Datenpanne bei der Kfz-Behörde von Florida auf Polizeizugangsdaten auf einem privaten Gerät zurückgeführt

Die Kfz-Behörde von Florida ist Opfer eines Datendiebstahls geworden, nachdem ein Angreifer Zugangsdaten verwendet hatte, die einem Mitarbeiter des Plant City Police Department zugewiesen waren. Das bestätigten Behördenvertreter des Bundesstaats.

Das Florida Department of Highway Safety and Motor Vehicles, kurz FLHSMV, bemerkte den unbefugten Zugriff am 4. September. Die Ermittler stellten anschließend fest, dass der Zugriffsweg über einen Nutzer des Polizeireviers führte, dessen Zugangsdaten unsachgemäß auf einem privaten elektronischen Gerät gespeichert worden waren.

ShinyHunters übernahm am Montag die Verantwortung und veröffentlichte Bilder, die angeblich aus einem FLHSMV-System stammende Informationen zeigen. Am Donnerstag bestätigten Behördenvertreter aus Florida, dass die Behauptung der Gruppe zutraf.

Wie viele Menschen betroffen sind, ist weiterhin unbekannt. FLHSMV hat außerdem weder die vollständigen Kategorien der abgerufenen Informationen offengelegt noch öffentlich bekannt gegeben, wie viele Daten der Angreifer entfernt hat.

Ein einzelnes Polizeikonto öffnete den Zugang zu staatlichen Datensätzen

Die Ermittlungen identifizierten Zugangsdaten eines Nutzers des Plant City Police Department als mutmaßlichen Einstiegspunkt. Plant City liegt außerhalb von Tampa.

Nach Angaben der Behörden waren die Zugangsdaten auf dem privaten Gerät des Mitarbeiters gespeichert. Sie haben nicht erklärt, ob das Gerät durch Malware kompromittiert, über Phishing angegriffen, nach der Übernahme eines anderen Kontos durchsucht oder durch unsichere Speicherung beziehungsweise Synchronisierung offengelegt wurde.

Auch die Art der Zugangsdaten ist unbekannt. FLHSMV hat nicht mitgeteilt, ob der Angreifer ein Passwort, eine Browser-Sitzung, ein Authentifizierungstoken, API-Zugangsdaten, ein gespeichertes Fernzugriffsprofil oder eine andere Form wiederverwendbarer Zugangsdaten erlangte.

Diese Unterschiede sind relevant, weil die Änderung eines Passworts allein den Zugriff eines Angreifers nicht zwangsläufig beendet. Gestohlene Sitzungscookies und bestimmte Token können gültig bleiben, bis sie ausdrücklich widerrufen werden. Synchronisierte Passwortspeicher können zudem Zugangsdaten für mehrere Dienste offenlegen.

Im Zusammenhang mit dem Vorfall wurde keine Software-Schwachstelle, betroffene Produktversion oder ausgenutzte Sicherheitslücke identifiziert. Die vorliegenden Erkenntnisse beschreiben stattdessen einen identitätsbasierten Angriff: Ein Krimineller nutzte gültige Zugangsdaten, um in eine Umgebung einzudringen, auf die das Konto bereits autorisierten Zugriff hatte.

Ob das Konto durch Multifaktor-Authentifizierung geschützt war, ist nicht bekannt. Die Behörden haben außerdem nicht offengelegt, ob die Zugriffsrichtlinien eine direkte Verbindung des privaten Geräts mit FLHSMV-Ressourcen erlaubten oder ob die Zugangsdaten über ein separates Polizeisystem verwendet wurden.

ShinyHunters veröffentlichten angeblichen DMV-Datensatz

Als Beleg für den Zugriff veröffentlichte ShinyHunters Bilder, die angeblich einen Datensatz der Kraftfahrzeugbehörde von Florida im Zusammenhang mit Jeffery Epstein zeigen, der als US-amerikanischer Finanzier und verurteilter Sexualstraftäter beschrieben wird.

Das Bild deutet auf einen möglichen Zugriff auf mindestens einen Kraftfahrzeugdatensatz hin, belegt jedoch nicht das vollständige Ausmaß der Kompromittierung. Screenshots können zeigen, dass ein Eindringling eine bestimmte Oberfläche oder einen bestimmten Datenbestand erreicht hat, ohne nachzuweisen, dass eine vollständige Datenbank heruntergeladen wurde.

FLHSMV hat nicht mitgeteilt, wie viele Datensätze insgesamt betroffen sind. Die Behörde hat auch keine abschließende Übersicht der offengelegten Felder vorgelegt, etwa Namen, Adressen, Geburtsdaten, Führerscheininformationen, Fotos, Fahrzeugdaten oder andere Identifikatoren, die in Kraftfahrzeugsystemen enthalten sein können.

