Angriff auf MGM Resorts

Was ist Angriff auf MGM Resorts?

Der Sicherheitsvorfall bei MGM Resorts im September 2023 begann mit einem Helpdesk-Anruf, der nach Angaben der Angreifer etwa zehn Minuten dauerte. Scattered Spider fand einen Mitarbeiter auf LinkedIn, rief den IT-Helpdesk an, gab sich als er aus und bat um eine MFA-Zurücksetzung. Das war der gesamte Einbruch. Anschließend setzte die Gruppe die Ransomware ALPHV/BlackCat im gesamten Netzwerk ein und legte Reservierungssysteme, digitale Zimmerschlüssel und Spielautomaten lahm. MGM bezifferte die Auswirkungen später auf rund 100 Millionen US-Dollar. Sie durchlaufen jede Phase und testen dann Ihre eigene Helpdesk-Verifizierung: Würde derselbe Anruf auch bei Ihrem Team funktionieren?

Was Sie lernen in Angriff auf MGM Resorts

• Verfolgen Sie die gesamte Angriffskette von der LinkedIn-Erkundung über Vishing bis hin zum Ransomware-Einsatz, wie sie beim MGM-Sicherheitsvorfall abgelaufen ist
• Ermitteln Sie, wie Angreifer öffentlich verfügbare Mitarbeiterinformationen in sozialen Medien nutzen, um überzeugende Vorwände für Helpdesk-Anrufe zu schaffen
• Bewerten Sie die Schwächen der wissensbasierten Identitätsüberprüfung, wenn persönliche Daten online verfügbar sind
• Entwerfen Sie Multi-Faktor-Identitätsüberprüfungsverfahren für Helpdesk- und Passwort-Reset-Anfragen, die Social Engineering widerstehen
• Bewerten Sie die Anfälligkeit Ihres eigenen Unternehmens gegenüber Helpdesk-gezielten Vishing-Angriffen, indem Sie aktuelle Verfahren mit den in diesem Fall ausgenutzten Lücken vergleichen

Angriff auf MGM Resorts — Trainingsschritte

1. Einleitung: Ein arbeitsreicher Montag beim MGM IT Support

   Es ist Montag, der 11. September 2023, und Sie haben gerade Ihre Schicht begonnen. Der Morgen war hektisch – die üblichen Passwort-Zurücksetzungen, VPN-Probleme und Zugriffsanfragen, die mit dem Beginn einer neuen Woche einhergehen. Heute fühlt es sich an wie jeder andere Montag, und in Ihrer Ticketwarteschlange werden bereits 15 offene Anfragen angezeigt. Sie sind seit zwei Jahren bei MGM und sind stolz auf Ihren Kundenservice – es ist Ihre oberste Priorität, Ihren Mitarbeitern zu helfen, schnell wieder an den Arbeitsplatz zu kommen.

2. Ticketwarteschlange prüfen

   Ihre Ticketwarteschlange ist heute Morgen voll – 15 offene Anfragen warten auf Ihre Aufmerksamkeit. Die meisten davon sind routinemäßig: Passwort-Resets, VPN-Verbindungsprobleme und Zugriffsanfragen. Sie müssen sich beim Support-Portal anmelden, um mit der Bearbeitung zu beginnen. Sie haben diese Anfragen den ganzen Morgen effizient bearbeitet. Ihre Leistungskennzahlen belohnen schnelle Lösungszeiten und Sie sind stolz darauf, Ihren Mitarbeitern zu helfen, so schnell wie möglich wieder an die Arbeit zu gehen.

3. Ein eingehender Anruf

   Um 10:23 Uhr klingelt Ihr Tischtelefon. Die Anrufer-ID zeigt an, dass es sich um eine interne Durchwahl handelt – 4429. Das ist völlig normal; Mitarbeiter rufen oft direkt den Helpdesk an, wenn sie selbst nicht auf das Ticketsystem zugreifen können. Sie sind dabei, einen scheinbar routinemäßigen Supportanruf zu beantworten. Der Anrufer wird gestresst, aber professionell klingen – genau wie Dutzende anderer Mitarbeiter, denen Sie jede Woche helfen.

