Ubiquitis „katastrophale Sicherheitslücke“ war die Erpressungsaktion eines eigenen Ingenieurs mit 50 Bitcoin

Am 10. und 11. Januar 2021 schrieb Ubiquiti seinen Kunden per E-Mail, eine unbefugte Partei habe auf „Informationstechnologiesysteme, die von einem Cloud-Anbieter eines Dritten gehostet werden“ zugegriffen, und das Unternehmen könne nicht sicher sein, dass Kundendaten – Namen, E-Mail-Adressen, Einweg-verschlüsselte Passwörter, Adressen und Telefonnummern – nicht offengelegt worden seien. Die E-Mail enthielt Tippfehler, sodass viele Empfänger annahmen, es handele sich um Phishing, und das Unternehmen musste ihre Echtheit in seinem Community-Forum bestätigen. Die Aktie fiel, und das deutsche BSI riet Nutzern, ihre Zugangsdaten zu ändern.

Am 30. März 2021 legte Ubiquiti nach: Der Angreifer habe auf die bei AWS gehosteten Server des Unternehmens zugegriffen, auf denen Quellcode und IT-Zugangsdaten lagen, wobei Kundendaten „nicht das Ziel“ gewesen seien; alle Nutzer wurden aufgefordert, ihre Passwörter zurückzusetzen und die Zwei-Faktor-Authentifizierung zu aktivieren. In derselben Woche teilte ein anonymer „Whistleblower“ Sicherheitsreportern mit, die Sicherheitslücke sei katastrophal und werde vertuscht. Die Aktie von Ubiquiti fiel innerhalb von zwei Tagen von 376,78 US-Dollar auf 298,30 US-Dollar – etwa 20 %.

Die Verschwörung flog am 1. Dezember 2021 auf, als Bundesstaatsanwälte in Manhattan Nickolas Sharp anklagten, einen Ingenieur von Ubiquiti. Nachdem er sich im Dezember 2020 um eine andere Stelle beworben hatte, soll er seine eigenen Admin-VPN-Zugangsdaten genutzt haben, um Gigabytes aus den AWS- und GitHub-Konten des Unternehmens herunterzuladen, AWS-Richtlinien angewandt haben, um die Protokollierung einzuschränken, und seinen VPN-Sitzungsverlauf gelöscht haben – doch ein flüchtiger Verbindungsabbruch gab seine private IP-Adresse preis. Er war der anonyme „Hacker“, der bis zum 10. Januar 2021 50 Bitcoin forderte, und als dies abgelehnt wurde, Daten weitergab und sich als Whistleblower ausgab.

Die Aktie fiel innerhalb von zwei Tagen von 377 auf 298 US-Dollar; das deutsche BSI riet Kunden, ihre Passwörter zu ändern; es folgten eine Verleumdungsklage und ein Presse-Widerruf.

Die legitimen Admin-Zugangsdaten eines einzigen Ingenieurs reichten an alles heran – Quellcode, Cloud-Speicher und Sicherheitseinstellungen –, ohne dass es zwischen einem Mitarbeiter und den Kronjuwelen interne Schutzmechanismen gab.

Die Protokollierung war nicht unveränderlich: Sharp schränkte sie mit AWS-Richtlinien ein und löschte seinen VPN-Verlauf, sodass das Unternehmen nicht feststellen konnte, was tatsächlich geschehen war.

Das Unternehmen legte die Informationen offen, bevor es den Vorfall einordnen konnte, und seine mit Tippfehlern durchsetzte E-Mail mit der Formulierung „könnte zugegriffen worden sein“ wirkte wie Phishing – das Vakuum lud die Darstellung des Angreifers ein.

Ein Insider mit Admin-Zugangsdaten ist eine größere Bedrohung als jeder Hacker. Halten Sie Protokolle unveränderlich, schotten Sie den Admin-Zugang ab und stellen Sie die Fakten fest, bevor Sie Informationen offenlegen – ein Vakuum wird von demjenigen gefüllt, der am lautesten lügt.

Sharp wurde am 1. Dezember 2021 verhaftet und beschuldigt, Daten gestohlen und seinen eigenen Arbeitgeber erpresst zu haben; die Staatsanwaltschaft erklärte, seine Manipulation der Berichterstattung habe Milliarden vom Marktwert des Unternehmens ausgelöscht. Im August 2022 veröffentlichte der Sicherheitsblogger Brian Krebs einen Widerruf und entschuldigte sich – seine „Whistleblower“-Quelle war der Täter gewesen –, und Ubiquitis Verleumdungsklage gegen ihn wurde im September desselben Jahres außergerichtlich beigelegt. Der Fall wurde zu einer Standardreferenz für zwei Kontrollen, die kein Sicherheitsprogramm auslassen sollte: unveränderliche Audit-Protokollierung und Beschränkungen des privilegierten Zugangs für Insider.