Ein Überblick über den MGM Cyberangriff

Wenn Sie jemals in einem Las Vegas Casino waren, dann wissen Sie, dass sie buchstäblich Geldmaschinen sind, da die Leute kontinuierlich Geld auf eine Vielzahl von Spielen setzen. Moderne Casinos sind ein Paradebeispiel für digital transformierte Unternehmen, mit Kunden, die über mehrere digitale Kanäle interagieren, von Spielsystemen bis hin zu mobilen Apps und Treueprogrammen. Der Cyberangriff auf das Las Vegas MGM hat deutlich gezeigt, wie ein digitaler Ausfall schnell zu erheblichen Konsequenzen für ein Unternehmen in Bezug auf Einkommen, Kundenzufriedenheit und öffentliches Image führen kann.

Am 11. September 2023 gab MGM Resorts eine Erklärung zu X ab, dass ein „Cybersicherheitsvorfall“ einige ihrer Systeme beeinträchtigte. Der Vorfall würde zu einem Verlust von 100 Millionen Dollar für das dritte Quartal 2023 führen. Der Angriff wurde von zwei getrennten Organisationen namens Scattered Spider und ALPHV durchgeführt. Angesichts der erheblichen Störungen ihrer Abläufe und des Potenzials für weiteren Schaden musste das Unternehmen schwierige Entscheidungen treffen, einschließlich der Frage, ob es Millionen an Lösegeld an die Angreifer zahlen sollte, wie es sein Rivale Caesars Entertainment tat.

Erstentdeckung und Reaktion

Es dauert nicht lange zu erkennen, dass man sich mitten in einem Ransomware-Angriff befindet. Es wird angenommen, dass die Angreifer das Netzwerk erstmals am 8. September durchbrochen haben. Am folgenden Tag stellten die Sicherheitsteams von MGM ungewöhnliche Aktivitäten und Datenverkehr in den Systemen des Unternehmens fest. Der Angriff eskalierte schnell in den nächsten Tagen, als der Betrieb öffentlich gestört wurde.

MGM Resorts did take swift action which included shutting down certain systems to protect their data and infrastructure, which added further disruptions. Recognizing the severity of the situation, MGM quickly brought in third party agencies and leading cybersecurity experts to assist in containing and mitigating the attack. They also engaged law enforcement, launching an immediate investigation into the breach.

Wie der MGM Cyberangriff sich entfaltete

Sozialtechniken, die von Hackern verwendet werden

Um Zugang zum MGM-Netzwerk zu erhalten, startete Scattered Spider einen vishing Social-Engineering-Angriff, der ungefähr so ablief:

1. Mitglieder von Scattered Spider recherchierten auf LinkedIn nach MGM-Mitarbeitern, um Informationen über deren Rollen und Identitäten zu sammeln.
2. Mit den gesammelten Informationen wählten die Angreifer einen MGM-Mitarbeiter aus, den sie imitieren wollten.
3. Die Hacker kontaktierten den IT-Helpdesk von MGM, gaben sich als der Mitarbeiter aus und überzeugten den Helpdesk erfolgreich, ihnen Login-Daten zu geben.
4. Mit den erhaltenen Anmeldeinformationen erlangte Scattered Spider Administratorrechte für die Okta- und Azure-Tenant-Umgebungen von MGM.
5. Die Angreifer nutzten ihren hochrangigen Zugang, um sich seitlich innerhalb der MGM-Systeme zu bewegen.

Zu dieser Zeit holte Scattered Spider ALPHV ins Boot, um ihre Ransomware-as-a-Service (RaaS)-Software zu implementieren. Sie verschlüsselten ungefähr 100 ESXi-Hypervisoren innerhalb des MGM-Netzwerks. Diese Server beherbergten Tausende von virtuellen Maschinen, die kritische Systeme im Gastgewerbe unterstützten, wie Spielautomaten, Online-Reservierungssysteme, digitale Zimmerschlüssel und Websites. ALPHV behauptet auch, während dieser Zeit 6 TB an Kundeninformationen exfiltriert zu haben, woraufhin sie Verhandlungen mit MGM aufnahmen, um die öffentliche Freigabe der gestohlenen Daten zu verhindern. ALPHV drohte ebenfalls, die exfiltrierten Informationen offenzulegen, falls keine Einigung erzielt werden könnte.

