Nacktvideos von Kindern aus gehackten Babyphones wurden auf Telegram verkauft

Dhruv Mehrotra

Es war eine weitere arbeitsreiche Woche im Sicherheitsbereich, mit Hacks, Morden, Strafverfolgungen und Ermittlungen des US-Kongresses. Aber zuerst gibt es hier einige Neuigkeiten aus der Sicherheitsabteilung von WIRED.

Obwohl die Strafverfolgungsbehörden in den letzten Jahren hart gegen Ransomware-Angriffe vorgegangen sind, wird 2023 nach 2021 das zweitgrößte Jahr für Ransomware-Einnahmen sein. Daten des Kryptowährungs-Tracing-Unternehmens Chainalysis zeigen, dass Opfer in den ersten sechs Monaten des Jahres 2023 449 Millionen US-Dollar gezahlt haben – fast so viel wie die Gesamtzahlungen im gesamten Jahr 2022. Mit dem Anstieg des Angriffsvolumens sind Ransomware-Gruppen aggressiver und rücksichtsloser in ihren Taktiken geworden.

Anfang dieser Woche gab Microsoft bekannt, dass eine chinesische Hackergruppe auf die cloudbasierten Outlook-E-Mail-Systeme von 25 Organisationen, darunter dem US-Außenministerium, zugegriffen hatte. Sie nutzten einen einzigartigen Trick: Sie nutzten gestohlene kryptografische Schlüssel, um Authentifizierungstoken zu generieren, die ihnen Zugriff auf Dutzende Microsoft-Kundenkonten verschafften.

Ein Mann, der maßgeblich am Aufbau des weltweit ersten Dark-Web-Drogenmarktes beteiligt war, wurde zu 20 Jahren Bundesgefängnis verurteilt. Roger Thomas Clark – auch bekannt als Variety Jones – wird nun wahrscheinlich einen Großteil seines restlichen Lebens im Gefängnis verbringen, weil er Pionierarbeit bei Silk Road geleistet hat, dem anonymen, auf Kryptowährung basierenden Modell für den illegalen Online-Verkauf von Drogen.

Und schließlich untersuchten wir den rasanten Aufstieg von Echtzeit-Kriminalitätszentren seit den Anschlägen vom 11. September 2001. In den USA sind mehr als 100 dieser High-Tech-Überwachungsoperationen entstanden, die Videoüberwachung, Schusssensoren, Gesichtserkennung und Social-Media-Überwachung nutzen, um Städte im Auge zu behalten. Aber zu welchen Kosten?

Das ist nicht alles. Jede Woche fassen wir die Neuigkeiten zu Sicherheit und Datenschutz zusammen, über die wir selbst nicht ausführlich berichtet haben. Klicken Sie auf die Schlagzeilen, um die vollständigen Geschichten zu lesen, und bleiben Sie sicher da draußen.

Ein brisanter Bericht von IPVM, einer Fachzeitschrift der Überwachungsbranche, ergab, dass Material über sexuellen Missbrauch von Kindern, das aus Hunderten gehackten Hikvision-Kameras stammt, über Telegram verkauft wird. In dem Bericht heißt es, dass sich Hacker wahrscheinlich durch die Ausnutzung schwacher oder bekannter Passwörter Zugang zu unsicheren Hikvision-Kameras verschafft haben und dann die mobile App des Unternehmens genutzt haben, um den Zugriff auf die Feeds zu verbreiten.

IPVM hat Nachrichten in Telegram-Kanälen gefunden, die mit Begriffen wie „cp“ (Kinderporno), „Kinderzimmer“, „Familienzimmer“ und „Schlafzimmer eines jungen Mädchens“ für den Zugriff auf die gehackten Kameras werben, um potenzielle Käufer anzulocken. Seitdem hat Telegram die Kanäle, von denen einige Tausende von Mitgliedern hatten, abgeschaltet.

