Japan mahnt Firmen nach Datenlecks: Grundlegender Schutz fehlt
Japans Nationales Cyberamt warnt nach mehreren Datenlecks vor mangelhaften Basismaßnahmen und vermutet, dass Angreifer KI für die Suche nach Schwachstellen nutzen.
SUMO· das Zahlenrätsel
Dialo· Sprachen lernen durch Sprechen
ediviewer· EDI-Dateien wie Dokumente lesen
giftdetect· das passende Geschenk in MinutenDas Nationale Cyberamt im japanischen Kabinettssekretariat hat am 5. November eine Warnung für Betreiber von Websites und Mobile-Apps veröffentlicht. Anlass ist eine Serie von Lecks personenbezogener Daten im Land. Das Amt erklärte, es habe mehrere Fälle festgestellt, in denen offenbar unzureichende Basismaßnahmen die Ursache waren, und forderte Unternehmen auf, ihre Sicherheit konsequent umzusetzen.
Nach Einschätzung des Amtes durchsuchen Angreifer das Internet in großem Umfang nach angreifbaren Systemen und entwenden dort personenbezogene Daten. Bei der Suche und beim Eindringen wird sehr wahrscheinlich KI eingesetzt. Mehrere Probleme, die klassische Schwachstellenscans als eher unkritisch einstuften, lassen sich kombinieren und ermöglichen so den Zugang. Zudem lassen sich Angriffe leichter skalieren, wodurch viele Unternehmen ins Visier geraten.
Auch auf Betreiberseite sieht das Amt Mängel: zu wenig Sicherheit bei der App-Entwicklung, Fehlkonfigurationen bei Websites sowie den fortgesetzten Einsatz von Software ohne Support oder mit bekannten, nicht behobenen Schwachstellen.
Drei Handlungsfelder
Erstens der Betrieb: Unternehmen sollen Softwarekomponenten und Schwachstellen erfassen sowie Prioritäten und Fristen für Korrekturen festlegen. Das Amt nennt Admin-Oberflächen, die im Internet erreichbar waren und über leicht zu erratende Passwörter oder Brute-Force-Angriffe kompromittiert wurden. Nicht benötigte Oberflächen und Funktionen sollen nicht öffentlich sein. Empfohlen werden außerdem fortlaufende Schwachstellentests, auch mit KI, und die Auswertung von Logs zur Erkennung auffälligen Verhaltens.
Zweitens Entwurf und Entwicklung: Das Amt fordert „Security by Design“ von Projektbeginn an. Es hat beobachtet, dass Angreifer veröffentlichte Apps analysieren und über APIs unrechtmäßig Daten abrufen. Gefordert sind daher Zugriffsbeschränkungen und ein sorgfältiger Umgang mit Zugangsdaten. Systeme mit personenbezogenen Daten sollten vor dem Start auf Schwachstellen geprüft werden.
Drittens die Lieferkette: Angreifer nutzen Umgebungen von Auftragnehmern und Wartungsdienstleistern als Sprungbrett zu den Auftraggebern. Unternehmen sollen Zugangswege wie VPN und Remote Desktop erfassen und Multi-Faktor-Authentifizierung einführen. Für Open-Source-Software und externe Bibliotheken soll vorab geregelt sein, wie bei schwerwiegenden Lücken zu reagieren ist.
Bereits am 9. Oktober hatte das Amt zu schnellem Patchen und Multi-Faktor-Authentifizierung aufgerufen. Die neue Warnung weitet die Empfehlungen auf Betrieb und Entwicklung von Websites und Apps aus.
Apps, die sich lohnen
SUMO: das ZahlenrätselTippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.
Dialo: Sprachen lernen durch SprechenSprich mit einem KI-Gesprächspartner; jeder Satz kommt korrigiert und in deiner Sprache erklärt zurück. 9 Sprachen, A1 bis C2.
ediviewer: EDI-Dateien wie Dokumente lesenEDIFACT- und X12-Nachrichten öffnen, jedes Segment verständlich erklärt, in JSON/XML umwandeln, als PDF und Excel exportieren. Läuft lokal, kein Upload.
giftdetect: das passende Geschenk in MinutenWähle, für wen es ist, den Anlass und die Persönlichkeit. Die Suchmaschine liest Produktbeschreibungen lokaler Shops und sortiert, was passt. Kostenlos, ohne Anmeldung.
Mehr von diesem Tag
Alle anzeigen →
Citus zeigt Ortung von Feuerwehrleuten ohne GPS, Militär im Blick
Google Cloud erweitert CodeMender und Schutz für KI-Agenten
Operation Ghostbusters: 830.840 mutmaßliche Geisterstudenten