Auswirkungen auf MGM-Systeme und -Betrieb

Die Auswirkungen des Cyberangriffs auf MGM Resorts waren sofort mit weitreichenden Störungen in ihrer gesamten Organisation erkennbar:

• Glücksspielbetriebe wurden gestört, als Spielautomaten offline gingen und Fehlermeldungen anzeigten
• Hotelgäste beschwerten sich, dass ihre digitalen Zimmerschlüssel nicht mehr funktionierten.
• Online-Reservierungs- und Buchungssysteme wurden heruntergefahren
• Mobile Dienste wurden unterbrochen, als die MGM-App vollständig unzugänglich wurde.
• E-Mail-Systeme waren betroffen
• Restaurantreservierungen wurden gestört

Zeitstrahl der Ereignisse und Dauer des Angriffs

Die Gesamtdauer des Angriffs betrug ungefähr 10 Tage. Der Zeitplan des Angriffs war wie folgt:

• 7. September 2023: Scattered Spider startet einen Social-Engineering-Angriff gegen den IT-Support-Anbieter von Caesar’s Entertainment.
• 10. September 2023: MGM Resorts beginnt Systemausfälle zu erleben.
• 11. September 2023: MGM gibt den Vorfall öffentlich bekannt und leitet eine Untersuchung ein, nachdem die Strafverfolgungsbehörden kontaktiert wurden
• 12.-13. September 2023: Kunden berichten über verschiedene Probleme, die ihr Erlebnis beeinträchtigen.
• 14. September 2023: Scattered Spider behauptet, 6 Terabyte Daten von MGM Resorts gestohlen zu haben, und MGM beginnt mit der Wiederherstellung ihrer Systeme.
• 20. September 2023: MGM bestätigt die vollständige Wiederherstellung des Dienstes für alle seine Systeme.

Der finanzielle und rufschädigende Schaden

Geschätzte finanzielle Verluste durch den MGM Cyber-Angriff

Die Kosten eines Ransomware-Angriffs können sich als sehr hoch erweisen. Zu den beteiligten Kosten gehören Ausgaben für die Schadensminderung, Produktivitätsverluste, potenzielle Rechtsstreitigkeiten, Geschäftsunterbrechungen und die mögliche Lösegeldzahlung selbst. Anders als Caesars Entertainment, die etwa zur gleichen Zeit einen Ransomware-Angriff erlebten und sich für die Zahlung des Lösegelds entschieden, sagte MGM, dass sie es nie in Betracht gezogen haben. Ihre Entscheidung, nicht zu zahlen, stand im Einklang mit den Empfehlungen von Cybersicherheitsexperten, Regierungsbehörden und Strafverfolgungsbehörden, die von solchen Handlungen aufgrund der damit verbundenen Risiken abrieten. MGM verlor schätzungsweise 84 Millionen Dollar an entgangenen Einnahmen. Sie gaben auch 10 Millionen Dollar für einmalige Ausgaben für Technologieberatung, Rechtskosten und externe Berater aus. Das Unternehmen hatte auch Kosten im Zusammenhang mit der Bereitstellung kostenloser Dienstleistungen und der Wiederherstellung von Treuepunkten für betroffene Kunden zu tragen.

Reputationsauswirkungen auf MGM und Kundenvertrauen

Das Unternehmen MGM Resorts sah sich einer Flut von negativer Aufmerksamkeit in den sozialen Medien ausgesetzt, als Nutzer ihren Frust äußerten. Ob dies zu einer verringerten Kundenloyalität und Vertrauen führen wird, bleibt abzuwarten. MGMs Erholung wurde durch die rechtzeitige Ankunft des hochkarätigen Formel-Eins-Rennens kurz nach dem Vorfall unterstützt, was dazu beitrug, den Fokus zu verschieben und möglicherweise einige Reputationsschäden zu mildern.

Datenpanne und kompromittierte Informationen

Arten von Kundendaten, die offengelegt wurden

Die während des Angriffs entwendeten Daten bestanden aus Informationen über MGM-Kunden, hauptsächlich solche, die vor März 2019 Geschäfte mit dem Unternehmen getätigt hatten. Dazu gehörten persönliche Informationen wie Namen, Kontaktdaten, Geburtsdaten und Führerscheinnummern. Eine kleinere Gruppe von Kunden könnte auch ihre Sozialversicherungs-, Reisepass- oder Militärausweisnummern offengelegt haben. Auch persönliche Daten im Zusammenhang mit Hotelreservierungen und Details zu Treueprogrammen waren betroffen. Obwohl nicht bestätigt, könnten auch Mitarbeiterdaten bei dem Angriff offengelegt worden sein.

