Das Finanzsoftwareunternehmen MeridianLink hat bestätigt, dass es sich um einen Cyberangriff handelt, bei dem die dahinter stehenden Hacker „außergewöhnliche Maßnahmen“ ergriffen haben, um das Unternehmen zur Zahlung eines Lösegelds zu zwingen. MeridianLink, das im letzten Quartal einen Umsatz von über 76 Millionen US-Dollar erwirtschaftete, stellt Tools für US-Banken, Kreditgenossenschaften, Hypothekengeber und Verbraucherauskunfteien bereit.


Diese Woche wurde das Unternehmen auf der Leak-Seite AlphV/BlackCat gelistet, einer mutmaßlich in Russland ansässigen Ransomware-Bande, die an einer Reihe dreister Angriffe beteiligt war, unter anderem gegen MGM Resorts.

Ein Sprecher von MeridianLink bestätigte gegenüber RecordedFutureNews, dass kürzlich ein Cybersicherheitsvorfall entdeckt wurde.

„Nach der Entdeckung haben wir sofort Maßnahmen ergriffen, um die Bedrohung einzudämmen, und ein Team externer Experten mit der Untersuchung des Vorfalls beauftragt. Basierend auf unserer bisherigen Untersuchung haben wir keine Hinweise auf einen unbefugten Zugriff auf unsere Produktionsplattform gefunden, und der Vorfall verursachte nur minimale Betriebsunterbrechungen. Wenn wir feststellen, dass bei diesem Vorfall personenbezogene Daten von Verbrauchern im Spiel waren, werden wir die gesetzlich vorgeschriebenen Benachrichtigungen übermitteln“, sagte der Sprecher.

Der Angriff hat das Interesse von Sicherheitsforschern geweckt, weil die Ransomware-Gruppe AlphV auf ihrer „offiziellen Website“ behauptete, sie habe MeridianLink der U.S. Securities and Exchange Commission (SEC) gemeldet, weil es die Aufsichtsbehörden nicht über den Vorfall informiert habe, der angeblich vor einer Woche stattgefunden habe, und dass das Opfer seinen Offenlegungspflichten nicht nachgekommen sei.

Die Ransomware-Bande teilte später ein Foto eines Formulars, das sie an die SEC geschickt hatte, und behauptete fälschlicherweise, dass MeridianLink gegen die hochkarätigen neuen Melderegeln der SEC verstoßen habe, obwohl diese in Wirklichkeit erst nächsten Monat in Kraft treten.

Tritt die Regelung in Kraft, wäre das Unternehmen verpflichtet, einen „erheblichen“ Cybervorfall innerhalb von vier Tagen nach Entdeckung zu melden. Unternehmen und Führungskräfte im Bereich Cybersicherheit diskutieren immer noch darüber, was die SEC als „bedeutsam“ ansieht, und die SEC plant, weitere Leitlinien zu diesem Begriff herauszugeben.

Aber auf dem Aspen Cyber ​​​​Forum diese Woche bestätigten mehrere Regierungsbeamte, dass die Regeln nicht bedeuten, dass ein Angriff vier Tage nach seiner Entdeckung gemeldet wird, sondern nur dann, wenn davon ausgegangen wird, dass ein Angriff erhebliche Auswirkungen auf das Endergebnis eines Unternehmens hat.

Auf die Frage, ob das Formular oder MeridianLink für die Meldung des Vorfalls erforderlich seien, lehnte ein SEC-Sprecher eine Stellungnahme ab.

Der dreiste Schachzug ist die neueste Erpressungstaktik von Ransomware-Banden, die mit allen Mitteln Lösegeld von ihren Opfern erpressen wollen. In diesem Sommer drohte eine weitere Ransomware-Bande damit, Unternehmen wegen mutmaßlicher Verstöße gegen die Datenschutz-Grundverordnung (Privatsphäre und Datenschutzgesetze in der EU haben deutlich größere Konsequenzen als in den Vereinigten Staaten) den europäischen Aufsichtsbehörden zu melden, wenn sie das Lösegeld nicht zahlten.

Jim Doggett, CISO des Cybersicherheitsunternehmens Semperis, sagte gegenüber Recorded Future News, dass der Schritt zwar aufsehenerregend sei, die Bande aber zu einem Ziel für US-Strafverfolgungsbehörden machen könnte.

„Wenn sie profitabel bleiben wollen, wäre es nicht klug, unnötige Aufmerksamkeit zu erregen“, sagte er.

Ilia Kolochenko, CEO des Anwendungssicherheitsunternehmens ImmuniWeb, wies darauf hin, dass ein Missbrauch der neuen Regeln der SEC, um zusätzlichen Druck auf börsennotierte Unternehmen auszuüben, absehbar sei.

„Wenn Opfer Schwachstellen nicht innerhalb der gesetzlich vorgeschriebenen Fristen offenlegen, werden Ransomware-Akteure wahrscheinlich damit beginnen, Beschwerden bei anderen US- und EU-Regulierungsbehörden einzureichen. Dennoch sind nicht alle Sicherheitsvorfälle Datenschutzverletzungen und nicht alle Datenschutzverletzungen sind meldepflichtige Datenschutzverletzungen“, sagte Kolochenko, der außerdem außerordentlicher Professor für Cybersicherheit und Recht an der Capitol Technology University ist.

„Regulierungsbehörden und Behörden sollten solche Meldungen daher sorgfältig prüfen und vielleicht sogar eine neue Regel einführen, um Meldungen zu ignorieren, die nicht durch glaubwürdige Beweise untermauert sind. Andernfalls werden übertriebene oder sogar völlig falsche Beschwerden ihre Systeme mit Lärm überschwemmen und ihre Arbeit lahmlegen.“