Telegram steht seit langem wegen laxer Inhaltsmoderation in der Kritik. Im Jahr 2021 verklagte eine gemeinnützige Organisation namens Coalition for a Safer Web Apple und forderte das Unternehmen auf, Telegram aus seinem App Store zu entfernen, mit der Begründung, die App habe es versäumt, gewalttätige und extremistische Inhalte zu entfernen.

Hikvisions Antwort war kontrovers. „Hikvision weiß nichts über diese potenziellen Verbrechen“, sagte das Unternehmen in einer Erklärung. „Die egoistische Entscheidung von IPVM, vor der Alarmierung der Behörden eine Stellungnahme von uns einzuholen, ist höchst fragwürdig und in diesem Fall eine Schande.“

Matt Simon

Gregory Barber

Adrienne So

Will Knight

IPVM bestreitet diese Behauptung und sagt, dass es nach der Entdeckung der Verbrechen umgehend Kontakt mit dem FBI aufgenommen habe.

Ein ermordeter russischer U-Boot-Kapitän wurde möglicherweise von seinem Mörder über die Strava-Fitness-App aufgespürt. Laut BBC führte der Kommandant Stanislav Rzhitsky ein öffentliches Strava-Profil, in dem seine Joggingrouten aufgeführt waren – darunter eine, die ihn durch den Park führte, in dem er Anfang dieser Woche getötet wurde.

Datenschutzexperten machen sich seit Jahren Sorgen über die Gefahren, die von Social-Fitness-Apps wie Strava ausgehen. Im Jahr 2018 haben Forscher beispielsweise mehrere geheime US-Militäranlagen aufgedeckt, indem sie öffentliche Daten von Soldaten nutzten, die ihre Fitness mit der App verfolgten.

Während die Beweggründe des Mörders derzeit unklar sind, sagen russische Ermittler, sie hätten im Zusammenhang mit dem Mord einen in der Ukraine geborenen Mann namens Serhiy Denysenko festgenommen. Laut mehreren russischen Telegram-Kanälen war Denysenko der ehemalige Chef des Ukrainischen Karate-Verbandes.

Ukrainische Medien berichteten, dass Rzhitsky ein russisches U-Boot der Kilo-Klasse befehligte, das letztes Jahr möglicherweise einen tödlichen Raketenangriff auf die ukrainische Stadt Winnyzja durchgeführt hat. Laut CNN waren Rhitskys persönliche Daten zuvor auf die ukrainische Website Myrotvorets (Friedensstifter) hochgeladen worden, eine inoffizielle Datenbank mit Personen, die als Feinde der Ukraine gelten.

Der ukrainische Verteidigungsgeheimdienst übernahm keine Verantwortung für den Tod des Kommandanten. „Offensichtlich wurde er von seinen eigenen Männern eliminiert, weil er sich weigerte, weiterhin Kampfbefehle seines Kommandos bezüglich Raketenangriffen auf friedliche ukrainische Städte auszuführen“, schrieb die Agentur in einer Erklärung.

Eine von der US-Senatorin Elizabeth Warren geleitete Untersuchung des Kongresses ergab, dass Millionen von Amerikanern, die ihre Steuern online bei H&R Block, TaxSlayer und TaxAct einreichen, Finanzinformationen mit Google und Facebook geteilt hatten. Die Untersuchung wurde durch einen Bericht von The Markup aus dem Jahr 2022 vorangetrieben, der enthüllte, wie die drei Unternehmen sensible Daten über ein Tool namens Meta Pixel an Facebook übermittelten. Die Daten wurden gesendet, als Steuerzahler ihre Steuern einreichten, und enthielten persönliche Informationen, einschließlich Einkommen und Rückerstattungsbeträge.

Warren und sechs weitere Abgeordnete schrieben diese Woche an das US-Justizministerium und forderten strafrechtliche Anklage gegen die Steuerbehörden wegen Verstoßes gegen Gesetze, die ihnen die Weitergabe persönlicher Daten ihrer Kunden verbieten. „Die Steuerberatungsfirmen gingen erschreckend nachlässig mit den Daten der Steuerzahler um“, schrieben die Gesetzgeber.