Schritte, die MGM zum Schutz der Kunden unternommen hat

Es ist entscheidend, einen gut definierten Vorfallreaktionsplan zu haben, um die Auswirkungen eines Cyberangriffs effektiv zu managen und zu mildern. Nachfolgend sind einige der Maßnahmen aufgeführt, die MGM unmittelbar nach dem Angriff ergriffen hat:

• Eine spezifische Website oder ein Portal mit Informationen über den Vorfall erstellt
• Öffentliche Erklärungen und Aktualisierungen über verschiedene Kanäle herausgegeben, um Transparenz zu gewährleisten
• Kostenlose Kreditüberwachungsdienste bereitgestellt
• Angebotener Identitätsschutz für betroffene Kunden und Mitarbeiter
• Ein spezielles Callcenter wurde eingerichtet, um Kundenanliegen und Fragen zu bearbeiten

Rechtliche Konsequenzen und Kundenklagen

Sammelklagen gegen MGM

Gegen MGM wurden mehrere Klagen eingereicht, wie diese hier. Die Vorwürfe dieser Klagen behaupten, dass MGM als führender globaler Casino- und Hotelbetreiber nicht ausreichende Cybersicherheitsmaßnahmen zur Schutz der Verbraucherdaten umgesetzt hat. Sie behaupten, dass der Kläger sensible Kundeninformationen ohne angemessene Verschlüsselung gespeichert hat und dass Okta das Unternehmen zuvor über potenzielle Sicherheitsrisiken informiert hatte, was darauf hindeutet, dass MGM diese Warnungen nicht beachtet hat. Die Klagen fordern verschiedene Formen des Schadensersatzes, einschließlich:

• Finanzieller Schaden
• Erstattung für potenziellen Identitätsschutz
• Übernahme der Kosten im Zusammenhang mit dem Schutz persönlicher Informationen
• Strafschadenersatz für behauptete Fahrlässigkeit

Regulatorische Prüfungen und Compliance-Probleme

MGM hat den Cyberangriff und dessen potenziellen finanziellen Einfluss ordnungsgemäß in den SEC filings offengelegt, wie es für börsennotierte Unternehmen vorgeschrieben ist. Die FTC hat nach dem Angriff eine Untersuchung der data security-Praktiken von MGM eingeleitet, jedoch hat MGM Klage gegen die FTC eingereicht und behauptet, dass die Anfrage die Befugnisse der Behörde überschreitet. Das Unternehmen wirft auch einen Interessenkonflikt vor, da FTC-Vorsitzende Lina Khan persönlich von dem Cyberangriff betroffen war, während sie sich auf einem MGM-Anwesen aufhielt. Mehrere staatliche Regulierungsbehörden untersuchen den Vorfall. Verschiedene staatliche Regulierungsorgane haben Untersuchungen zum Cyberangriff auf MGM eingeleitet. Obwohl spezifische Behörden nicht benannt wurden, ist wahrscheinlich, dass die Nevada Gaming Control Board an der Untersuchung beteiligt ist.

Erkenntnisse und zukünftige Maßnahmen zur Cybersicherheit

Verbesserungen in der Cybersecurity-Strategie von MGM

Um ihre Cybersicherheitsposition zu stärken, führte das Unternehmen eine gründliche Bewertung ihrer bestehenden Cybersicherheitssysteme und -prozesse durch. Anschließend implementierten sie zusätzliche Sicherheitsmaßnahmen, die folgendes beinhalteten:

• Verbesserte Zugriffskontrollen und Authentifizierungsprozesse
• Verbesserte Netzwerksegmentierung
• Verbesserte Systeme zur Erkennung und Verhinderung von Eindringlingen
• Verstärkte Praktiken zur Datenverschlüsselung

Darüber hinaus kündigte MGM auch Pläne an, im folgenden Jahr bis zu 40 Millionen Dollar in IT-Verbesserungen zu investieren.

Die Bedeutung von Incident Response Plänen

Die schnellen Maßnahmen von MGM zeigen deutlich, dass sie einen gut strukturierten Incident-Response-Plan hatten. Ihre umgehende Reaktion umfasste:

• Einbindung von Cybersicherheitsexperten und Strafverfolgungsbehörden
• IT-Profis mobilisieren, um den Sicherheitsvorfall einzudämmen
• Versuche, die weitere Ausbreitung der Ransomware zu verhindern
• Rechtzeitige und transparente Kommunikation mit betroffenen Kunden

MGM erkannte schnell die Schwere des Angriffs und traf die kritische Entscheidung, wichtige digitale Systeme herunterzufahren, um den Angriff zu isolieren. Obwohl dies anfangs zu Betriebsstörungen führte, verhinderte es weitere Datenexfiltration und begrenzte die mögliche Ausbreitung der Ransomware. Dieser proaktive Ansatz demonstrierte die Bedeutung eines vordefinierten Protokolls für die schnelle Systemisolierung während eines Cybersicherheitsvorfalls.

