Hackerwelle in Südkorea: Warum menschenzentrierte Cybersicherheit scheitert

In Südkoreas Finanzbranche reißen die Sicherheitsvorfälle nicht ab: Banken, Sparkassen, Kapitalgesellschaften, Wertpapierhäuser und eine Kryptobörse wurden in diesem Herbst angegriffen. Die Finanzaufsicht zählte bis Mitte Oktober 16 betroffene Unternehmen. Ein Jahr zuvor waren bei einem Kartenunternehmen Daten von rund 3 Millionen Menschen abgeflossen. Die meisten Opfer hatten Sicherheitszertifikate, setzten Schutzsysteme ein und wurden regelmäßig geprüft.

Eine aktuelle Sicherheitskolumne argumentiert, dass das Modell, bei dem Menschen Angriffe von Hand abwehren, an seine Grenze stößt. Die Aufsicht fand bei mehreren Instituten Spuren desselben Angreifers, der KI-Werkzeuge für massenhafte, automatisierte Attacken nutzte. Laut der Analyse einer ausländischen Sicherheitsfirma handelt es sich um eine Einzelperson, die einige Server mit KI kombiniert und die KI sogar fragte, wo sich gestohlene Finanzdaten verkaufen lassen. Die Identität ist ungeklärt, die Ermittlungen laufen.

Das Tempo entscheidet

Die Kolumne verweist auf die Geschwindigkeit der Schwachstellensuche. Das KI-Modell hinter dem „Mythos-Schock“ vom Frühjahr soll binnen eines Monats mehr als 10.000 kritische Schwachstellen gefunden haben; KI entdeckte auch einen zehn Jahre alten Fehler in PHP, das rund drei Viertel der Websites nutzen. Angriffe begannen vier Tage vor dem Patch. Ein globaler Report nennt als durchschnittliche Zeit bis zur Ausnutzung „minus 7 Tage“.

Das im Vorjahr betroffene Kartenunternehmen betrieb über 500 Sicherheitssysteme und war zertifiziert, doch eine ungenutzte Dienst-Engine fiel beim Patchen durch das Raster; der Angreifer zog über lange Zeit Daten ab. Patchen allein genüge nicht, schreibt der Autor. Sinken die technischen Lücken, wichen Angreifer auf Menschen und Strukturen aus: Abfragedienste ohne Identitätsprüfung, gemeinsam genutzte Partnerserver, gestohlene Konten, Voice-Phishing.

Den Vertrauensraum verteidigen

Seine Antwort lautet Zero Trust mit Sichtbarkeit in jenem Bereich, in dem ein Angreifer nach Überwindung der Prävention als normaler Nutzer gilt. Große Banken brauchten zwischen 15 und 68 Stunden, um den Einbruch zu bemerken. Jede Anfrage wirkte legitim, der Gesamtablauf war es nicht. Ein erfolgreich eingedrungener Verbund könne den Zugang binnen 22 Sekunden weitergeben, Angreifer blieben oft fast zwei Wochen unentdeckt.

Vorgeschlagen wird eine Abwehr-KI, die den Normalzustand im Netz kennt und Verbindungen kappt, Rechte entzieht und Systeme isoliert, während Menschen Grundsätze setzen und Verantwortung tragen. Führungskräfte sollten Sicherheit an der Zeit bis zur Erkennung messen, nicht an Zertifikaten; Regulierer an der Reaktionsgeschwindigkeit. Die Banken hätten trotz der Vorfälle sogar ihre Ausgaben für Informationssicherheit gesenkt.