Unternehmen kämpfen mit Gen-Z-Hacker-Angriffen

Ein finnisches Gericht hat den 26-jährigen Hacker Kivimäki vergangene Woche wegen Hacking und Erpressung zu mehr als sechs Jahren Haft verurteilt, von denen er rund die Hälfte verbüßen wird. Kivimäki gehört zu einer Generation von Gen-Z-Hackern, die Privatpersonen und Unternehmen erpressen, wie unser SZ-Kollege Max Muth in einer Analyse schreibt.

Lapsus$ und Scattered Spider: Zuletzt waren es demnach vor allem zwei Gruppen jugendlicher Cyberkrimineller, die weltweit Aufsehen erregten: Sie nennen sich Lapsus$ und Scattered Spider. Lapsus$ hackte in den Jahren 2021 und 2022 eine Reihe multinationaler Konzerne: Nvidia, Microsoft, Uber, Vodafone und den Spielehersteller Ubisoft. Seit der Verhaftung des damals 17-jährigen mutmaßlichen Anführers „White“ im Herbst 2022 und einiger anderer Mitglieder gelte die Gruppe als zerschlagen. Scattered Spider dagegen ist immer noch aktiv. Die Gruppe hackte unter anderem die US-Handelsgrößen Walmart und Costco sowie Apple.

Social Engineering: Beide Gruppen seien bekannt für ihre besonders effektiven Social-Engineering-Angriffe. Laut dem US-amerikanischen Cyber Safety Review Board haben die Hacker erst Informationen aus Leaks oder öffentlichen Quellen über die Opfer gesammelt und diese dann in Gesprächen mit Helpdesk-Mitarbeitern genutzt, etwa um Passwörter zurücksetzen zu lassen. Anders als viele andere Cyberkriminelle nutzten Lapsus$ und Scattered Spider kaum technische Sicherheitslücken.

Uber-Hack: Stattdessen verließen sich die Hacker auf menschliche Schwächen und Leichtgläubigkeit. So hackte der Lapsus$-Anführer „White“ den Taxi-Dienst Uber, nachdem er die Whatsapp-Nummer eines Mitarbeiters herausgefunden hatte. Zuerst schickte er dem Mitarbeiter unzählige Aufforderungen, sich ins Uber-System einzuloggen. Eine Stunde später gab er sich als Mitarbeiter der Uber-IT aus, der ihm helfen würde, die lästigen Benachrichtigungen loszuwerden. Der genervte Mitarbeiter willigte ein und wurde gehackt.