Lizenzen zu achten, da plötzliche Änderungen auf eine potenzielle Bedrohung hinweisen können. Treten diese Aktionen kurz hintereinander auf, kann dies darauf hindeuten, dass ein Bedrohungsakteur Lizenzen manipuliert und sich Zugang zu Daten verschafft hat.