Weitreichende Auswirkungen für die Gastgewerbebranche

Der Cyberangriff auf MGM Resorts legte die Abhängigkeit der Branche von vernetzten digitalen Systemen für den Betrieb offen. Da der Sektor zunehmend digitale Technologien zur Verwaltung von Buchungen, Treueprogrammen und Zahlungssystemen integriert, wird er zu einem Hauptziel für Cyberkriminelle. Der Angriff zeigte, wie schnell mehrere Dienste gestört werden können. Um das erhöhte Risiko anzugehen, muss die Branche umfassende Sicherheitsmaßnahmen implementieren, ihre Verteidigungen kontinuierlich testen und notwendige Anpassungen vornehmen.

Wie Netwrix helfen kann

Netwrix bietet eine umfassende Suite von Sicherheitslösungen, die Ihre Organisationen vor Angriffen wie dem MGM Grand Cyberangriff schützen können. Hier sind einige Beispiele:

• Netwrix Privileged Access Management kann das seitliche Bewegen von Angreifern in Ihrer Umgebung stoppen, indem ständige Berechtigungen eliminiert werden. Anstatt statischer Konten, die verwundbar sind, wenn sie nicht genutzt werden, ermöglicht Netwrix Ihnen die Erstellung von temporären Konten genau zur richtigen Zeit mit gerade genug Zugriff, um die anstehende Aufgabe zu erfüllen. Sobald die Aufgabe abgeschlossen ist, wird das Konto gelöscht. Es kann Ihnen auch dabei helfen, alle Admin-Aktivitäten in Echtzeit über mehrere IT-Systeme hinweg zu überwachen.
• Netwrix Auditor kann Sicherheitslücken in Daten und Infrastruktur erkennen, wie übermäßige direkte Berechtigungen oder eine Vielzahl inaktiver Benutzer und hilft dabei, korrigierende Maßnahmen zu ergreifen, um die Angriffsfläche zu minimieren. Indem alle durch eine Person ausgelösten anomalen Aktivitätsalarme in einer umfassenden Ansicht zusammengefasst werden, können Sie potenziell bösartige Insider oder kompromittierte Konten schnell identifizieren.
• Netwrix Data Classification Software kann alle sensiblen Inhalte in Ihrer Organisation finden, damit Sie die Sicherheit dafür priorisieren können. Es kann kritische oder sensible Daten, die an unsicheren Orten gespeichert oder für große offene Gruppen zugänglich sind, automatisch unter Quarantäne stellen.

Netwrix verwendet User Activity Monitoring um unbefugten oder übermäßigen Zugriff auf Privileged Accounts zu kennzeichnen, indem erkannt wird, wenn ein Benutzer auf Systeme oder Daten zugreift, mit denen er normalerweise nicht interagiert. File Integrity Monitoring identifiziert unbefugte Änderungen an wichtigen Dateien oder Konfigurationen. Netwrix bietet auch Compliance-Berichterstattungstools an, um MGM dabei zu unterstützen, im Einklang mit Branchenstandards und Vorschriften zu bleiben.

FAQs

Was ist bei dem MGM-Cyberangriff passiert?

Der Cyberangriff auf das MGM in Las Vegas im September 2023 gab uns einen Einblick, wie ein einzelner Angriff den Betrieb eines digitalen Unternehmens umfassend stören kann. Der Angriff wurde von einer Gruppe namens Scattered Spider initiiert, die Social Engineering nutzte, um einen gezielten Mitarbeiter zu imitieren und die IT-Helpdesk zu überzeugen, Anmeldeinformationen bereitzustellen, was sie auch taten. Dies ermöglichte es den Angreifern, in die Netzwerksysteme von MGM einzudringen, woraufhin sie die Operationen an eine Ransomware-Gruppe namens ALPHV übergaben, die dann Daten extrahierte und kritische Systeme verschlüsselte. Der Angriff kostete MGM schätzungsweise rund 100 Millionen Dollar an entgangenen Einnahmen, Rechtskosten und anderen Ausgaben.

Was ist beim Cyberangriff in Las Vegas 2023 passiert?

Zwei Cyberkriminellenorganisationen koordinierten im September 2023 einen Angriff auf zwei große Casinos in Las Vegas, einschließlich des MGM Grand. Für das MGM führte der Angriff zu Betriebsstörungen, wodurch Spielautomaten offline gingen, digitale Zimmerschlüssel nicht mehr funktionierten und Online-Reservierungssysteme heruntergefahren wurden. E-Mail-Systeme waren betroffen und viele mobile Dienste, einschließlich der MGM-App, wurden unzugänglich.

