Groß angelegte Domain-Cyberattacke auf US Steuerbehörde IRS
Das Computersystem der US-Steuerbehörde IRS wurde von Unbekannten gehackt. Der Angriff begann im Februar und dauerte bis Mitte Mai an. Während dieses Zeitraums konnten Cyberkriminelle die Daten von knapp 100.000 US Steuerzahlern kopieren. Im Fokus der Domainhacker waren allerdings weitaus mehr Datensätze, denn die Kriminellen hatten versucht, sich den Zugang zu etwa 200.000 Datensätzen zu verschaffen, was nicht vollständig gelang.
Domainhacking mit Zugangsdaten
Die US-Behörde IRS hat mitgeteilt, dass der Angriff auf die Domainserver von außen erfolgte. Die Hacker hätten sich Zugangsdaten zum internen Computersystem beschafft und konnten auch die schwierigen Domainauthentifizierungen mit persönlichen Abfragen der Steuerzahlen durchstehen. Dazu hatten die Kriminellen wahrscheinlich im Vorfeld eine große Menge an persönlichen Daten über die betroffenen Personen gesammelt, um sich dann unproblematisch mit den gestohlenen Log-in-Daten zu identifizieren und in das System einzudringen.
Mit einer „Beute“ von 100.000 Datensätzen, bestehend aus Sozialversicherungsnummern, Kontendaten und persönlichen Daten beendeten die Domain-Kriminellen die Attacke. Zusätzlich konnten die Cyberhacker in das interne Get Transcript-System eindringen. Dieses System ermöglicht eingeloggten Steuerzahlern die Einsicht in alle Vorgänge der Steuerbehörde, die ihre Person betreffen. Da dieses System vom IRS Domain-Server abgekoppelt ist, konnten die Hacker keine Steuerforderungen auf andere Konten umleiten oder die Daten zu Transaktionen verwenden.
Nach Entdecken der Cyberattacke wurde das Get Transcript-System vorsorglich offline gefahren und für User geschlossen. Die IRS wird jetzt zeitnah die betroffenen Steuerzahler über den Datendiebstahl informieren und ihnen eine kostenfreie Sicherheitsüberprüfung ihrer Computer anbieten. Zeitgleich werden die Sicherheitseinrichtungen aller IRS Server erneut überprüft und gegebenenfalls angepasst. Die Staatsanwaltschaft hat bereits Strafanzeige gegen unbekannt gestellt.