Sotheby’s ist bekannt für die Versteigerung hochkarätiger Kunst- und Luxusgegenstände – 2024 wurden insgesamt sechs Milliarden Euro bei Auktionen des Hauses ausgegeben. Nun machte es einen Cyberangriff publik, der sich bereits im Juli diesen Jahres ereignete. Dabei wurden laut dem Auktionshaus Namen, Sozialversicherungsnummern und Bankverbindungen entwendet. Einem Medienbericht zufolge handelt es sich dabei um Daten von Beschäftigten von Sotheby’s.

Den Vorfall machte das Auktionshaus jetzt in einer Mitteilung an Maines Generalstaatsanwalt publik, was die örtlichen Gesetze in solchen Fällen vorsehen. Demnach sind zwei Einwohner des US-Bundesstaates Maine sowie, wörtlich, „rund zwei“ Einwohner des Bundesstaates Rhode Island. Die genaue Anzahl von Betroffenen dürfte zu diesem Zeitpunkt noch unklar sein. Dem Tech-Portal Bleepingcomputer bestätigte Sotheby’s, dass es sich dabei ausschließlich um Beschäftigte des Unternehmens handelt (Stand: 18. Oktober, 17:55 Uhr).

Zwei Monate später entdeckt

Passiert ist der Cyberangriff demnach am 24. Juli. Entdeckt wurde er jedoch erst am 24. September. Daraufhin habe Sotheby’s die betroffenen Daten ausführlich untersucht, um zu klären, welche Daten genau von den Kriminellen erbeutet wurden und auf welche Personen sich die Daten beziehen. Sotheby’s bietet den Personen, deren Kreditkarteninformationen erbeutet wurden an, die Kosten für 12-monatiges Monitoring ihrer Kredit- und Identitätsdaten bei einer Wirtschaftsauskunftei zu übernehmen. Die Akteure hinter dem Angriff sind zum jetzigen Zeitpunkt noch unbekannt.

Auch beim Auktionshaus Christie’s wurden vor Kurzem Daten durch die Ransomware-Gruppe RansomHub abgegriffen. Die Kriminellen wollten Christie’s zu einer Zahlung bewegen, das Auktionshaus weigerte sich jedoch. RansomHub informierte später auf einer eigenen Website, dass die Daten bei einer Auktion von einem anonymen Käufer für eine nicht genannte Summe ersteigert worden seien.

(nen)

US-Präsident Donald Trump hat Zollvergünstigungen bei in den USA produzierten Autos mit importierten Bauteilen bis zum Jahr 2030 verlängert. Hersteller können dabei bis zu 3,75 Prozent vom Verkaufspreis ihrer Fahrzeuge erstattet bekommen. Die Maßnahme sollte ursprünglich 2027 auslaufen – und der Erstattungs-Anteil vom zweiten Jahr an auf 2,5 Prozent sinken.

Trump hatte die Zölle von 25 Prozent auf importierte Autos und Bauteile im Frühjahr verhängt. Der Präsident verkündete nun auch Zölle auf Importe von Lastwagen und Bussen in die USA. Bei Lastwagen und Bauteilen dafür liegt der Zoll bei 25 Prozent. Wie bei den Autos können Hersteller bis 2030 für in den USA gebaute Fahrzeuge 3,75 Prozent vom Verkaufspreis zurückbekommen. Trump verwies darauf, dass rund 43 Prozent der in den USA verkauften Lastwagen importiert seien. Bei Bussen wurde der Zoll auf zehn Prozent festgelegt.

Mit der Verlängerung der Vergünstigungen geht Trump auf Sorgen von US-Herstellern wie Ford und General Motors ein. Sie sahen vor allem in der Handelsvereinbarung mit Japan, die einen Zoll von 15 Prozent auf dort gebaute Fahrzeuge festlegte, einen problematischen Deal für die amerikanische Industrie. Denn bei in den USA montierten Fahrzeugen liegt der Anteil importierter Bauteile, auf die jedoch Zölle von 25 Prozent fällig werden können, bei 40 bis 50 Prozent.

(nie)

Noch bis zum 1. Dezember 2025 können ambitionierte Hacker im Rahmen des erstmalig stattfindenden Wettbewerbs Zeroday Cloud (Eigenschreibweise: zeroday.cloud) ihren Exploit-Code einreichen.

