Beacon-CRM-Datenpanne: Datenbanken von mehr als 1.000 Non-Profit-Organisationen gefährdet

Zugriff auf Backups in der AWS-Umgebung

Beacon, ein britischer Anbieter von CRM-Plattformen für Wohltätigkeitsorganisationen und Non-Profit-Organisationen, hat einen Sicherheitsvorfall in seinen Systemen bestätigt. Die Angreifer agierten in einer Amazon-Web-Services-(AWS)-Umgebung und luden Datenbank-Backups von Kunden herunter.

Der Vorfall könnte die gesamte Kundenbasis von Beacon mit mehr als 1.000 Organisationen betreffen. Es lässt sich jedoch nicht präzise feststellen, welche einzelnen Objekte geöffnet oder übertragen wurden, da die verfügbaren Logs die Aktivitäten des Angreifers nicht vollständig rekonstruieren lassen.

Der Vergleich zwischen dem übertragenen Datenvolumen und der insgesamt gespeicherten Datenmenge veranlasst Beacon dennoch zu der Einschätzung, dass wahrscheinlich der vollständige Inhalt der Datenbanken exportiert wurde.

Die ersten schädlichen Aktivitäten wurden am 27. Juli beobachtet. Die Datenübertragung soll zwischen dem 27. und 28. Juli stattgefunden haben. Anfang August hatte Beacon über den Diebstahl der Datenbank-Backups seiner Kunden informiert.

Wahrscheinliche Ursache: Offen gelegter AWS-Schlüssel

Der Zugriff soll durch die Kompromittierung eines AWS-Zugriffsschlüssels ermöglicht worden sein. Beacon hält es für möglich, dass die Zugangsdaten innerhalb von JavaScript-Artefakten, die während eines Build-Prozesses erstellt wurden, öffentlich zugänglich oder anderweitig für Unbefugte erreichbar waren.

Dieses Szenario verdeutlicht ein typisches Risiko in Software-Pipelines: Geheimnisse können in generierten Dateien, für die Veröffentlichung bestimmten Bundles oder in Zwischen­systemen landen, die zur Bereitstellung einer Anwendung verwendet werden. Sobald ein Cloud-Schlüssel veröffentlicht wurde, kann er ausgelesen und direkt gegen die zugehörigen Ressourcen eingesetzt werden, sofern der Zugriff nicht durch Berechtigungen, zugelassene Netzwerke oder zusätzliche Kontrollen eingeschränkt ist.

Im Fall von Beacon soll der Angreifer die Zugangsdaten genutzt haben, um in der AWS-Umgebung zu agieren und Datenbank-Backups abzurufen. Details zur Berechtigungskonfiguration des Schlüssels, zu den betroffenen Buckets oder zum endgültigen Ziel der Übertragungen wurden nicht veröffentlicht.

Auch ist nicht bekannt, auf welche Objekte tatsächlich zugegriffen wurde. Das Fehlen einer vollständigen Rekonstruktion schließt einen Datenzugriff jedoch nicht aus. Für die Risikobewertung empfiehlt Beacon faktisch, den gesamten gespeicherten Inhalt als potenziell betroffen zu betrachten.

Welche Informationen offengelegt worden sein könnten

Beacon stellt Werkzeuge zur Verwaltung von Spendern, Unterstützern, Freiwilligen, Fundraising-Aktivitäten und damit verbundenen Aufgaben von Non-Profit-Organisationen bereit. Die Datenbanken können daher personenbezogene Informationen zu diesen Gruppen enthalten.

Zu den potenziell betroffenen Daten gehören:

• Namen;
• Telefonnummern;
• E-Mail-Adressen;
• Postanschriften.

Die tatsächliche Zusammensetzung der Datenbanken unterscheidet sich von Organisation zu Organisation. Einige Kunden erklärten, dass sie in den Beacon-Systemen keine sensiblen Finanzinformationen speichern. In diesen Fällen sollen dort keine Bankkontonummern, Bankleitzahlen, Zahlungskartennummern oder Kartenprüfcodes enthalten sein.

Diese Unterscheidung senkt das Risiko direkter Finanzbetrugsfälle, beseitigt jedoch nicht die Folgen einer Offenlegung personenbezogener Daten. Vollständige Listen von Spendern, Freiwilligen oder Unterstützern können für gezielte Phishing-Kampagnen, Telefonbetrug, Identitätsmissbrauch und betrügerische Nachrichten verwendet werden, die scheinbar von der den Betroffenen bekannten Organisation stammen.