Wer steckt hinter dem MGM-Hack?

Der MGM-Hack wird zwei Hauptgruppen zugeschrieben. Die erste war Scattered Spider, eine Hackerorganisation, die sich auf Social-Engineering-Angriffe spezialisiert hat. Sie sind bekannt für ihre Fließendheit in Englisch, was ihnen bei ihren überzeugenden Vishing-Versuchen hilft. Die zweite Organisation war ALPHV, auch bekannt als BlackCat. Sie sind eine Ransomware-as-a-Service-Operation mit Sitz in Russland und sie waren es, die die Ransomware bereitstellten, die für den primären Angriff verantwortlich war. Es wird angenommen, dass diese beiden Organisationen eine Art von Verbindung miteinander haben.

Ist der MGM-Cyberangriff vorbei?

Obwohl der Angriff, der über einen Zeitraum von zehn Tagen im September 2023 stattfand, vorbei ist, sind die Nachwirkungen des Angriffs immer noch spürbar. MGM sieht sich mit mehreren Sammelklagen in Verbindung mit dem Sicherheitsvorfall konfrontiert und verschiedene Regulierungsbehörden führen separate Untersuchungen zu dem Angriff durch. MGM hat auch zugesagt, zusätzliche 40 Millionen Dollar in weitere Schutzmaßnahmen und Verbesserungen ihrer IT-Infrastruktur zu investieren.

Wurden die MGM-Hacker gefasst?

Ja, es wurden mehrere Verhaftungen im Zusammenhang mit dem Angriff auf MGM vorgenommen. Im Juli 2024 wurde ein 17-Jähriger aus dem Vereinigten Königreich wegen Beteiligung am Angriff festgenommen. US-Staatsanwälte enthüllten Monate später im November 2024 Strafanzeigen gegen fünf mutmaßliche Mitglieder von Scattered Spider. Scattered Spider ist eine der kriminellen Organisationen, die am Angriff beteiligt waren.

Hat MGM das Lösegeld bezahlt?

MGM Resorts entschied sich dazu, das von den Hackern geforderte Lösegeld nicht zu bezahlen. Diese Entscheidung stand im Einklang mit den Empfehlungen von Cybersicherheitsexperten, Regierungsbehörden und Strafverfolgungsbehörden, die von solchen Aktionen aufgrund der damit verbundenen Risiken abrieten. Dieser Ansatz unterschied sich von dem von Caesars Entertainment, das angeblich etwa 15 Millionen Dollar an dieselbe Hackergruppe zahlte. Natürlich kann nicht mit Sicherheit gesagt werden, ob MGM bezahlt hat oder nicht.

Was wurde aus den MGM Resorts gestohlen?

Im Fall des Cyberangriffs auf das MGM Las Vegas Casino waren die gestohlenen Informationen hauptsächlich persönliche Daten der Kunden. Zu den kompromittierten Daten gehörten Namen, Kontaktdaten und Ausweisnummern wie Führerschein, Militärausweis und Pässe. Auch persönliche Daten im Zusammenhang mit Hotelreservierungen und Details zu Treueprogrammen waren betroffen. Es ist auch möglich, dass einige Mitarbeiterdaten bei dem Angriff ebenfalls offengelegt wurden.

Wie viel Geld hat MGM durch den Cyberangriff verloren?

Laut einer SEC-Einreichung erlitt MGM Resorts im dritten Quartal 2023 aufgrund des Cyberangriffs einen Verlust von 100 Millionen Dollar. Dies beinhaltete 84 Millionen Dollar an entgangenen Einnahmen durch gestörte Betriebsabläufe und 10 Millionen Dollar an einmaligen Ausgaben für Technologieberatung, Rechtskosten und externe Berater. Das Unternehmen könnte zusätzliche zukünftige Verluste durch mögliche Prozesskosten und Compliance-Strafen gegenüberstehen.

Hat MGM das Lösegeld für den Ransomware-Angriff bezahlt?

Es ist immer eine wichtige Entscheidung, ob das Lösegeld gezahlt werden soll, um die Wiederherstellung zu beschleunigen oder nicht. Im Falle des Cyberangriffs auf MGM Resorts entschied sich die Unternehmensführung, dem Rat von Cybersicherheitsexperten, Regierungsbehörden und Strafverfolgungsbehörden zu folgen, die davon abrieten, es aufgrund der damit verbundenen Risiken zu zahlen.