- Die Hacktivistengruppe NullBulge behauptet, in Disney eingedrungen zu sein und 1,1 TB interner Slack-Daten geleakt zu haben
- Zu den geleakten Daten sollen Nachrichten, Dateien, Code und mehr gehören
Die Gruppe NullBulge: wer, warum und wie
- Der Ursprung der Gruppe NullBulge ist unbekannt
- Laut ihrer offiziellen Website ist ihr Ziel, die Rechte von Künstlern zu schützen und eine faire Vergütung für ihre Werke sicherzustellen
- Es gibt Gerüchte, dass NullBulge mit der LockBit-Ransomware-Gang in Verbindung steht. Offenbar verwendet die Gruppe den geleakten Builder von LockBit
Disneys Urheberrechtsprobleme
- In den vergangenen Jahren sah sich Disney wegen der fairen Beteiligung von Künstlern und Autoren Kritik und rechtlichen Problemen ausgesetzt
- Prominente wie Neil Gaiman weisen darauf hin, dass Disney einigen Autoren und Künstlern keine Tantiemen für Werke zahlt, darunter Novelizations und Graphic Novels zu Disney-eigenen Properties
- Das Problem betrifft verschiedene Kreative, die an den Franchises "Star Wars" und "Alien" gearbeitet haben
- Trotz einiger hochkarätiger Einigungen kämpfen viele Autoren und Künstler weiterhin darum, die ihnen zustehende Bezahlung zu erhalten
- Organisationen wie die SFWA führen aktiv Kampagnen für diese Kreativen und bilden Taskforces, um Druck auf Disney auszuüben, damit das Unternehmen seinen finanziellen Verpflichtungen nachkommt
Meinung von GN⁺
- Der aktuelle Slack-Hack bei Disney ist ein schwerwiegender Vorfall, der Schwachstellen in den Sicherheitssystemen von Unternehmen offenlegt. Durch das Leck interner Informationen sind erhebliche Schäden zu erwarten, etwa bei künftigen Projekten und personenbezogenen Daten
- Da die Hackergruppe ihre Motivation offenbar mit dem Schutz von Künstlerrechten begründet, scheint der Vorfall über einen bloßen Hack hinauszugehen und eine gesellschaftliche Botschaft zu enthalten. Er kann als Gegenreaktion auf die unfaire Behandlung durch Unternehmen interpretiert werden
- Die jüngsten aufeinanderfolgenden Hacks bei Großunternehmen wie AT&T und Ticketmaster sollten das Bewusstsein für Cybersecurity schärfen. Unternehmen müssen neben der Stärkung ihrer Sicherheitssysteme auch ihre interne Governance verbessern
- Gleichzeitig lassen sich die illegalen Handlungen der Hackergruppe nicht rechtfertigen. Gesellschaftliche Probleme sollten auf legale und konstruktive Weise thematisiert werden. Gegen die an dem Hack beteiligten Personen sind strenge Strafen erforderlich
1 Kommentare
Meinungen auf Hacker News
Das zeigt erneut die oft unterschätzte Verantwortung, die Unternehmen übernehmen, wenn sie interne Kommunikation vollständig aufzeichnen, selbst wenn sie noch so informell oder unausgegoren ist.
Bei den Finanzunternehmen, bei denen ich früher gearbeitet habe, war es „gängige Praxis“, alle E-Mails und internen Chats sieben bis acht Jahre lang aufzubewahren. Ob sogar Telefonate über Firmengeräte aufgezeichnet und gespeichert wurden, weiß ich nicht sicher.
Deshalb trenne ich berufliche und private Geräte strikt. Ich arbeite nicht auf privaten Geräten und nutze Firmengeräte nicht für private Aktivitäten wie Social Media, E-Commerce oder belangloses Herumgeschreibe. Selbst wenn ich über den Chef meines Chefs schimpfe, nutze ich dafür niemals ein Firmengerät.
Ich wurde ein paar Mal gebeten, private Geräte für die Arbeit zu verwenden, habe das aber entschieden abgelehnt. Der Grund war, dass ich invasive Spyware und Rootkits installieren sollte, um die drakonischen Unternehmensrichtlinien einzuhalten. Bisher wurde ich dazu nicht gezwungen; wäre es erzwungen worden, hätte ich das Unternehmen längst verlassen.
Ein prominentes Beispiel ist Google: Das Unternehmen wies Mitarbeitende an, bei sensiblen Themen die Protokollierung auszuschalten: https://www.techspot.com/news/102874-doj-alleges-google-dest...
Außerdem wurden Mitarbeitende darin geschult, bestimmte Schlüsselwörter niemals zu verwenden, damit die Rechtsabteilung Gespräche nicht per Suchtool findet und damit keine Formulierungen erhalten bleiben, die nach Monopolist klingen: https://arstechnica.com/tech-policy/2023/09/google-hid-evide...