Ob ShinyHunters über das veröffentlichte Material hinaus weitere Informationen exfiltriert hat, ist ebenfalls unbestätigt. Es gibt keine öffentlichen Hinweise darauf, dass Ransomware eingesetzt wurde. Auch von einer Betriebsunterbrechung bei den Kfz-Diensten von Florida wurde bislang nicht berichtet.

Die Unsicherheit lässt mehrere mögliche Auswirkungen zu. Der Vorfall könnte auf eine begrenzte Einsicht über ein einzelnes Konto, umfangreichere Suchvorgänge mit den Berechtigungen des Nutzers, eine massenhafte Datenentnahme oder eine Ausweitung auf verbundene Systeme zurückgehen. FLHSMV hat nicht mitgeteilt, welches Szenario durch die Protokolle gestützt wird.

Der Vorfall bei IDScan wurde bislang nicht mit dem Vorfall in Florida verknüpft

Erste Spekulationen brachten die Kompromittierung von FLHSMV mit einem separaten Vorfall bei dem Identitätsprüfungsanbieter IDScan in Verbindung, bei dem 153 Millionen Führerscheine betroffen waren.

ShinyHunters hatte zuvor versucht, die aus IDScan gestohlene Datenbank zu kaufen. Dadurch entstand ein indirekter Zusammenhang zwischen der Gruppe und beiden Datensätzen mit Führerscheininformationen. Bislang gibt es jedoch keine Belege dafür, dass der Angriff auf Florida auf den IDScan-Daten beruhte oder Teil derselben Kompromittierung war.

Die Unterscheidung ist wichtig. Eine Datenbank, die von einem Drittanbieter erlangt wurde, und ein unbefugter Zugriff über das Konto eines Regierungsmitarbeiters stellen unterschiedliche Angriffswege dar, selbst wenn sich die daraus resultierenden Informationen überschneiden.

Im Fall von Florida haben die Ermittler den Zugriff auf Zugangsdaten eines einzelnen Nutzers des Plant City Police Department zurückgeführt. Solange forensische Erkenntnisse nichts anderes nahelegen, sollte der Vorfall bei IDScan als unabhängig betrachtet werden.

KI ist Teil des umfassenderen Vorgehens der Gruppe – ihre Rolle in diesem Fall ist jedoch unbekannt

ShinyHunters hat eine Reihe von Angriffen auf Unternehmen aus den Bereichen Technologie, Gesundheitswesen, Finanzwesen, Reisen, Bildung und Verbraucherdienste für sich beansprucht. Zu den genannten Zielen gehörten Jack Henry, McKesson, Carnival Cruises, Ticketmaster, AT&T, McGraw Hill, ADT und Rockstar.

Weitere behauptete Operationen betrafen eine weit verbreitete Software-Suite für Bildungseinrichtungen, einen großen Medizintechnikhersteller und weitere Großunternehmen. Im Fall des Medizintechnikunternehmens sollen nach einem Angriff im April Informationen zu mehr als vier Millionen Menschen gestohlen worden sein. Ein Vorfall bei einem Bildungstechnologieanbieter führte im Mai in den gesamten Vereinigten Staaten zu Störungen.

Anthropic veröffentlichte am Donnerstag einen Bericht darüber, wie mutmaßliche Verbündete von ShinyHunters bei Angriffen künstliche Intelligenz einsetzten. Zu den beschriebenen Aktivitäten gehörten das Identifizieren von Zugangsdaten, die Analyse unbekannter technischer Umgebungen und das Zusammentragen von Opferinformationen für Erpressungszwecke.

In einem von Anthropic untersuchten Fall gelangte ein Angreifer innerhalb von etwa drei Stunden vom Besitz eines gestohlenen Entwickler-Tokens zur vollständigen administrativen Kontrolle über die Cloud-Umgebung des Opfers. Incident-Response-Teams von Google berichteten unabhängig davon in der vergangenen Woche, dass Mitglieder der Gruppe Anthropic-Tools in mehreren Phasen von Angriffen nutzten.

Es gibt keine Bestätigung dafür, dass KI-Tools gegen FLHSMV eingesetzt wurden. Die umfassenderen Berichte zeigen jedoch, wie Angreifer gestohlene Identitäten mit KI-gestützter Aufklärung und technischer Analyse kombinieren können, wodurch sich die Zeit zwischen dem ersten Zugriff und der Datensammlung möglicherweise verkürzt.

KI ersetzt die Zugangsdaten in dieser Angriffskette nicht. Sie kann gestohlene gültige Zugangsdaten jedoch wertvoller machen, indem sie Angreifer dabei unterstützt, Systeme zu kartieren, Berechtigungen zu verstehen, Abfragen zu formulieren und wertvolle Datenbestände zu identifizieren.

Bei den Ermittlungen sind noch wesentliche Fragen offen

FLHSMV hat weitere Behörden des Bundesstaats Florida informiert und arbeitet mit dem Florida Digital Service zusammen. Die Behörde hat den Vorfall öffentlich bestätigt und den mutmaßlichen Einsatz der Zugangsdaten des Mitarbeiters aus Plant City benannt.

