Die Mitteilung wird zum Drehbuch
Eine Breach-Mitteilung sagt der Öffentlichkeit, welche Organisation betroffen war, welche Art von Daten beteiligt war und wie Kunden kontaktiert werden. Betrüger verwenden genau diese Angaben wieder. Nachrichten, die den Breach erwähnen, die Mitteilung zitieren und eine Entschädigung oder eine Sicherheitsprüfung versprechen, wirken glaubwürdig, weil der Breach selbst echt ist.
Wie die Welle aussieht
In den anonymisierten Fallbeispielen, die wir untersuchen, wiederholt sich das Muster: ähnlich aussehende Domains, die innerhalb weniger Tage nach der Mitteilung registriert werden, SMS und E-Mails, die auf gefälschte Support- oder Erstattungsseiten verweisen, und gefälschte Dienste, die gegen Gebühr anbieten, geleakte Daten zu entfernen. Dieselben Kanäle, die das Leck bewerben, verbreiten häufig auch diese Köder.
Signale, die Verteidiger beobachten können
Neue Domainregistrierungen und Einträge in Certificate-Transparency-Logs, die den Markennamen enthalten, Zahlungsseiten, die das Design der Organisation kopieren, und öffentliche Beiträge, die anbieten zu prüfen, ob ein Konto betroffen war. Jedes dieser Signale lässt sich erfassen, hashen und an den Registrar, den Hosting-Anbieter oder die Abuse-Stelle senden, ohne die geleakten Daten selbst anzufassen.
Was Kunden hilft
Klare, wiederholte Hinweise wirken besser als eine einzelne Mitteilung: welche Kanäle die Organisation nutzt, wonach sie niemals fragt und wo verdächtige Nachrichten gemeldet werden können. Die Veröffentlichung der offiziellen Domains und Support-Nummern erleichtert es Kunden und den Diensten, die solche Seiten blockieren, ähnlich aussehende Fälschungen zu erkennen.
Wie wir vorgehen
Wir beobachten öffentliche Quellen passiv im Hinblick auf die betroffene Marke und ihre Lieferanten und melden unsere Feststellungen der Organisation vertraulich. Wir treten nicht mit den Personen in Kontakt, die eine Kampagne betreiben, wir kaufen oder laden keine geleakten Daten herunter, und wir veröffentlichen keine Einzelheiten zu einem Breach, der nicht öffentlich bestätigt wurde.