IHGs Passwort-Tresor war für 200.000 Mitarbeiter hinter einem schwachen Passwort offen – Hacker löschten Daten

An einem Montag im September 2022 meldeten Kunden von IHG, dem Eigentümer von Holiday Inn, Crowne Plaza und Regent mit rund 6.000 Hotels weltweit, weitverbreitete Probleme bei Buchung und Check-in. 24 Stunden lang beantwortete das Unternehmen Beschwerden in sozialen Medien mit dem Hinweis auf „Systemwartung“. Am Dienstagnachmittag teilte es der Londoner Börse mit, dass es gehackt worden sei und dass Buchungskanäle und andere Anwendungen erheblich gestört worden seien.

Die Angreifer, die sich TeaPea nannten und angaben, ein Paar in Vietnam zu sein, erklärten gegenüber der BBC, sie hätten zunächst einen Ransomware-Angriff geplant, doch das IT-Team von IHG habe immer wieder Server isoliert, bevor sie ihn hätten ausführen können, weshalb sie stattdessen einen Wiper-Angriff ausführten, der Daten unwiderruflich zerstört. Sie gaben an, sie seien hineingekommen, indem sie einen Mitarbeiter dazu brachten, einen bösartigen E-Mail-Anhang zu öffnen, und eine Zwei-Faktor-Abfrage umgingen; dann fanden sie Anmeldedaten für den internen Passwort-Tresor von IHG. Die BBC berichtete, ihren Angaben zufolge seien die Tresor-Zugangsdaten für alle 200.000 Mitarbeiter sichtbar gewesen und das Passwort habe „Qwerty1234“ gelautet.

IHG bestätigte, dass die von den Hackern gelieferten Screenshots echt waren. Das Unternehmen bestritt, dass die Tresor-Daten unsicher gewesen seien, und erklärte, der Angreifer habe „mehrere Sicherheitsebenen“ umgehen müssen; man verfolge einen Defense-in-Depth-Ansatz.

Buchungskanäle und andere Anwendungen waren tagelang „erheblich gestört“; IHG teilte Investoren mit, gehackt worden zu sein; es wurde keine Kostenzahl genannt

Laut den Hackern waren Benutzername und Passwort des Tresors für alle 200.000 Mitarbeiter verfügbar, sodass ein kompromittiertes Konto die sensibelsten Systeme öffnete.

Die Hacker gaben an, das Tresor-Passwort habe Qwerty1234 gelautet, ein häufig verwendetes Tastaturmuster-Passwort.

Ein bösartiger Anhang plus eine umgangene Zwei-Faktor-Abfrage verschafften Berichten zufolge den ersten Zugang zum Gerät eines Mitarbeiters.

Der Sicherheitsexperte Rik Ferguson sagte der BBC, sensible Daten sollten nur denen zur Verfügung stehen, die sie benötigen, und ein komplexes Passwort sei ebenso unsicher wie ein einfaches, wenn es offen zugänglich sei.

Eine starke Perimeter-Sicherheit versagt, wenn der dahinterliegende Tresor für alle lesbar und durch ein Tastaturmuster-Passwort geschützt ist. Der Zugriff sollte auf diejenigen beschränkt werden, die ihn benötigen, unabhängig vom Passwort.

IHG erklärte, die kundenorientierten Systeme normalisierten sich wieder, doch die Dienste könnten zeitweise weiterhin unterbrochen sein. Die Hacker gaben an, es seien keine Kundendaten gestohlen worden, sie hielten jedoch einige Unternehmensdaten, darunter E-Mail-Aufzeichnungen. IHG akzeptierte die Darstellung der Hacker zu seiner Sicherheit nicht, und der BBC-Artikel nennt keine Zahl für die finanziellen Kosten.