Wie die Rechtsabteilung von New York City gehackt wurde

Ansichten: 12
0 0
Lesezeit:5 Minute, 53 Zweite

Die Rechtsabteilung von New York City birgt einige der am besten gehüteten Geheimnisse der Stadt: Beweise für polizeiliches Fehlverhalten, die Identität von kleinen Kindern, die wegen schwerer Verbrechen angeklagt sind, Krankenakten und persönliche Daten von Tausenden von Stadtangestellten.

Aber alles, was ein Hacker Anfang dieses Monats in das Netzwerk der 1.000-Anwalts-Agentur eindringen konnte, war das gestohlene E-Mail-Passwort eines Arbeiters, so ein in dieser Angelegenheit informierter Stadtbeamter.

Die Beamten haben nicht gesagt, wie der Eindringling die Ausweise des Arbeiters erhalten hat, noch haben sie den Umfang des Angriffs bestimmt. Der Hack wurde jedoch durch das Versäumnis der Rechtsabteilung ermöglicht, eine grundlegende Sicherheitsvorkehrung, die als Multifaktor-Authentifizierung bekannt ist, zu implementieren, mehr als zwei Jahre nachdem die Stadt dies verlangte, so vier Personen, die das System der Rechtsbehörde und den Vorfall kennen.

Das Eindringen unterbrach Anwälte der Stadt, störte Gerichtsverfahren und brachte einige Rechtsangelegenheiten der Abteilung durcheinander. Und am Dienstagmorgen ermahnte Bürgermeister Bill de Blasio in einer Telefonkonferenz die Leiter der städtischen Behörden, ihre Cyber-Abwehr zu verstärken oder Konsequenzen zu tragen, falls ihre Behörden gehackt würden, so drei Personen, die an dem Anruf teilnahmen.

Die Warnung des Bürgermeisters an die Leiter der Behörde erfolgt 10 Tage, nachdem das Cyber-Kommando der Stadt, das 2017 von Herrn de Blasio zur Verteidigung der Computernetzwerke der Stadt eingerichtet wurde, ungewöhnliche Aktivitäten im Computersystem der Rechtsabteilung festgestellt hat.

Am nächsten Nachmittag, dem 6. Juni, sagten städtische Beamte, sie hätten die Computer der Abteilung aus dem größeren Netzwerk der Stadt entfernt. Viele bleiben unverbunden.

Herr de Blasio sagte letzte Woche bei öffentlichen Auftritten, dass der Hack vom Geheimdienst der New Yorker Polizei und der Cyber-Task Force des FBI untersucht werde. Er sagte, die Beamten seien sich nicht bewusst, dass eine Lösegeldforderung gestellt oder Informationen kompromittiert wurden.

Beamte sagten auch, es gebe keine Beweise dafür, dass der Angriff die Computersysteme der Stadt beschädigt habe, obwohl sich die Ermittlungen noch in einem frühen Stadium befänden. Die Ermittler versuchen noch, die Identität des Täters und das Motiv zu ermitteln.

„Wir haben die Malware identifiziert – wir haben sie schon einmal gesehen“, sagte John Miller, der stellvertretende Kommissar für Geheimdienst und Terrorismusbekämpfung der Polizeibehörde, auf einer Pressekonferenz.

„Sucht jemand nach Informationen, exportiert sie und führt dann einen Ransomware-Angriff durch?“ sagte Herr Miller. „Ist es eine andere Art von Akteur, der Informationen für andere strategische Zwecke sammeln möchte?“ Beides seien Möglichkeiten, fügte Mr. Miller hinzu.

Eine Sprecherin des Rathauses und ein Sprecher der Rechtsabteilung wollten sich am Donnerstag nicht äußern.

Die Multifaktor-Authentifizierung, eine Maßnahme, die vielen, die zu Hause und im Büro an Computern arbeiten, vertraut ist, erfordert, dass sich Benutzer bei sensiblen Konten anmelden, um mindestens einen zusätzlichen Schritt zur Überprüfung ihrer Identität zu unternehmen, z.

Das Tool wurde in den letzten Jahren weit verbreitet, sagen Cybersicherheitsexperten, wie Hacker zunehmend Zielen Sie mit gestohlenen Passwörtern und anderen Zugangsdaten auf Regierungen, Unternehmen, Krankenhäuser und Infrastrukturen ab. Auf diese Weise können sie in Computersysteme eindringen, um den Betrieb zu stören oder Daten zu stehlen, die verwendet werden können, um Lösegeld zu fordern.

Die überwiegende Mehrheit der Ransomware-Angriffe, die amerikanische Städte und Krankenhäuser eroberten, wurde möglich, weil die Ziele die Multifaktor-Authentifizierung nicht aktivierten, sagten Cybersicherheitsexperten und -beamte. Hacker nutzten die fehlende Multifaktor-Authentifizierung die Stilllegung der Colonial Pipeline im Mai und in zu erzwingen ein Versuch, die Wasserversorgung zu vergiften in einer kleinen Stadt in Florida im Februar 2020, sagten Beamte.

