Apollo Global Management, einer der größten Vermögensverwalter der Welt, hat einen Datenverstoß bestätigt. Angreifer verschafften sich Anfang Juli über eine Social-Engineering-Attacke Zugang zu Cloud-Systemen des Konzerns und erbeuteten unter anderem Namen und Sozialversicherungsnummern. Der Fall ist Teil einer Serie gezielter Angriffe auf Finanzunternehmen, die Sicherheitsforscher seit Wochen beobachten.
Der US-Finanzkonzern Apollo Global Management hat einen Datenverstoß eingeräumt, bei dem Angreifer über eine Social-Engineering-Attacke Zugang zu internen Cloud-Plattformen erlangten. In einer bei der kalifornischen Generalstaatsanwaltschaft eingereichten Meldung bestätigte das Unternehmen, dass Unbefugte zwischen dem 6. und 10. Juli auf „bestimmte Cloud-Plattformen“ zugegriffen haben [1] [2]. Betroffen sind sensible Personendaten – darunter Namen, Geburtsdaten, Kontaktdaten, Privatadressen und Sozialversicherungsnummern [1] [3].
Apollo zählt mit rund einer Billion US-Dollar verwalteten Vermögenswerten zu den größten Private-Equity-Häusern der Welt [3]. Der Konzern ist damit das erste Unternehmen, das im Zuge einer seit Wochen beobachteten Angriffswelle auf den Finanzsektor offiziell einräumt, dass sensible Personendaten kompromittiert wurden [3].
Wie die Angreifer vorgingen
Der Vorfall folgt einem Muster, das Sicherheitsforscher von Google bereits im Vorfeld beschrieben hatten. Demnach richtet sich eine Erpressungskampagne gegen Private-Equity-Firmen und andere Finanzunternehmen, die von Forschern unter dem Namen UNC6671 beziehungsweise „BlackFile“ geführt wird [1] [2]. Die Gruppe, die mit dem Cybercrime-Netzwerk „The Com“ in Verbindung gebracht wird, operiert über vier Marken mit gemeinsamer Infrastruktur: Redact, Pink, Helix und Falcon [3].
Statt technische Schwachstellen auszunutzen, setzen die Angreifer auf Social Engineering. Sie rufen Mitarbeiter auf deren privaten Telefonen an, geben sich als Kollegen oder IT-Support aus und lenken sie auf gefälschte Login-Seiten, die darauf ausgelegt sind, Passwörter und Multi-Faktor-Codes abzugreifen [1] [2]. Auf diese Weise gelangen sie in Unternehmensnetzwerke, stehlen Daten und drohen anschließend mit deren Veröffentlichung, falls kein Lösegeld gezahlt wird [1].
Apollo selbst hat die Angreifer nicht namentlich zugeordnet. In der Meldung verweist das Unternehmen jedoch ausdrücklich auf den Kontext: „Ähnlich wie andere Finanzdienstleister hat Apollo kürzlich einen Social-Engineering-Vorfall erlebt“ [2]. Die Reuters-Agentur hatte zuvor berichtet, dass neben Apollo auch Blackstone, Bridgewater, Bain Capital, KKR, TPG, CME Group, Clearlake Capital und Moody’s ins Visier der Kampagne geraten seien – unklar war damals, ob Angriffe erfolgreich waren [1] [2].
Welche Daten betroffen sind
Apollo teilte mit, dass die Untersuchung am 12. August ergeben habe, dass potenziell kompromittierte Daten Namen, Geburtsdaten, Kontaktinformationen, Privatadressen und Sozialversicherungsnummern umfassen [2] [3]. Das Unternehmen machte keine Angaben dazu, wie viele Personen betroffen sind und ob es sich bei den Betroffenen um eigene Mitarbeiter, Kunden oder Beschäftigte von Beteiligungsfirmen handelt [1] [2].
Bislang gebe es keine Hinweise darauf, dass die Daten öffentlich veröffentlicht oder für Identitätsdiebstahl oder Betrug genutzt wurden, hieß es weiter [2] [3]. Betroffenen bietet Apollo 24 Monate Kreditüberwachung und Identitätsschutzdienste an [2].
Apollos Reaktion
In der Meldung beschreibt Matthew Breitfelder, globaler Leiter der Personalabteilung, das Vorgehen des Konzerns: „Nach der Entdeckung des Vorfalls haben wir umgehend die Strafverfolgungsbehörden informiert, führende externe Cybersicherheits- und Forensik-Experten hinzugezogen, unsere Sicherheitsprotokolle verstärkt und eine Untersuchung eingeleitet“ [2] [3].
Offen bleiben mehrere Fragen: Apollo nennt weder die betroffenen Cloud-Plattformen noch die Zahl der Betroffenen. Auf Anfrage von TechCrunch äußerte sich das Unternehmen nicht dazu, ob ein Lösegeld gezahlt wurde [1]. Auch die genaue Einbruchsmethode bleibt unklar – das Unternehmen spricht lediglich von einem Social-Engineering-Vorfall [2].
Lehren für den Finanzsektor
Der Fall Apollo ist ein besonders deutliches Beispiel dafür, dass die größte Schwachstelle vieler Finanzunternehmen nicht in der Technik, sondern im Menschen liegt. Die Angreifer benötigten keinen technischen Exploit – sie redeten sich den Zugang regelrecht frei. Google-Forscher berichten, dass einzelne Erpressungszahlungen in der Kampagne bis zu 750.000 US-Dollar erreichten [1]. Die Forderungen starten laut CyberScoop häufig bei rund drei Millionen Dollar und werden typischerweise auf unter eine Million heruntergehandelt [3].
Für den Finanzsektor bedeutet das: Multi-Faktor-Authentifizierung und Firewalls allein reichen nicht, wenn Mitarbeiter ihre Zugangsdaten an vermeintliche IT-Mitarbeiter weitergeben. Gefragt sind Schulungen, die gezielt auf Voice-Phishing und gefälschte Login-Portale vorbereiten, sowie Prozesse, die sensible Zugriffe unabhängig von einzelnen Mitarbeiterentscheidungen absichern. Dass ausgerechnet ein Konzern mit rund einer Billion Dollar verwalteten Vermögenswerten zum ersten bestätigten Opfer der Welle wurde, dürfte die Diskussion über die Widerstandsfähigkeit der Branche weiter anheizen [3].
Der Fall zeigt zudem, wie schwer sich die Folgen solcher Angriffe eingrenzen lassen: Einmal erbeutete Sozialversicherungsnummern und Adressdaten bleiben ein Risiko, lange nachdem die technischen Zugänge geschlossen sind. Für die Betroffenen heißt das, ihre Kreditauskünfte und Kontobewegungen in den kommenden Monaten besonders aufmerksam zu prüfen.