Uber-Sicherheitsvorfall und MFA Fatigue
Ich bin Etienne – begeistert von Tech, Cybersicherheit und Unternehmertum. ThreatLink ist ein monatlicher Newsletter, der reale Cyberangriffe über Drittanbieter-Tools, Lieferanten und Lieferketten analysiert. Jede Ausgabe behandelt einen großen Vorfall mit klaren, umsetzbaren Erkenntnissen für CISOs, Sicherheitsverantwortliche und die gesamte Cyber-Community.
Hier finden Sie meinen Newsletter direkt
Im September 2022 erlitt Uber einen schwerwiegenden Sicherheitsvorfall, bei dem kritische interne Systeme offengelegt wurden. Ursache waren keine ausgeklügelte Malware oder Zero-Day-Exploits, sondern eine Kombination aus gültigen Zugangsdaten, menschlichem Versagen und Social Engineering. Der Einstiegspunkt? Ein externer Dienstleister mit privilegiertem Zugriff. Eine der zentralen Techniken war das, was wir heute allgemein als „MFA Fatigue“ bezeichnen.
Dieser Beitrag zeigt Schritt für Schritt, wie der Angreifer in die Umgebung von Uber eindrang, auf welche Systeme er zugriff, wer der Angreifer war und welche Auswirkungen der Vorfall auf die gesamte Organisation hatte.
Der erste Einstiegspunkt
Der Angreifer verschaffte sich gültige Zugangsdaten eines externen Dienstleisters, der für Uber tätig war. Dieser hatte per VPN Zugriff auf das interne Netzwerk von Uber, geschützt durch Multi-Faktor-Authentifizierung (MFA) mit Push-Benachrichtigungen (Duo Security).
Schritt für Schritt: So wurde MFA Fatigue eingesetzt
Mit den gültigen Zugangsdaten startete der Angreifer einen gezielten Push-Benachrichtigungs-Angriff und nutzte dabei aus, dass viele MFA-Systeme auf die Bestätigung des Nutzers per Mobile App setzen:
Der Angreifer begann, das Telefon des Dienstleisters mit Push-Benachrichtigungen zu überfluten, indem er sich fortlaufend über das VPN von Uber anzumelden versuchte.
Diese Benachrichtigungen kamen in schneller Folge – Dutzende, womöglich Hunderte – und sorgten für Verwirrung und Störung, zumal sie mitten in der Nacht eintrafen.
Als der Dienstleister nicht reagierte, verschärfte der Angreifer das Social Engineering.
Die WhatsApp-Nachricht
Der Angreifer beschaffte sich die private Telefonnummer des Dienstleisters und schickte eine Nachricht über WhatsApp, in der er sich als IT-Support von Uber ausgab.
Die Nachricht lautete etwa so:
„Hallo, hier ist der IT-Support von Uber. Wir haben einen Fehler im Anmeldesystem und müssen Sie bitten, die MFA-Benachrichtigung zu bestätigen, damit es zurückgesetzt werden kann. Sobald Sie bestätigen, hören die Benachrichtigungen auf.“
Als dringendes nächtliches IT-Support-Problem dargestellt, senkte diese Nachricht die Wachsamkeit des Dienstleisters. Unter Druck und vermutlich müde und verwirrt bestätigte er die nächste Push-Benachrichtigung.
In diesem Moment erhielt der Angreifer vollen VPN-Zugriff auf das interne Netzwerk von Uber.
Den Rest des Artikels direkt auf ThreatLink lesen