Cyberangriff auf rumänisches Grundbuch: Angreifer löscht Datenbank nach gescheiterter Erpressung

Ziel des Angriffs war Rumäniens Nationale Agentur für Grundkataster und Immobilienverlautbarung ANCPI. Der Cyberangriff soll auch die E-Mail-Systeme der ANCPI sowie von Notaren, Rechtsanwälten, Katasterfachleuten und ANCPI-Mitarbeitern genutzte Onlinedienste lahmgelegt haben. Die rumänische Behörde soll dadurch aktuell nicht in der Lage sein, Immobilientransaktionen zu bearbeiten oder Bürgern Eigentumsnachweise oder Grundbuchauszüge auszustellen.

Reaktion der ANCPI

Die ANCPI erklärte in einer Pressemitteilung: „Die IT-Infrastruktur der ANCPI befindet sich derzeit in einem umfassenden Prozess der Neuinstallation und Konsolidierung." Außerdem betonte die Behörde: „Entgegen einigen in der Öffentlichkeit verbreiteten Informationen verfüge die ANCPI über mehrere Sicherheitskopien (Backups) seiner Systeme, so die Behörde weiter, ‚eine Maßnahme, die Redundanz gewährleistet und die Wiederherstellung der Daten im Falle von Cybersicherheitsvorfällen ermöglicht‘."

Laut der Erklärung der Behörde gilt: „Die technischen Teams der Behörde führen gemeinsam mit Spezialisten für Cybersicherheit Maßnahmen zur Wiederherstellung, Überprüfung und Stärkung der Schutzmaßnahmen durch, damit die Dienste unter Bedingungen maximaler Sicherheit wieder aufgenommen werden können." Es gibt wohl noch ein verfügbares Backup, doch die Wiederherstellung braucht Zeit. Wann die Systeme der Behörde wieder vollständig verfügbar sein werden, ist aber wohl noch nicht absehbar.

Die Website der ANCPI ist inzwischen wieder erreichbar. Auf dieser weist die Behörde auf die laufende Wiederherstellung ihrer Systeme sowie die Migration ihrer Anwendungen in eine Regierungscloud hin. Bereits zuvor hatte die rumänische Grundbuchbehörde zunächst von technischen Problemen gesprochen, ehe sie den Cyberangriff öffentlich einräumte.

Bekannte Sicherheitslücken ausgenutzt

Berichten zufolge sollen bei dem Angriff auch bekannte Sicherheitslücken ausgenutzt worden sein, vor denen Behörden kurz zuvor gewarnt hatten. Laut Recorded Future News sollen bei dem Angriff auch bekannte Sicherheitslücken ausgenutzt worden sein. Diese Warnungen waren zuvor nicht oder nur unzureichend in Schutzmaßnahmen umgesetzt worden, was die spätere Kompromittierung erleichtert haben soll.

Hintergrund zum Angreifer

Der ByteToBreach genannte Angreifer soll in Algerien ansässig sein. Das IT-Sicherheitsunternehmen KELA geht davon aus, dass es sich bei „ByteToBreach" um Zakaria Mahdjoub aus Oran handelt. Fachleute beschreiben ihn als „technisch versierten Cyberkriminellen, der sensible globale Daten von Fluggesellschaften, Banken und Regierungen verkauft". Bereits zu Jahresbeginn soll ByteToBreach das schwedische E-Government-Portal und möglicherweise weitere staatliche Register in Osteuropa kompromittiert haben, darunter in der Slowakei, der Ukraine, Polen und Litauen.

Daten zum Verkauf angeboten

Nach dem Angriff versucht der Angreifer offenbar, die erbeuteten Daten in einem Hackerforum zu verkaufen. Berichten zufolge versucht er wohl seit einigen Tagen, abgegriffene Daten der ANCPI in einem Hackerforum zu verkaufen, darunter Zugangsdaten von Mitarbeitern, interne Dokumente und Quellcodes sowie Details über das IT-Netzwerk der Behörde. In dunklen Netzforen prahlt er zudem damit, die Backup-Kopien manipuliert zu haben, um eine Wiederherstellung zu verhindern. Einen Tag nach dem Bekanntwerden des Vorfalls wurden Teile dieser Daten – darunter Mitarbeiter-Zugangsdaten, interne Dokumente und Details zur IT-Infrastruktur – in einem einschlägigen Forum zum Verkauf angeboten.

Die Cybernews-Redaktion berichtete zudem, dass der Täter im Darknet mit der Manipulation von Backups angegeben habe. Erste Berichte über den Vorfall veröffentlichte am Montag das Online-Portal Risky Business unter Verweis auf rumänische Quellen.

Auswirkungen auf den Immobilienmarkt

Die Auswirkungen auf den rumänischen Immobilienmarkt sind erheblich: Notare können derzeit keine neuen Transaktionen beurkunden, und Bürgerinnen und Bürger können weder Eigentumsnachweise noch detaillierte Grundbuchauszüge abrufen. Damit ist der gesamte Immobilienverkehr des Landes faktisch blockiert, bis die Systeme der ANCPI wieder vollständig funktionieren.