Das japanische Medienunternehmen Nikkei gab bekannt, dass unbekannte Angreifer in zwei getrennten Vorfällen auf die E-Mail-Konten zweier Mitarbeiter zugreifen konnten, wobei die Dienste Google Workspace und Microsoft 365 betroffen waren. Das zweite Konto wurde genutzt, um Tausende betrügerische Nachrichten an Mitarbeiter und Personen zu senden, die zuvor mit dem Unternehmen Kontakt gehabt hatten.
Was ist passiert?
Den Angreifern gelang es Ende Juli, auf das Google-Workspace-Konto eines Mitarbeiters zuzugreifen. Nikkei erklärte, dass dabei möglicherweise die Namen und E-Mail-Adressen von 1.646 Mitarbeitern und Geschäftspartnern offengelegt wurden. Das Unternehmen bestätigte jedoch, dass die betroffenen Daten keine Informationen über Leser oder Personen enthielten, die von Nikkei interviewt worden waren.
Das Unternehmen erhielt von Google eine Benachrichtigung über den Vorfall und entdeckte den Einbruch Anfang August. Anschließend änderte es das Passwort des Kontos. Nikkei stellte weder fest, wie lange die Angreifer Zugriff auf das Konto hatten, noch ob die Daten tatsächlich kopiert wurden.
Microsoft-365-Konto als Phishing-Werkzeug missbraucht
Bei einem jüngeren Vorfall griffen Angreifer im September auf das Microsoft-365-Konto eines weiteren Mitarbeiters zu. Am 30. September wurde das Konto genutzt, um E-Mails an Nikkei-Mitarbeiter und an Personen zu senden, die zuvor mit mehreren Beschäftigten des Unternehmens Kontakt gehabt hatten.
Die Nachrichten enthielten Links zu schädlichen Websites; insgesamt wurden etwa 9.000 Nachrichten versendet. Das Unternehmen änderte die mit dem Vorfall verbundenen Passwörter und erklärte, seitdem keine unbefugten Anmeldungen festgestellt zu haben. Außerdem kontaktierte es die Empfänger einzeln und bat sie, die Nachrichten zu löschen.
Warum ist diese Nachricht wichtig?
Die Gefahr beim Einbruch in geschäftliche E-Mail-Konten beschränkt sich nicht auf die Offenlegung von Daten. Das kompromittierte Konto kann genutzt werden, um Nachrichten zu versenden, die gegenüber Kollegen, Partnern und Personen mit einer früheren Beziehung zum Mitarbeiter vertrauenswürdig wirken. Dies erhöht die Erfolgschancen von Phishing, insbesondere wenn die Nachricht von einer bekannten Domain stammt und auf echten Kontakten beruht.
Nikkei warnte die betroffenen Personen vor weiteren Nachrichten, die sich als das Unternehmen oder als eines seiner Tochterunternehmen ausgeben könnten. Das Unternehmen schrieb die beiden Angriffe keiner bestimmten Stelle oder Hackergruppe zu und bestätigte auch keinen Zusammenhang zwischen den Vorfällen.
Wiederkehrender Sicherheitskontext
Die neuen Offenlegungen folgen auf weitere Vorfälle, die Nikkei in den vergangenen Jahren bekannt gegeben hatte. Im Vorjahr wurde die zu Nikkei gehörende Slack-Plattform kompromittiert, wodurch mehr als 17.000 Mitarbeiter und Geschäftspartner betroffen waren. Im Mai 2022 war Nikkei in Singapur von einem Ransomware-Angriff betroffen, bei dem ein Server angegriffen wurde, der vermutlich Kundendaten enthielt. Außerdem verlor Nikkei America bei einem als Business-E-Mail-Compromise (BEC) bezeichneten Betrugsangriff im September 2019 etwa 29 Millionen US-Dollar.
Wichtige Fragen sind weiterhin offen, darunter die Art der Daten, auf die tatsächlich zugegriffen worden sein könnte, die genaue Dauer jedes Einbruchs und die Frage, ob die beiden Vorfälle miteinander verbunden waren. Daher reichen die bisher veröffentlichten Informationen aus, um die beiden Einbrüche und ihre ersten Auswirkungen zu bestätigen, legen jedoch noch keinen vollständigen kriminellen oder technischen Umfang des Angriffs fest.