Leak Sites: ein praktischer Leitfaden

Was ein Beitrag auf einer Leak Site ist und was seine Behauptungen tatsächlich wert sind

Die wichtigsten Erkenntnisse

• Ein Eintrag auf einer Leak Site ist eine Behauptung, keine Bestätigung. Ransomware-Gruppen nutzen Leak Sites als Teil ihrer Erpressungsstrategie. Daher sollten Sicherheitsverantwortliche nach tatsächlichen Beweisen suchen, bevor sie einen Eintrag als Beweis für eine Datenschutzverletzung behandeln.
• Leak Sites liefern nützliche Threat Intelligence, erfordern jedoch Kontext. Sie können über aktive Bedrohungsgruppen, anvisierte Branchen und neu aufkommende Kampagnen informieren, doch sie können auch übertriebene, wiederverwendete oder nicht verifizierte Behauptungen enthalten.
• Konzentrieren Sie sich auf Trends und Gefährdung, nicht auf die bloße Anzahl der Opfer. Die wertvollsten Erkenntnisse ergeben sich aus der Identifizierung der Sektoren, Anbieter und Unternehmen, die ins Visier genommen werden, sowie aus der Feststellung, ob sie ein Risiko für Ihre Umgebung oder Lieferkette darstellen.

 Jeder Sicherheitsverantwortliche – sei es ein Chief Information Security Officer (CISO) mit einem vollständigen Security Operations Center (SOC), ein Einzeladministrator oder ein Managed Service Provider (MSP), der Dutzende von Kunden jongliert – sollte Leak Sites, den Erpressungsportalen, auf denen Ransomware-Gruppen gestohlene Daten veröffentlichen und ihre Opfer öffentlich nennen, seine Aufmerksamkeit schenken.

Sie verraten uns, welche Gruppen aktiv sind, auf welche Sektoren sie es abgesehen haben und wie schnell aus einem unauffälligen Vorfall ein öffentlicher Daten-Dump wird. Sicherheitsverantwortliche können dieses Signal nutzen, um Kontrollen zu priorisieren und den Vorstand über aktuelle, statt hypothetische Risiken zu informieren. Für schlanke IT-Abteilungen können die Websites einen kompromittierten Anbieter oder eine Kampagne aufdecken, die ihre Branche betrifft. So erfahren sie, wo sie ihre begrenzten Ressourcen einsetzen sollten.

MSPs haben am meisten zu verlieren, da sie Risiken über viele kleine Unternehmen hinweg bündeln, auf die Angreifer es gern abgesehen haben. Daher entscheidet die frühzeitige Erkennung eines Kundennamens darüber, ob die Reaktion eingedämmt werden kann oder ob im Nachhinein eine Benachrichtigung über eine Sicherheitsverletzung erfolgt.

Die Kriminellen haben diese Websites eingerichtet, um Druck auszuüben und Aufmerksamkeit zu erlangen.  Sie zu überwachen ist eine Chance, an kostenlose, frühzeitige und verwertbare Informationen zu gelangen.

Was sie sind

Eine Leak Site, manchmal auch als dedizierte Leak Site (DLS) bezeichnet, ist die Veröffentlichungsplattform einer Organisation für Datenerpressung. Es handelt sich um eine Website, die fast immer nur über das Tor-Netzwerk erreichbar ist, auf der eine Ransomware- oder Erpressungsgruppe Organisationen aufführt, die sie angeblich kompromittiert hat. Ein Eintrag kombiniert in der Regel den Namen des Opfers mit einem Countdown-Timer, einer Handvoll Beispieldateien und einer Forderung: Zahlen oder die restlichen Daten werden veröffentlicht.

Es dominieren zwei Modelle. Bei doppelter Erpressung verschlüsseln Angreifer die Systeme des Opfers und drohen mit der Veröffentlichung gestohlener Daten, wodurch sie gleichzeitig zwei Formen von Druck ausüben. Bei Erpressung, die ausschließlich auf Datendiebstahl beruht, fehlt die Verschlüsselung, und die gesamte Bedrohung besteht in der Veröffentlichung. In jedem Fall dient der Eintrag dazu, Druck auszuüben. Es handelt sich um eine Verhandlungstaktik, nicht um eine bestätigte Offenlegung. Das Auftauchen auf einer Leak Site sagt mehr über die Kommunikation der Gruppe aus als über die gesicherten Fakten eines Vorfalls.

Wer betreibt sie

Die meisten Leak Sites sind ein Vertriebskanal für Ransomware-as-a-Service. Ein Kernbetreiber pflegt die Ransomware, das Verhandlungsportal und die Leak Site-Marke, während die Partner die Angriffe durchführen und die Erträge mit dem Betreiber teilen. Diese Arbeitsteilung erklärt, warum eine einzelne Marke bei völlig unterschiedlichen Opfern, Branchen und Ländern auftreten kann: viele Partner, ein Kernbetreiber.