Fleißige Hacker haben Wege gefunden um die Multifaktor-Authentifizierung zu umgehen auf vom Pentagon verwendete Software und viele Fortune-500-Unternehmen. Cybersicherheitsexperten sagen jedoch, dass seine Verwendung immer noch eine der einfachsten Möglichkeiten ist, die Wahrscheinlichkeit eines erfolgreichen Angriffs erheblich zu verringern.

In einem dringenden Memo Anfang dieses Monats forderte das Weiße Haus amerikanische Organisationen auf, zusätzlich zu anderen Sicherheitsvorkehrungen wie der Datensicherung die Multifaktor-Authentifizierung zu verwenden.

Eine vom New Yorker Cyber ​​Command im April 2019 erlassene Richtlinie verlangte laut einer Kopie des von der New York Times erhaltenen Dokuments, dass alle städtischen Behörden für den Zugriff auf eingeschränkte oder sensible Informationen eine Multi-Faktor-Authentifizierung verwenden.

Geoff Brown, Leiter des Cyber ​​Command und New Yorks Chief Information Security Officer, bestätigte letzte Woche auf einer Pressekonferenz, dass die Stadt eine solche Anweisung erlassen habe, weigerte sich jedoch, eine Frage zu beantworten, ob die Rechtsabteilung das Tool verwendet.

„Zu diesem Zeitpunkt könnte die Beantwortung von Fragen zum Schutz städtischer Systeme dem Angreifer Einblicke in die Internettechnologie der Stadt oder die laufenden Ermittlungen geben“, sagte Brown.

Die Server der Rechtsabteilung liefen weiter 2003 veröffentlichte Microsoft-Software, für die das Unternehmen 2015 keine kritischen Sicherheitsupdates mehr bereitstellte.

Das Versäumnis, Software zu aktualisieren, macht kommunale Systeme zu einem reifen Angriffsziel für Hacker, die einfach das Internet nach ungepatchter Software durchsuchen und diese ausnutzen. Auch die Wasseraufbereitungsanlage in Florida im vergangenen Februar verwendete eine zehn Jahre alte Version von Microsoft Windows, die seit Jahren nicht mehr aktualisiert wurde.

In seinem Telefonat am Dienstag mit den Leitern der städtischen Agenturen nannte Herr de Blasio die Multifaktor-Authentifizierung und aktuelle Software als Prioritäten, die nach Angaben der an dem Anruf beteiligten Beamten sofort angegangen werden mussten.

Katharine Rosenfeld, eine Anwältin, die in einem Fall eine schwangere Frau vertrat, die die Stadt verklagte, nachdem sie während der Wehen mit Handschellen gefesselt worden war, sagte, die Sicherheitslücken hätten gezeigt, dass die Rechtsabteilung im Umgang mit vertraulichen Informationen „erschreckend schlampig“ sei.

„Denken Sie an all die Krankenakten, die wir ihnen über unsere Kunden, psychische Behandlungen und Vergleichsverhandlungen geben“, sagte Frau Rosenfeld. “Es macht mir nur große Sorgen.”

Die Deaktivierung des Computersystems der Rechtsabteilung nach dem Angriff hatte Auswirkungen auf die New Yorker Gerichte, verlangsamte die Verfahren und zwang die Anwälte der Stadt, Fristverlängerungen zu beantragen.

„Während der Unterzeichnete vor kurzem wieder Fernzugriff auf E-Mails erhalten hat“, schrieb ein Staatsanwalt der Stadt, James Jimenez, am Dienstag in einer Klage wegen falscher Verhaftung an einen Bundesrichter in Brooklyn, „kann ich immer noch nicht aus der Ferne auf Fallakten oder Dokumente zugreifen.“

Vor einem Bundesgericht in Manhattan löste der Angriff einen Streit in einer Reihe hochkarätiger Klagen aus, in denen die Polizei beschuldigt wurde, während der Demonstrationen in New York im vergangenen Jahr nach der Ermordung von George Floyd durch eine Polizei aus Minneapolis übermäßige Gewalt anzuwenden und ungerechtfertigte Massenverhaftungen vorzunehmen Offizier.

Die Anwälte der Kläger haben sich darüber beschwert, dass sich die Rechtsabteilung unter Berufung auf den Hack geweigert hat, zu sagen, wann sie kritische Dokumente herausgeben wird, dass die Anwälte sagen, sie müssten die “brutale Reaktion” der Stadt auf die groß angelegten Proteste untersuchen.

Die Rechtsabteilung hat die Anwälte der Kläger beschuldigt, den Hack zu nutzen, um „Spielkunst zu betreiben“ und plötzlich entschieden zu haben, dass „jetzt ein guter Zeitpunkt ist, die Angeklagten mit einem Sperrfeuer“ von neuen Dokumentenanforderungen zu überfluten, eine Anwältin der Stadt, Dara L. Weiss , schrieb letzte Woche an das Gericht.

Frau Weiss sagte, dass der Hack trotz der „technologischen Herausforderungen“ den Fortschritt in dem Fall nicht aufgehalten habe.

„Der Verteidiger hat nicht auf ihren Händen gesessen“, fügte Frau Weiss hinzu.

Nicole Perlroth Berichterstattung beigetragen. Susan C. Beachy Forschung beigetragen.

#Wie #die #Rechtsabteilung #von #York #City #gehackt #wurde

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.