Edition 17

Lesen Sie über die Krypto-Thematik hinaus, denn das Muster existiert in Ihrer Organisation. Es handelt sich um ein Autorisierungsversagen. Die Signierungskontrolle hat den Schlüssel geschützt, nicht die Echtheit der Anweisung: Sie wurde gebeten, eine Überweisung zu autorisieren, bestätigte, dass sie berechtigt ist, Überweisungen zu autorisieren, und signierte. Niemand hat überprüft, ob die Überweisung real war. Ersetzen Sie Wallet durch Zahlungslauf oder durch Bankverbindung eines Lieferanten, und Sie haben Business Email Compromise mit besserer Kryptografie.

Die Kontrolle, die Sie tatsächlich benötigen, liegt vorgelagert, bei der Integrität dessen, was den Signierer erreicht. Woher kommt diese Anweisung, stimmt sie mit einer genehmigten Quelle überein, und wird das System, das Überweisungen zusammenstellt, sorgfältiger als das signierende System vertraut? Halten Sie die Nordkorea-Zuordnung vorerst für vorläufig: der Einstiegspunkt ist unbekannt, und Lazarus ist zu einem Label für alles vage DPRK-Artige geworden. Der Mechanismus ist die Lektion, nicht die Attribution.

Zum zweiten Mal innerhalb von zwei Monaten trifft dieselbe Lektion ein: Ein Passwort-Reset vertreibt einen Angreifer nicht. Im August war es ein Phishing-Kit, das seinen eigenen Passkey registrierte und das Reset überlebte. Hier überlebt der bösartige Anbieter das Reset und sammelt das Ersatz-Passwort. Die Reihenfolge der Maßnahmen ist daher selbst eine Kontrolle. Entfernen Sie zuerst die Persistenz, also den Anbieter, seine Anwendungen, Schlüssel und Redirect-URIs, und rotieren Sie danach die Zugangsdaten. Umgekehrt haben Sie das neue Passwort preisgegeben.

Seien Sie präzise in der Einordnung, denn das ist relevant. Es handelt sich um Post-Compromise, nicht um initialen Zugang: Die Registrierung eines bösartigen Anbieters erfordert Global Administrator oder Authentication Policy Administrator. Der eigentliche Befund ist also Standing Privilege, kein gebrochenes MFA. Beachten Sie außerdem, was Entra verifiziert hat: eine gültige Signatur auf einem Token, das behauptet, der zweite Faktor habe stattgefunden. Nicht, dass er tatsächlich stattgefunden hat.

Heften Sie diesen einen Satz an die Wand. Der Sicherheitsmechanismus zeigte eine Policy-Blockierung an, nachdem die Daten bereits abgeflossen waren. Sie erhielten die beruhigende Meldung und den Datenverlust, von derselben Kontrolle, in derselben Sekunde. Wenn Sie jemals einen Beweis brauchten, dass eine Kontrolle, die Erfolg meldet, nicht dasselbe ist wie eine Kontrolle, die funktioniert: Er ist diese Woche mit einem Screenshot eingetroffen.

Zwei Punkte, die Sie in Ihre eigene Umgebung mitnehmen sollten. Erstens: Ein öffentliches Lead-Formular ist nicht vertrauenswürdiger Input mit einem direkten Weg zu Ihren Kronjuwelen. Fragen Sie daher, was in alles schreiben kann, was Ihre Agenten lesen. Zweitens hatte der Agent keine Vorstellung davon, wer ihn steuerte, und signierte das Phishing daher mit seinem eigenen vertrauenswürdigen Namen. Das ist die konkrete Version des Ratschlags, den ich vor vierzehn Tagen gegeben habe: eine Identität pro Agent, und Protokolle darüber, was der Agent tatsächlich getan hat, nicht was er tun sollte.

Schauen Sie auf die Grundlagen. Kein Verstoß, kein Hack, kein raffinierter Angriff. Rechtmäßigkeit, Fairness, Transparenz, Aufbewahrung und die Unfähigkeit, Compliance nachzuweisen. Dieser letzte Punkt ist Artikel 5 Absatz 2, und er zieht denselben Faden wie alles oben: Compliant zu sein und es belegen zu können sind keine optionalen Hälften. Wenn Sie Ihren Arbeitsnachweis nicht erbringen können, wertet die Aufsichtsbehörde es als nicht erledigt. Die Aufbewahrungsdauer wurde als erschwerender Umstand genannt, was das dritte Mal in diesem Jahr ist, dass ich über Daten schreibe, die ihren Zweck überleben.

Achten Sie auf die Reihenfolge, nicht auf die Zahl. Ich habe beim DMA-Bußgeld im Juli dasselbe gesagt: Für Alphabet ist das Geld ein Bilanzposten, das Verhaltensmittel ist das eigentliche Instrument, und Google hat nun sechs Monate Zeit, die Art der Verarbeitung von Standortdaten zu ändern. Beachten Sie auch die Uhr. Eröffnet im Februar 2020, entschieden im September 2026. Sechs einhalb Jahre, das ist der Zeitraum, nach dem Sie aufgefordert werden können, Entscheidungen zu rechtfertigen, die von Personen getroffen wurden, die seitdem das Unternehmen verlassen haben.

Eine Kultur ist keine Verfahrensanweisung. Sie können sie nicht schreiben, genehmigen und ablegen, und ein Auditor wird sie nicht durch das Lesen Ihrer Richtlinienseite bewerten. Er wird sie bewerten, indem er Ihre Mitarbeiter fragt, wie Fehler gemeldet werden und ob jemand zögert, schlechte Nachrichten zu übermitteln. Ihre Verteidigung ist der Nachweis dessen, was das Management tatsächlich tut: Vorstandsprotokolle, Entscheidungen, bei denen Qualität den Zeitplan übertroffen hat, und was mit der letzten Person passiert ist, die ein Problem eskaliert hat. Sammeln Sie diese Belege jetzt, denn Sie können sie später nicht rekonstruieren.

Zwei praktische Hinweise. Anhang A.6.1.2 besagt, dass risikobasiertes Denken keinen formalen Risikomanagementansatz oder einen dokumentierten Prozess voraussetzt. Wenn Ihnen also ein Berater sagt, die neue Version zwinge Sie zu einem Risikoregister, verkauft er Ihnen etwas. Und vertrauen Sie nicht auf die Drei-Jahres-Frist. Die meisten Organisationen führen den Übergang während eines geplanten Überwachungs- oder Rezertifizierungsaudits durch, und diese Termine werden von der Zertifizierungsstelle belegt, nicht von Ihnen. Wenn Sie von Ihrem eigenen Zyklus rückwärts rechnen, finden Sie in der Regel nur ein realistisches Zeitfenster. Die vollständige klauselweise Analyse ist oben verlinkt.