Verschlüsselung schließt den Zugriff auf Inhalte nicht aus

Die Backups waren offenbar verschlüsselt. Dieser Schutz reicht jedoch nicht aus, um eine Offenlegung auszuschließen.

Beacon räumte ein, dass der Angreifer die Daten vor der Exfiltration hätte entschlüsseln können. Die Verschlüsselung im Speicher lässt daher allein keinen Rückschluss darauf zu, ob die Informationen unzugänglich geblieben sind. Entscheidend sind auch die Schlüsselverwaltung, die der kompromittierten Identität zugewiesenen Berechtigungen und die in der Cloud-Umgebung verfügbaren Dienste.

Die technische Lage bleibt teilweise unklar. Die Logs zeigen weder das Ziel der Übertragungen präzise an noch ermöglichen sie eine Zuordnung jeder Aktion zu einem bestimmten Objekt. Gleichzeitig ist das entwendete Datenvolumen mit einem sehr umfangreichen, möglicherweise vollständigen Export vereinbar.

Der Vorfall wurde keiner bekannten Cybercrime-Gruppe zugeschrieben. Kein Akteur hat den Angriff öffentlich für sich beansprucht, und Beacon erklärte, keine Kenntnis von einer Veröffentlichung der gestohlenen Daten zu haben.

Wer die Auswirkungen bewerten muss

Die Kundenorganisationen müssen prüfen, welche Personengruppen in ihren Beacon-Datenbanken erfasst sind und welche Datenfelder verwendet wurden. Die Analyse sollte mindestens Spender, Unterstützer, Freiwillige sowie Kontakte aus Fundraising-Aktivitäten oder den Dienstleistungen der Organisation umfassen.

Da sich nicht mit Sicherheit feststellen lässt, welche Objekte heruntergeladen wurden, besteht der vorsichtige Ansatz darin, alle in den betroffenen Datenbanken enthaltenen Daten als potenziell offengelegt zu behandeln. Dabei muss zwischen tatsächlich gespeicherten Informationen und Daten unterschieden werden, die die Organisation nicht erhebt oder aufbewahrt.

Die britische Charity Commission beobachtet den Vorfall und hat Hinweise für die betroffenen Organisationen veröffentlicht. Die Einrichtungen sollten daher die Mitteilungen von Beacon und die Anweisungen der zuständigen Behörde verfolgen und mögliche Pflichten im Bereich des Datenschutzes prüfen.

Unterstützer und Freiwillige betroffener Organisationen sollten auf E-Mails, Anrufe und Nachrichten achten, die Namen, reale Bezüge oder tatsächliche Aktivitäten der Organisation verwenden, um Zugangsdaten, Zahlungen oder weitere persönliche Informationen anzufordern. Auch wenn keine Hinweise auf eine Veröffentlichung der Daten vorliegen, lassen sich spätere Missbrauchsversuche nicht ausschließen.

Dringende Maßnahmen für Beacon und seine Kunden

Die mögliche Offenlegung des AWS-Schlüssels in JavaScript-Artefakten erfordert eine Überprüfung der Entwicklungs- und Veröffentlichungsprozesse. Organisationen sollten sicherstellen, dass sich in Bundles, Repositories, Build-Logs und bereitgestellten Paketen keine Zugangsdaten oder anderen Geheimnisse befinden.

Kompromittierte Schlüssel müssen deaktiviert und ersetzt werden. Außerdem sollten die Berechtigungen der Cloud-Identitäten überprüft, Zugriffe auf die unbedingt erforderlichen Ressourcen beschränkt und die AWS-Logs auf ungewöhnliche Aktivitäten, atypische Datenübertragungen und Zugriffe im Zeitraum vom 27. bis 28. Juli untersucht werden.

Weitere technische Maßnahmen, die Beacon bereits umgesetzt hat, wurden nicht bekannt gegeben. Es gibt keine öffentliche Bestätigung zur Rotation des Schlüssels, zur Wiederherstellung der Umgebung oder zur Verfügbarkeit von Indicators of Compromise.

Für die Kunden besteht die Priorität darin, die im CRM gespeicherten Daten zu erfassen, klare Informationen für Betroffene vorzubereiten und die Überwachung verdächtiger Anfragen zu verstärken. Der Vorfall betrifft nicht nur die Verfügbarkeit der Backups: Das größte Risiko liegt in der möglichen gebündelten Offenlegung personenbezogener Daten aus einer großen Zahl von Organisationen.