Klipper on Security

DAS hört sich verlockend an – außer für den, dem die Einnahmen in gleicher Höhe entgehen. Brian Krebs berichtet in seinem Blog über die Anklageerhebung durch das US-Justizministerium gegen drei Verdächtige, denen vorgeworfen wird tausende privater Telefonanlagen gehackt und dann die Nutzung dieser Anlagen über Callcenter in Italien verkauft zu haben – gegen einen kleinen Obulus für die Hacker versteht sich. Zugang zu den Telefonanlagen erhielten die Angreifer über voreingestellte Herstellerpasswörter, die von den zahlenden Kunden nicht geändert worden ware. Entstandener Schaden: 55 Millionen Dollar!

Das sind zwölf Millionen Minuten internationaler Telefongespräche über den Zeitraum von 2005 bis 2008. Die Anklageschrift können Sie ebenfalls bei Brian Krebs herunterladen.

100$ musste das Callcenter in Italien für jeden Account bezahlen. Das erweitert die Preisliste, die ich vor zwei Tagen hier gepostet hatte.

30$ für einen Admin-Account im Online-Shop mit 10-6500 Kunden inklusive deren Kreditkarteninformationen. Oder 50$ pro Tag für einen DDOS-Angriff auf einen Webauftritt. 200 VISA-Kreditkarten Hologramme? Kein Problem: 1500$. Lieber die Hologramme von Mastercard und VISA? Nichts leichter als das: 6$ pro Stück (Mindestbestellmenge: 3; zzgl. Versand: 50$-75$). Oder wollen Sie einen eigenen Virus? Eine Escrow-Variante gibt’s für 350$.

So waren die üblichen Preise auf DarkMarket. Bezahlung jeweils bequem über e-gold.com. Die passenden Screenshots findet man im f-secure.com Weblog. Interessanter wird es, wenn es, wie im folgenden Beispiel, preislich in die Millionen geht.

Im Wiki für durchgesickerte Informationen WikiLeaks wurde vor kurzem ein Lösegeld von 10 Millionen Dollar gefordert. Lösegeld? Was wurde denn gekidnappt? Die Daten von über acht Millionen Patienten aus dem Bundesstaat Virginia. Besonders ärgerlich: Der Hacker hat die Daten gelöscht und die Backups verschlüsselt – das Passwort gibt’s nach der Überweisung des Lösegelds.

The Register berichtete bereits im November 2008 von einer Belohnung, die für Hinweise zu einer Cyber-Erpressung ausgesetzt wurde: Eine Millionen Dollar! Die Betroffenen haben also längst zum finanziellen Gegenangriff geblasen.

Stellt sich die Frage, ob der Datenverlust für ein Information-Security-Budget von einer Millionen Dollar nicht zu verhindern gewesen wäre? Die Zahlen sind übrigens ganz nett für eine Musterrechnung zum Return on Information Security Invest nach Mizzi.