Dass eine Anmeldeseite wieder erreichbar ist, bedeutet nicht, dass ein Cyberangriff beendet ist. Bei Chainalysis geht es gerade darum, Dienste wiederherzustellen und zugleich das Vertrauen in die Zugangsmöglichkeiten zurückzugewinnen. In seinem Update vom 6. November kündigt das Unternehmen an, KYT und Address Screening schrittweise wieder zu öffnen. Die Arbeiten an Reactor und Data Solutions dauern an.
Dieser Fall sollte nicht nur unter der Frage „Sind Daten abgeflossen?“ betrachtet werden. Eine Anmeldekennung, ein Passwort und ein Zugangsmittel, das von einer Software verwendet wird, erfüllen unterschiedliche Aufgaben. Sie wieder abzusichern, erfordert daher mehrere Maßnahmen und nicht bloß eine neue Zeichenfolge.
Was Chainalysis eingeräumt hat
Das Unternehmen hatte den Vorfall am 30. Oktober bekannt gegeben. Am 4. November ergänzte es seine Bilanz: Informationen über alle seine Nutzerinnen und Nutzer seien einem böswilligen Akteur offengelegt worden, darunter Namen, Anmeldedaten, Passwort-Hashes und aktive Token. Das Unternehmen fordert nun dazu auf, Passwörter zurückzusetzen und gegebenenfalls API-Schlüssel zu erneuern.
Aus dieser Formulierung lässt sich nicht schließen, dass jede Nutzerin und jeder Nutzer genau dieselben Daten verloren hat. Auch die Zahl der betroffenen Personen wird nicht genannt. The Record, das die aufeinanderfolgenden Mitteilungen geprüft hat, hebt diese beiden Einschränkungen hervor. Die Zahl der Kundenorganisationen und die Zahl der einzelnen Nutzerinnen und Nutzer sind zwei unterschiedliche Kennzahlen.
Warum mehrere Zugänge erneuert werden müssen
Ein Passwort dient als Nachweis dafür, dass man zur Anmeldung berechtigt ist. Ein Passwort-Hash ist keine lesbare Kopie des Passworts, sondern ein daraus berechneter Wert. Seine Widerstandsfähigkeit hängt unter anderem von der verwendeten Methode ab, die Chainalysis öffentlich nicht näher erläutert hat. Wie The Record in Erinnerung ruft, können sich aus manchen Hashes dennoch die ursprünglichen Passwörter ermitteln lassen.
Aktive Token werfen eine andere Frage auf. Mit manchen Authentifizierungs-Token lässt sich der Zugang aufrechterhalten, ohne das Passwort erneut einzugeben. Das Unternehmen hat jedoch nicht erläutert, was es hier mit „live tokens“ meint. Daher lässt sich nicht mit Sicherheit beschreiben, wie sie bei diesem Vorfall funktioniert haben.
Ein API-Schlüssel wiederum betrifft den Datenaustausch zwischen Softwareprogrammen. Für eine Kundenorganisation sind die Wiederherstellung des Kontos einer Mitarbeiterin oder eines Mitarbeiters und die Wiederherstellung einer automatisierten Verbindung zwei unterschiedliche Vorgänge. Die Aufforderung, die Schlüssel zu erneuern, macht diesen Unterschied sehr konkret: Die Arbeit ist nicht unbedingt mit der Anmeldeseite einer Person erledigt.
Schrittweise Wiederaufnahme, keine allgemeine Rückkehr angekündigt
Das offizielle Update vom 6. November sieht eine schrittweise Wiederherstellung vor und fordert Kunden auf, ihren üblichen Ansprechpartnern ihre vertrauenswürdigen IP-Adressen mitzuteilen. Dieser kontrollierte Zugang geht der Wiederaufnahme des Betriebs voraus. Der Stand der Dienste ist als Momentaufnahme zu einem bestimmten Datum zu verstehen, die sich ändern kann, und nicht als Ankündigung, dass alle Produkte wieder verfügbar sind.
Für die Teams, die die Dienste nutzen, lautet die entscheidende Frage nun: Welcher Dienst ist mit welcher Identität und unter welchen neuen Bedingungen zugänglich? Eine funktionierende Anmeldung für eine Nutzerin oder einen Nutzer beweist für sich genommen nicht, dass alle Integrationen der Organisation wiederhergestellt wurden. Diese Unterscheidung hilft auch zu vermeiden, eine lokale Anmeldeschwierigkeit für einen neuen Angriff zu halten.
Was sich nicht behaupten lässt
Chainalysis erklärt, es gebe keine Hinweise auf einen Zugriff auf Untersuchungsdaten oder eine Manipulation seiner Zuordnungsdaten. Das ist der Kenntnisstand des Unternehmens im Verlauf der Untersuchung, keine externe Bestätigung dafür, dass keinerlei Schaden entstanden ist.
Auch die Begriffe rund um künstliche Intelligenz erfordern dieselbe Vorsicht. The Record weist darauf hin, dass das Unternehmen offensive „agentische“ Techniken erwähnt, ohne den Begriff genau zu erklären oder zu bestätigen, dass der eigene Angriff mithilfe eines KI-Agenten durchgeführt worden sei. Den Fall als vollständig autonomen Angriff darzustellen, würde eine Gewissheit hinzufügen, die aus den veröffentlichten Informationen nicht hervorgeht.
Eine zweite böse Überraschung vermeiden
Eine Aufforderung zum Zurücksetzen des Passworts kann auch als Vorwand für eine gefälschte Support-Nachricht dienen. Die CNIL empfiehlt nach einem Datenleck, direkt die offiziellen Dienste aufzurufen, auf verdächtige Kontaktaufnahmen zu achten und Konten mit unterschiedlichen Passwörtern und einer verstärkten Authentifizierung zu schützen.
Für einen Geschäftskunden besteht die sinnvolle Maßnahme also darin, die Anweisungen mit dem eigenen Sicherheitsteam und dem üblichen Ansprechpartner abzuklären, statt einem Link zu folgen, der unter Zeitdruck erhalten wurde. In diesem Fall ist in zweierlei Hinsicht Vorsicht geboten: bei der technischen Wiederaufnahme des Dienstes und bei der Vertrauenswürdigkeit der Person, die Hilfe beim Zugang anbietet.
Illustrationsfoto: ein physischer Casascius-Coin mit dem Bitcoin-Symbol; er zeigt weder die Einrichtungen von Chainalysis noch einen Vermögenswert, der bei diesem Vorfall gestohlen wurde.