Erfolgreichen Teilnehmern winken Preisgelder in Höhe von insgesamt rund 4,5 Millionen US-Dollar, verteilt auf mehr als 20 weitverbreitete Anwendungen, die auf verschiedene Arten eng mit Cloud-Technologien in Verbindung stehen. Dazu zählen etwa das Nvidia Container Toolkit, Kubernetes, Grafana, Docker, Apache Tomcat, PostgreSQL, Jenkins, Gitlab CE und der Linux-Kernel.

Wichtigste Bedingung des vom Cloudsicherheits-Unternehmen Wiz in Zusammenarbeit mit AWS (Amazon Web Services), Google und Microsoft veranstalteten Contests: Es muss sich um einen Zero-Day-Exploit, also einen Angriff auf eine neu entdeckte, bislang unbekannte Lücke handeln. Ferner muss der Angriff letztlich zur vollständigen Kompromittierung des verwundbaren Systems führen („0-click unauthenticated Remote Code Execution“).

Details und Fallstricke bei der Anmeldung

Die gesamte Liste möglicher Angriffsziele nebst Preisgeldern können Interessierte der Website des Zeroday Cloud-Wettbewerbs entnehmen. Dort findet man auch die genauen Teilnahmebedingungen, Anmeldeformulare und weitere Informationen. Vorkonfigurierte Zielsysteme zum Einbinden in Docker haben die Veranstalter in einem eigenen GitHub-Repository hinterlegt.

Teilnehmer, deren Beitrag von der Jury akzeptiert wird, haben die Gelegenheit, ihren Exploit im Rahmen der im Dezember in London stattfindenden Konferenz Black Hat Europe live zu demonstrieren. Gelingt dort der Angriff, haben sie gewonnen. Der betreffende Exploit wird anschließend im Zuge eines Responsible-Disclosure-Verfahrens an den betreffenden Hersteller übermittelt, um diesem ausreichend Zeit zum Schließen der Lücke zu geben.

Wichtig bei der Anmeldung: Laut Veranstalter müssen sich einzeln oder auch als Team Teilnehmende bereits bis zum 20. November auf der Bug-Bounty-Plattform HackerOne registrieren, den vorgeschriebenen Identitätsnachweis erbracht und bestimmte Steuer- und sonstige Angaben übermittelt haben. Die Frist bis zum 1. Dezember bezieht sich also missverständlicherweise nur auf den Exploit selbst.

Den Schwarzmarkt überbieten

Mit einem Wettbewerb, der sich speziell auf die Cloud fokussiert, füllt Wiz eine wichtige Lücke. Denn als Speicherort riesiger Mengen von Unternehmensdaten rückt diese immer stärker ins Visier von Cybergangstern. So zapfen etwa einige Ransomware-Gangs mittlerweile gezielt Cloudspeicher an, um möglichst effizient an Informationen zu gelangen, die sich für eine Erpressung eignen. Andere verschlüsseln Daten gleich an Ort und Stelle. Oder sie zerstören Cloud-Backups, um ihre Chance auf ein Lösegeld zu erhöhen.

Exploit-Code, der rechtzeitig in die richtigen Hände gelangt, hilft Unternehmen dabei, Angreifern einen Schritt voraus zu sein. Hohe Geldbeträge als Preis eines Wettbewerbs stellen in diesem Zusammenhang viel mehr als nur eine nette Belohnung für wohlmeinende, hilfsbereite Sicherheitsforscher dar. Mit ihnen lassen sich vielmehr auch Teilnehmer anlocken, die ihre Zero-Day-Exploits sonst womöglich in Untergrundforen feilbieten und dort letztlich an Kriminelle verkaufen würden, die schon für den nächsten Angriff in den Startlöchern stehen.

Dass es darauf ankommt, die Preise des Schwarzmarkts zu überbieten, erkennen immer mehr Unternehmen. Zuletzt baute etwa Apple sein Bug-Bounty-Programm massiv aus: Die bisherigen Zahlungen wurden verdoppelt bis vervierfacht. So bot das Unternehmen bislang für einen Zero-Click-Angriff aus der Ferne, der keine Nutzerinteraktion verlangt und die Geräteübernahme ermöglicht, bis zu einer Million Dollar. Nun sind es zwei Millionen.

(ovw)