News Western Digital: Zahlreiche Online-Dienste nach Hackerangriff abgeschaltet

[mischaef]

Unbefugte haben sich bereits im März Zugriff zu Systemen von Western Digital verschafft, das hat der Hersteller jetzt mitgeteilt und zahlreiche Online-Dienste vom Netz genommen. Die Angreifer sollen „bestimmte Daten“ erbeutet haben, Details nennt Western Digital keine. Die Untersuchungen liefen noch.

Zur News: Western Digital: Zahlreiche Online-Dienste nach Hackerangriff abgeschaltet

 

[DJMadMax]

Sicher ist nichts (bis auf eine Sache) und niemand im Leben.

Jeder einzelne sollte sich stets darüber im Klaren sein, wo genau welche Daten "gesichert" werden.

 

[Lan_Party94]

Puh! Hört sich richtig übel an!
Bin gespannt wie schlimm und groß diese Attacke wohl war...

 

[derbe]

Gefühlt wird jedes Unternehmen gehackt, die anderen lernen nicht daraus. Zur Sicherheit gehörten heut zu Tage nicht nur MFA / 2FA sondern auch ordentlich geschultes Personal. Der beste Schutz bringt nichts wenn das schwächste Glied vor dem PC sitzt.

 

[amorosa]

Ja, stimmt.

Meißtens wars dann jemand, der nen E-Mail Link oder ne fake -.PDF geöffnet hatte.

Wie kommen solche Menschen an ihre Jobs ? Oder übertreibe ich mit dieser Frage ? So jemanden würde ich jedenfalls NICHT einstellen. Wobei, das weiß man ja auch nicht vorher, es sei denn, man baut es beim Anwerben als Thema mit ein.

Auf der anderen Seite hatte ich viele Kontakte mit ChinaFirmen und denen irgendwas bösartiges in ner E-Mail an zu drehen, wäre mir jedes mal möglich gewesen. Denen natürl. auch…

 

[Daniel D.]

Mich stört meistens die Behandlung des Vorfalls. Zu spät und nicht kommuniziert.

 

[cunhell]

Gefühlt wird jedes Unternehmen gehackt, die anderen lernen nicht daraus. Zur Sicherheit gehörten heut zu Tage nicht nur MFA / 2FA sondern auch ordentlich geschultes Personal. Der beste Schutz bringt nichts wenn das schwächste Glied vor dem PC sitzt.

Viele Dienste verwenden BSD, Linux, Windows im Hintergrund. Wenn da sich in einem Paket eine Lücke öffnet, dann hast Du sehr schnell ein Problem. Und Du bist dann trotzdem davon abhängig wie schnell diese erkannt wird und wie schnell diese gefixed ist. Gibt genügend Beispiele in der Vergangenheit in denen solche Lücken ausgenutzt wurden.
Es muss daher nicht zwingend Schlamperei vorliegen. Die wäre es erst, wenn bekannte Lücken nicht zeitnah geschlossen würden.

Cunhell

 

[CastorTransport]

Ja, stimmt.

Meißtens wars dann jemand, der nen E-Mail Link oder ne fake -.PDF geöffnet hatte.

Wie kommen solche Menschen an ihre Jobs ? Oder übertreibe ich mit dieser Frage ?

Ja.

Es gibt auch "social hacking". Und viele andere Wege an Daten oder Vertrauen zu gelangen. 74455 gelang zB in ein Netz einer Firma, in dem jemand eine Bewerbung vortäuschte, bei der es zuerst nur Schriftverkehr ohne Anhänge gab, das schuf Vertrauen, das es sich um eine "echte Person" handelte. Die Person war echt, schickte später nur ihr "Profilbild" verschleiert als PDF mit anderer Dateiendung und als jemand die Details laden liess, wurde schon der Virus installiert.

Man könnte nun Dateianhänge unterbinden oder die "Öffnung" nur auf Offline-PCs erlauben, aber was macht das im Arbeitsleben einfacher?