Die Namen wechseln ständig. Gruppen spalten sich auf, benennen sich nach einer Zerschlagung durch Strafverfolgungsbehörden um und verschwinden gelegentlich durch Exit-Betrug, bei denen ihre eigenen Partner nicht bezahlt werden. Eine scheinbar neue Gruppe ist häufig eine alte, die sich unter neuem Banner formiert hat. In den letzten Jahren sind Marken wie LockBit, ALPHV/BlackCat, Cl0p, Play, Akira, Qilin, RansomHub, Medusa und 8Base sowie viele andere aufgetaucht. Doch die Zusammensetzung jeder „aktivsten“ Liste ändert sich von Quartal zu Quartal. Diese Webseite verfolgt diese Gruppen auf den Seiten der Akteure; sie verlinkt nicht auf deren Leak Sites.

Wie zuverlässig sie sind

Das Wichtigste, was Sie über einen Beitrag auf einer Leak-Site wissen müssen, ist, dass es sich um eine Behauptung und nicht um eine Bestätigung handelt. Mehrere gut dokumentierte Muster verzerren das Bild:

• Wiederverwendete Einträge. Eine Gruppe kann ein altes Opfer erneut veröffentlichen oder ihre Liste aufblähen, um aktiv und fähig zu wirken.
• Doppelzählung von Namensvarianten. Dieselbe Organisation kann unter leicht unterschiedlichen Namen mehr als einmal erscheinen, was bei einer einfachen Deduplizierung unentdeckt bleibt und die Gesamtzahlen erhöht.
• Rufaufbau. Neuere oder angeschlagene Gruppen übertreiben und behaupten, Zugriff zu haben oder Kompromittierungen durchgeführt zu haben, obwohl das nicht stimmt, um Partner und Aufmerksamkeit zu gewinnen.
• Übertriebener Zugriff. Ein Eintrag, der sich wie eine katastrophale Sicherheitsverletzung liest, kann tatsächlich nur einen geringfügigen Einstiegspunkt, Daten von Drittanbietern oder Dateien von geringer Bedeutung widerspiegeln.
• Behauptungen, die niemals belegt werden. Bei einigen aufgeführten Opfern werden überhaupt keine Daten veröffentlicht.

Aus diesem Grund ist die einzige verantwortungsvolle Art, einen Eintrag zu interpretieren, dies anhand einer abgestuften Skala zu tun. Eine Behauptung ist zunächst unbestätigt und gewinnt erst an Glaubwürdigkeit, wenn eine unabhängige Quelle, das Opfer oder eine Meldung bei einer Aufsichtsbehörde sie bestätigt. Diese Webseite bewertet jede solche Geschichte auf dieser Skala (behauptet, dann untermauert, dann bestätigt) und stützt ihre Empfehlungen auf unstrittige Fakten, etwa darauf, welches Produkt oder welche Datenkategorie betroffen ist, statt auf die Darstellung der Gruppe selbst.

Wie beschäftigt sie sind

Insgesamt belaufen sich die Einträge auf Leak Sites über alle aktiven Sites hinweg auf Hunderte pro Monat, wobei der Trend in den letzten Jahren gestiegen ist, da sich die Erpressung durch Datendiebstahl verbreitet hat. Doch zwei Faktoren machen die Rohsummen unzuverlässig. Erstens ist die Liste aktiver Sites instabil; Zerschlagungen, neue Namen und Abschaltungen verändern sie fortlaufend. Zweitens wird die Realität anhand der Opferzahl aus all den oben genannten Gründen systematisch übertrieben dargestellt.

Die ehrliche Art, eine aggregierte Zahl von Leak Sites zu lesen, besteht darin, sie als Obergrenze für die Aktivität zu verstehen, nicht als Anzahl bestätigter Datenschutzverletzungen. Richtung und Trend sind aussagekräftiger als die Zahl in einer einzelnen Woche: ob das Erpressungsvolumen steigt und welche Sektoren häufiger genannt werden.

Wie man sie interpretiert

Einige Gewohnheiten sind für Sicherheitsverantwortliche empfehlenswert, um nicht in Panik zuverfallen:

• Eskalieren Sie nicht allein aufgrund eines Eintrags. Ein Eintrag ist ein Grund zur Überprüfung, kein Grund, einen Vorfall zu melden.
• Behandeln Sie ihn als Signal für die Lieferkette. Oft lautet die wichtigste Frage, die ein Eintrag aufwirft: „Ist diese Organisation Teil meiner Lieferkette?“ und nicht: „Ist diese konkrete Sicherheitsverletzung tatsächlich wie beschrieben erfolgt?“
• Achten Sie auf die bestätigte Quote, nicht auf die Anzahl der Behauptungen. Eine Gruppe, die ständig postet, aber selten Taten folgen lässt, ist lauter, aber nicht unbedingt gefährlicher. Das Signal liegt in dem, was sich im Laufe der Zeit bestätigt.

Leak Sites sind darauf ausgelegt, Aufmerksamkeit zu erregen. Sie richtig zu interpretieren bedeutet, die Botschaften von den Fakten zu trennen. Genau dafür sind die Vertrauensbewertung, die Bestätigung durch weitere Quellen und eine gesunde Skepsis gegenüber Zahlen da.

Zu diesem Beitrag: Wir beschreiben das Leak Site-Ökosystem, damit sich Sicherheitsverantwortliche darin zurechtfinden; wir verlinken nicht auf Leak Sites und nennen keine einzelnen Opfer. Gruppennamen werden nur so angegeben, wie sie in der öffentlichen Berichterstattung üblicherweise erscheinen.