4. Das Telefonat beginnt

   Sie antworten professionell und hören am anderen Ende die Stimme eines jungen Mannes. Er klingt aufrichtig gestresst, aber höflich. Sein Englisch ist perfekt – klarer amerikanischer Akzent, kein Zögern, er verwendet die gleiche interne Terminologie, die Ihre regelmäßigen Anrufer verwenden. Er stellt sich als Bob Richardson vom Bellagio-Betriebsteam vor und erklärt, dass er von seinen Konten ausgeschlossen ist und in 20 Minuten ein wichtiges VP-Meeting hat. Als Sie nach seiner Mitarbeiter-ID fragen, gibt er zu, dass er sie nicht auswendig weiß und seinen Ausweis in seinem Auto gelassen hat, und fragt, ob Sie stattdessen seinen Namen nachschlagen könnten. Dies ist eine häufige Anfrage. Viele Mitarbeiter kennen ihre Mitarbeiter-ID nicht auswendig und vergessen ihren Ausweis. Nichts an diesem Anruf löst sofort Warnsignale aus.

5. Nachschlagen der Mitarbeiterakte

   Gemäß dem Standardprotokoll müssen Sie Bobs Identität überprüfen, indem Sie im System nach seinem Mitarbeiterdatensatz suchen. Er gab seinen vollständigen Namen an: Robert Richardson, und sagte, er arbeite im Gästeservice des Bellagio. Sie durchsuchen die Mitarbeiterdatenbank, um zu bestätigen, dass er ein rechtmäßiger MGM-Mitarbeiter ist, bevor Sie mit Kontoänderungen fortfahren. Dies ist ein routinemäßiger Sicherheitsschritt, den Sie Dutzende Male am Tag durchführen.

6. Überprüfung von Bobs Identität

   Das System zeigt Robert Richardson, Mitarbeiter-ID MG-47832, der im Mai 2020 als Guest Services Manager im Bellagio eingestellt wurde. Alles stimmt überein. Jetzt gehen Sie die Standard-Sicherheitsfragen durch, während Bob erklärt, warum seine MFA nicht mehr funktioniert. Er beantwortet alles ohne Zögern und klingt frustriert, aber professionell – ein Fall, wie Sie ihn schon viele Male gelöst haben.

7. Gegenprüfung der Informationen

   Sie vergleichen Bobs Informationen mit denen, die im Mitarbeiterportal angezeigt werden. Geburtsdatum, Sozialversicherungsnummer, Name des Vorgesetzten und Abteilung stimmen perfekt überein. Alles, was Bob Ihnen gesagt hat, ist korrekt. Er kennt interne Projekte, verweist auf echte Menschen und seine Frustration klingt echt. Er liefert die richtigen Informationen, ohne dass Sie zweimal nachfragen müssen. Es gibt keine offensichtlichen Warnsignale, die Sie misstrauisch machen würden. Hier handelt es sich offenbar um einen legitimen Mitarbeiter, der vor einer wichtigen Besprechung Hilfe bei der Rückkehr an die Arbeit benötigt.

8. Die MFA-Reset-Anfrage

   Sie gehen mit Bob die üblichen Wiederherstellungsoptionen durch, und für jede außer einem direkten MFA-Reset hat er einen Grund, warum sie bei ihm nicht funktioniert. Dazu sind Sie befugt. Sie haben diese Art von Reset schon hunderte Male durchgeführt. Das System zeigt anhand verifizierter Informationen, dass es sich um einen legitimen Mitarbeiter handelt. Ihre Leistungskennzahlen belohnen schnelle Lösungszeiten, und Bob hat eindeutig ein berechtigtes geschäftliches Anliegen.

9. Die Entscheidung treffen

   Sie haben Ihre Entscheidung getroffen. Bob hat gezeigt, dass er ein echter Mitarbeiter ist, indem er genaue persönliche Daten angegeben und eine vernünftige Erklärung abgegeben hat. Sie haben genau diese Art von MFA-Reset schon hunderte Male ohne Zwischenfälle durchgeführt. Bob klingt gestresst wegen einer berechtigten geschäftlichen Notwendigkeit – einem bevorstehenden VP-Meeting in nur wenigen Minuten. Sie sind hier, um Ihren Mitarbeitern zu helfen, schnell wieder an die Arbeit zu kommen. Es gibt keinen Grund, diese Anfrage abzulehnen oder an Ihren Vorgesetzten weiterzuleiten. Alles passt zusammen, und Bob wartet in der Leitung und ist bereit, seine Authentifizierungs-App sofort erneut zu registrieren.

10. Auf die Kontoeinstellungen zugreifen

    Sie rufen im Portal Bobs Mitarbeiterprofil auf. Die Seite zeigt seine grundlegenden Daten, seinen Beschäftigungsverlauf und seinen aktuellen Status. Um die MFA-Zurücksetzung durchzuführen, müssen Sie zuerst auf seine Kontoeinstellungen zugreifen. Sein Profil bestätigt die von ihm angegebenen Informationen: Guest Services Manager im Bellagio, eingestellt im Mai 2020. Alles stimmt mit dem überein, was Bob Ihnen am Telefon gesagt hat.