Sie hat nicht mitgeteilt, ob die Zugangsdaten widerrufen, Passwörter zurückgesetzt oder aktive Sitzungen beendet wurden. Auch zu forensischen Untersuchungen der Endgeräte, Eindämmungsmaßnahmen, der Aufbewahrung von Zugriffsprotokollen, Benachrichtigungen betroffener Personen oder Änderungen an den Authentifizierungskontrollen liegen keine öffentlichen Informationen vor.

Die Ermittler müssen feststellen, wann der Angreifer das Konto erstmals nutzte, auf welche Ressourcen er zugriff und ob die Aktivitäten von ungewöhnlichen Geräten oder Standorten ausgingen. Außerdem müssen sie klären, ob die Berechtigungen des Kontos einen massenhaften Zugriff erlaubten und ob der Eindringling neue Zugangsdaten oder Mechanismen zur dauerhaften Aufrechterhaltung des Zugriffs einrichtete.

Die Überprüfung benachbarter Konten ist unerlässlich. Wenn auf dem privaten Gerät eine Zugangsinformation der Regierung gespeichert war, könnten dort über den Browser, Passwortmanager, E-Mails, Screenshots, Notizen oder synchronisierte Anwendungen weitere Zugangsdaten abgelegt gewesen sein.

Der Vorfall wirft zudem eine Governance-Frage auf: Dürfen Mitarbeiter von Strafverfolgungsbehörden Zugangsdaten für staatliche Systeme auf nicht verwalteten Geräten speichern? Wenn der Zugriff über private Geräte erlaubt ist, benötigen Behörden durchsetzbare Vorgaben für Verschlüsselung, Gerätezustand, Speicherung von Zugangsdaten, Sitzungsdauer und den Fernzugriff zum Widerrufen von Berechtigungen.

Nutzer in Behörden und Strafverfolgungsbehörden sollten vergleichbare Zugangsdaten als offengelegt betrachten

Organisationen, deren Mitarbeiter auf Kraftfahrzeug- oder andere staatliche Datenbanken zugreifen, sollten Konten identifizieren, die von privaten Geräten aus verwendet werden, und diese unverzüglich überprüfen. Zugangsdaten, die auf nicht verwalteten Endgeräten gespeichert sind, sollten als offengelegt gelten, bis das Gerät und die Aktivitäten des zugehörigen Kontos untersucht wurden.

Verteidigungsteams sollten:

• Aktive Sitzungen und Authentifizierungstoken widerrufen, statt sich ausschließlich auf Passwortänderungen zu verlassen.
• Anmelde-, Abfrage- und Exportprotokolle auf ungewöhnliche Aktivitäten im Zusammenhang mit Konten von Strafverfolgungsbehörden überprüfen.
• Nach Zugriffen von neuen Geräten, aus unerwarteten Regionen oder zu ungewöhnlichen Zeiten suchen.
• Ungewöhnliche Datensatzsuchen, Abfragen mit hohem Volumen und wiederholte Abfragen zu bekannten Personen untersuchen.
• Wo möglich phishingresistente Multifaktor-Authentifizierung verlangen.
• Den Zugriff auf sensible Systeme auf verwaltete, konforme Geräte beschränken.
• Verhindern, dass Zugangsdaten in Browsern, Notizen, Screenshots oder nicht autorisierten Passwort-Tools gespeichert werden.
• Prüfen, ob kompromittierte Nutzer Zugriff auf weitere staatliche oder kommunale Systeme hatten.
• Beweise von Endgeräten und aus der Authentifizierung sichern, bevor betroffene Geräte neu aufgesetzt werden.

Es wurden keine konkreten bösartigen Domains, IP-Adressen, Datei-Hashes oder anderen technischen Indikatoren veröffentlicht. Organisationen müssen sich daher auf Verhaltensindikatoren und Anomalien auf Kontoebene konzentrieren, statt nach öffentlich bekannten Indikatoren zu suchen.

Für Einzelpersonen ist das unmittelbare Risiko schwer einzuschätzen, weil FLHSMV weder die betroffene Personengruppe noch die offengelegten Datenfelder identifiziert hat. Welche Benachrichtigungspflichten und Schutzmaßnahmen angemessen sind, hängt davon ab, welche Informationen nach den Ermittlungen abgerufen oder entfernt wurden.

Die zentrale Tatsache steht bereits fest: Ein Satz staatlich autorisierter Zugangsdaten, der auf einem privaten Gerät gespeichert war, reichte aus, um einen Zugangsweg in eine staatliche Kraftfahrzeugumgebung zu schaffen. Die weiteren forensischen Untersuchungen müssen klären, wie weit ShinyHunters nach dem Eindringen vordringen konnte.