 

[taeddyyy]

Wie kommen solche Menschen an ihre Jobs ? Oder übertreibe ich mit dieser Frage ? So jemanden würde ich jedenfalls NICHT einstellen. Wobei, das weiß man ja auch nicht vorher, es sei denn, man baut es beim Anwerben als Thema mit ein.

Es ist Fakt, dass der Großteil der Mitarbeiter, die im Büro sitzen und 8-10 Std. am Tag mit PC/Smartphone arbeiten, nicht genau wissen, was sie tun. Es wird überall geklickt, nichts wird hinterfragt. 1 Passwort für alle Dienste? Wunderbar, dann braucht man ja keinen Passwortmanager.

Mitarbeiter am PC sind erwiesenermaßen die größte Sicherheitslücke im Unternehmen und müssen durch entsprechende Maßnahmen (vor sich selbst) geschützt werden, da sie es selbst nicht besser wissen (PW-Richtlinien, eingeschränkte Rechte, bevormundung bei Endgeräten, Software etc)
Viel wichtiger ist aber, aufzuzeigen, was ein einzelner durch einen einzelnen Klick für Schaden anrichten kann.

Daher: Schulen, Schulen, Schulen.
Individualschulung bei Super-DAUs stehen bei uns ebenso an der Tagesordnung wie unregelmäße Audits einzelner Systeme um Menschengemachte Schwachstellen zu identifizieren.

Die Gefahr kommt leider meist von Innen, klassische Software Sicherheitslücken führen seltener zu kompromitierten Unternehmen als der MA, der auf eine infizierte Mail klickt.

 

[DireWolf]

Immer wieder unschön zu lesen wenn es alles erwischt. Ob Hardwarehersteller, Krankenkasse oder ganze Gemeinden. Und gefühlt lernt man nichts daraus.

 

[Jasmin83]

Meißtens wars dann jemand, der nen E-Mail Link oder ne fake -.PDF geöffnet hatte.

Wie kommen solche Menschen an ihre Jobs ? Oder übertreibe ich mit dieser Frage ? So jemanden würde ich jedenfalls NICHT einstellen.

Kannst du einfach nicht verhindern, selbst der beste IT'ler ist mal müde oder neben sich und denkt nicht drüber nach oder fühlt sich selber zu sicher. Wir werden hier alle 3 Monate geschult, was E-Mailsicherheit, Social Engineering usw angeht und dennoch passiert es. Es passiert einfach. Oft kann man nicht mal sagen, das man irgendwo drauf geklickt hat oder sonst was gemacht hat. Und es gibt immer wieder leute die unbedarft sind, trotz zigfacher Schulung, das heißt nicht, das die ihren Job in der Personalabteilung, bei Finance oder sonst wo schlecht machen und nicht gebraucht werden.

 

[Vigilant]

Wie kommen solche Menschen an ihre Jobs ? Oder übertreibe ich mit dieser Frage ? So jemanden würde ich jedenfalls NICHT einstellen

Fehler passieren halt und lassen sich nicht auf eine Fehlerquote von 0% reduzieren. Daher gibt es auch unter "optimalen" Bedingungen immer Fälle, in denen Dinge schieflaufen. Zudem versagen technische und organisatorische Sicherheitsmaßnahmen gerne mal, wenn sie "von innen" umgangen werden.

Und gefühlt lernt man nichts daraus.

Schon, aber das heißt nicht, dass es nicht wieder passieren kann. Es gibt keine absolute Sicherheit.

 

[Jasmin83]

Ach ja, selbst MFA/2FA ist kein allheilmittel, wenn man den Session Cookie sich schnappen kann und sich in dem Sinne nichtmal mehr einloggen braucht, weil man es dann schon ist, um in solche Systeme zu kommen. Siehe Youtube -> LTT Channels

 

[Snowi]

Hatte mir mal über ein Angebot 2 WD My Cloud EX4100 gekauft. Mit aktueller Firmware war das reine Offline betreiben eine Qual. Musste das 5x neu installieren, bis es auch Offline erreichbar war, wenn ich den Internetzugriff in der Fritzbox deaktiviert habe. Die Optionen ließen sich nachher teils nicht mehr ändern, und dann war es auch Offline nur erreichbar, wenn es Internet hatte. Völlig lächerlich. Gingen auf eBay, Platten in ein Selbstbau-NAS mit OMV.