Das ist letzte Nacht passiert, und es wundert mich, dass es so wenige Artikel dazu gibt. Außerdem ist es sehr wahrscheinlich, dass der „Insider“ in Wirklichkeit gehackt wurde oder mit einem Remote-Access-Trojaner infiziert war; schade, dass auch SSNs und andere Informationen geleakt wurden.
Das dürfte für die Anti-DEI-Seite eine wahre Fundgrube werden. Es könnte sich herausstellen, dass Dinge, von denen man annahm, sie seien nie gesagt worden, tatsächlich ziemlich oft gesagt wurden.
Angesichts der gesellschaftlichen und politischen Kontroversen, in die Disney verwickelt ist, dürfte der Inhalt dieses Links erhebliche Überprüfung und Untersuchung erfahren.
Das ist dieselbe Gruppe, die Malware in ComfyUI_LLMVISION eingeschleust hat, und die behauptete, gegen Kryptowährungen zu sein, während sie Menschen Kryptowährungen abpresste.
Wahrscheinlich war auch bei diesem Einbruch ComfyUI_LLMVISION die Ursache.
In letzter Zeit scheint es mehr Hacks bekannter Unternehmen zu geben. Vielleicht ist das eine Folge davon, dass Unternehmen mehr Sicherheitspersonal entlassen, weil sie glauben, alle durch KI ersetzen zu können.
Erstens gibt es kaum Konsequenzen. Im schlimmsten Fall bekommt ein Hacker fünf bis sieben Jahre Haft, aber die Wahrscheinlichkeit, erwischt zu werden, ist gering.
Zweitens ist Security wirklich, wirklich, wirklich schwierig. Verteidiger müssen alles richtig machen, Angreifer müssen nur eine einzige Schwachstelle finden.
Drittens hängt Sicherheit nicht nur von den Security-Verantwortlichen ab. Sie hängt von allen Software Engineers, Operations- oder DevOps-Engineers, allen Software-Abhängigkeiten, der gesamten Hardware usw. ab. Wenn bei einer Person oder einer Abhängigkeit etwas schiefgeht, kann das ganze System kompromittiert werden. Dazu gehören unsicherer Code, Hacking, das Nichtentfernen ausgeschiedener Mitarbeitender aus Zugriffskontrolllisten oder Gruppen oder die Installation von Tools mit Backdoors.
Der Kern ist: Sicherheit ist schwer und hängt davon ab, dass Menschen das Richtige tun. Menschen dazu zu bringen, das Richtige zu tun, ist sehr schwierig.
Slack scheint ein Problem zu haben.
Vielleicht ist es ein Dump-Tool, das gestohlene API-Keys verwendet. Rate Limits und Monitoring auf Slack-Seite könnten helfen.
Bei Diensten solcher großen Anbieter ist es vermutlich am besten, davon auszugehen, dass sie bereits kompromittiert sind, und sensible Daten gar nicht erst dort abzulegen.
Diese Funktion wird normalerweise für die Prozessführung genutzt, und um einen Dump zu bekommen, braucht man ziemlich hohe Administratorrechte. Entweder wurde eine Schwachstelle gefunden oder ein Admin-Konto übernommen.
Ich verstehe die Situation des angeblichen Insiders Matthew J Van Andel nicht ganz. Bedeutet das, dass er ursprünglich mit den Hackern zusammengearbeitet und ihnen Zugriff gegeben hat, es dann bereute und den Zugriff kappte, woraufhin die Hacker ihn aus Rache doxxen?
Warum sie ihn gedoxxt haben, weiß ich nicht; vielleicht merkten sie, dass er erkannt hatte, dass er kompromittiert war, und den Zugriff kappte, und wollten ihm dann die Schuld zuschieben.
Disney sollte wohl von der Disney Vault etwas über Operations Security lernen.
Disney nutzt nicht unternehmensweit nur eine einzige Slack-Instanz, und alle wissen, dass man unveröffentlichte Inhalte nicht auf öffentliche Plattformen hochladen darf.
Es könnte sein, dass eine Instanz kompromittiert wurde, die der zentralen IT-Organisation von Disney, DTSS, gehört, aber sie wird vermutlich nicht so viel mit Disney Studios zu tun haben, wie angedeutet wird.
In der Branche ist es ziemlich üblich, unveröffentlichte Inhalte nur in netzwerkisolierten Systemen zu speichern.
Disney scheint sich in letzter Zeit immer wieder selbst ins Knie zu schießen.
Es wird interessant zu sehen, was hier passiert. Die geleakten Informationen könnten tatsächlich den Aktienkurs beeinflussen.