Ein Drittel der 80.000 beliebtesten Websites im Internet nutzen das Meta Pixel, wie eine Untersuchung von The Markup aus dem Jahr 2020 ergab. Website-Betreiber nutzen das Pixel, um die Klicks ihrer Anzeigen auf Facebook-Plattformen zu messen, allerdings auf Kosten der Privatsphäre ihrer Nutzer. Krisenschwangerschaftszentren, Suizid-Hotlines und Krankenhäuser wurden in den letzten Jahren dabei erwischt, wie sie vertrauliche Benutzerdaten an Meta übermittelten.

Die sieben Demokraten forderten den US Internal Revenue Service auf, eine eigene kostenlose Steuervorbereitungssoftware zu entwickeln, obwohl auch staatliche Stellen dabei erwischt wurden, wie sie das Pixel nutzten, um Daten an Meta zu senden.

Eine Frau aus Nebraska hat sich einer Strafanzeige schuldig bekannt, nachdem sie ihrer 17-jährigen Tochter letztes Jahr bei einer medikamentösen Abtreibung geholfen hatte; Zu den wichtigsten Beweisen gegen sie gehörten ihre Facebook-Nachrichten. Mitte Juni 2022 sandte die Polizei von Nebraska einen Haftbefehl an Meta und forderte im Rahmen einer Untersuchung einer illegalen Abtreibung private Nachrichten von der Mutter und der Tochter an, wie aus Gerichtsdokumenten hervorgeht. Die Chats scheinen zu zeigen, wie die Mutter ihrer Tochter erklärt, wie sie die Pillen einnimmt. „Ja, die eine Pille stoppt die Hormone und dann musst du 24 Stunden warten, 2 nimm die andere“, heißt es in einer ihrer Nachrichten.

Seit der Oberste Gerichtshof der USA im Juni 2022 Roe v. Wade aufgehoben hat, haben Experten ernsthafte Bedenken hinsichtlich der vielfältigen Möglichkeiten geäußert, mit denen Daten von Strafverfolgungsbehörden missbraucht werden, um Menschen, die Abtreibungen anstreben, strafrechtlich zu verfolgen. Da Facebook Messenger nicht standardmäßig auf eine Ende-zu-Ende-Verschlüsselung (E2EE) setzt, wie dies bei Messaging-Diensten wie Signal, WhatsApp und iMessage der Fall ist, sind Menschen, die die Plattform nutzen, besonders anfällig für strafrechtliche Ermittlungen.

Laut einem aktuellen Bericht von Reuters teilten Staatsanwälte einem Londoner Gericht mit, dass ein Teenager, der mit der Hackergruppe Lapsus$ in Verbindung steht, im September letzten Jahres für hochkarätige Hackerangriffe auf Uber und das Fintech-Unternehmen Revolut verantwortlich sei. Gegen den 18-jährigen Arion Kurtaj werden zwölf Anklagen erhoben, darunter drei Anklagepunkte wegen Erpressung, zwei Anklagepunkte wegen Betrugs und sechs Anklagepunkte nach dem britischen Computer Misuse Act.

Berichten zufolge kostete der Uber-Hack dem Unternehmen 3 Millionen US-Dollar Schadenersatz. Damals sagte Uber, der Hacker, der die Verantwortung übernommen habe, habe auf einer internen Informationsseite pornografisches Material mit der Nachricht gepostet: „Fuck you wichsers.“

Kurtaj wird zusammen mit einem namentlich nicht genannten 17-Jährigen ebenfalls beschuldigt, BT Group, EE und Nvidia erpresst zu haben. Staatsanwälte bezeichneten das Paar als „Schlüsselakteure“ in Lapsus$. Mediziner halten Kurtaj für nicht verhandlungsfähig; Die Jury wird darüber entscheiden, ob er für die Hacking-Vorfälle verantwortlich und nicht schuldig ist.