 

[derbe]

Meißtens wars dann jemand, der nen E-Mail Link oder ne fake -.PDF geöffnet hatte.

Du würdest dich wundern, was für echt clevere Leute da drauf reinfallen. Bei uns im Unternehmen werden Test Emails an bestimmte Gruppen gesendet, und dann wird ausgewertet wie viele drauf "reinfallen". Leider ziemlich erschreckend.

Ergänzung (4. April 2023)

Es muss daher nicht zwingend Schlamperei vorliegen.

Muss es auch nicht, aber das ist viel seltener als man annimmt.

 

[leipziger1979]

"In die Cloud sollt ihr gehen" haben sie gesagt.
"Dort sind eure Daten 100% sicher und immer verfügbar" haben sie gesagt.

Naja, usw. jeder kennt ja diese Märchen.

 

[Biedermeyer]

Wie weit ist denn die CB-KI?

Kann man nicht bei solchen Artikeln gleich den 'Weisheiten'-Filter anwenden. - Ist ja nicht zum Aushalten.

Da die Betroffenen vermtl. kaum oeffentlich verkuenden werden, wie es zu diesen Straftaten kommen konnte,
bleibt leider maximal eine zur Kenntnisnahme...

 

[22428216]

Wie kommen solche Menschen an ihre Jobs ? Oder übertreibe ich mit dieser Frage ? So jemanden würde ich jedenfalls NICHT einstellen.

Ich habe Dinge gesehen, wonach ich mich gefragt habe, dass der Mensch es soweit gebracht hat, aufrecht zu gehen.

Das bemängel ich schon lange.
Von genau diesen Leuten, die meiner Meinung nach der Großteil der Gesellschaft sind, lernen unsere Kinder den Umgang mit dem Internet.

Dazu kommt, dass die Autos immer komplexer werden und die Leute ebenso schlecht ihr Fahrzeug benutzen können

 

[ssh]

Wer diese propertiäre WD MyCloud Scheisse nutzt, der hat eh längst die Kontrolle im Leben verloren. Habe da absolut kein Mitleid.

Ergänzung (4. April 2023)

"In die Cloud sollt ihr gehen" haben sie gesagt.
"Dort sind eure Daten 100% sicher und immer verfügbar" haben sie gesagt.

Naja, usw. jeder kennt ja diese Märchen.

Wie wärs mit Brain.exe nutzen? 100% sicher und verfügbar glauben nur Idioten. Was bringt dir die Cloud wenn du deine Türen unverschlossen hältst oder die Schlüssel in dem Fall WD überlässt? EIn Cloudspeicher allein ist kein Backup und wie bei Kryptocoins gilt, not your keys, not your coins. Meine Schlüssel, meine Kontrolle.

 

[Madcat69]

Das dämlich-by-Design an diesen Geräten ist ja noch, dass die Daten zwar lokal vorgehalten sind, aber die Anmeldung per default den WD-Webservice braucht ... Soll erst in einem der letzten Firmware-Updates überhaupt umstellbar geworden sein. Also mal ehrlich, wie kann man sich sowas ausdenken? Daten lokal - Anmeldung lokal, Ende. Kann ja gerne auf Wunsch mit optional eingebundenen Web-Diensten arbeiten, aber die ganz grundlegende Funktionalität als Dateispeicher muss doch auch komplett offline funktionieren ...

Aber die Fehler, Bugs und Probleme mit den myClouds ziehen sich ja durch die Jahre ... Trotzdem noch zu kaufen, genau wie Router von D-Link, Netgear und Konsorten ...