Hacker löscht Rumäniens Grundbuchdatenbank

 (news.risky.biz)
5 Punkte von GN⁺ 16 시간 전 | 3 Kommentare | Auf WhatsApp teilen
  • Ein Hacker drang bei ANCPI ein und löschte, nachdem eine Geldforderung gescheitert war, die Grundbuchdatenbank und die Backups, wodurch Rumäniens Immobilienmarkt praktisch eine Woche lang zum Stillstand kam
  • Der Angreifer verschaffte sich mit gültigen Zugangsdaten Zutritt, verschaffte sich einen Überblick über die internen Systeme und löschte anschließend die Daten; auch der E-Mail-Server von ANCPI sowie die offizielle App und Website fielen aus
  • Notare konnten keine neuen Immobilientransaktionen registrieren, und Bürger konnten Eigentumsnachweise und detaillierte Grundstücksunterlagen nicht erhalten
  • Der Vorfall wurde am 14. Juli zusammen mit dem Beginn der Datenlöschung bekannt, und am folgenden Tag wurden Mitarbeiter-Zugangsdaten, interne Dokumente und Informationen zum IT-Netzwerk in einem Hackerforum zum Verkauf angeboten
  • ANCPI hat die Website wiederhergestellt und baut nun das gesamte Netzwerk von Grund auf neu auf; entgegen der Behauptung des Angreifers könnte es Offline-Backups gegeben haben

Eindringen und Datenlöschung

  • Ein Hacker drang bei ANCPI, Rumäniens Behörde für Kataster und Immobilienregister, ein und löschte die nationale Grundbuchdatenbank, nachdem eine Geldforderung gescheitert war
  • Quellen zufolge verschaffte sich der Angreifer mit gültigen Zugangsdaten Zutritt, verschaffte sich einen Überblick über die internen Systeme und löschte dann die Systeme und Backups
  • Auch der E-Mail-Server von ANCPI fiel infolge dieses Vorfalls aus

Stillstehender Immobilienmarkt

  • Da die offizielle App und Website eine Woche lang offline waren, kam der rumänische Immobilienmarkt insgesamt zum Stillstand
    • Notare konnten keine neuen Transaktionen ins Register eintragen
    • Bürger konnten weder Eigentumsnachweise noch detaillierte Grundstücksunterlagen erhalten

Geleakte Daten und der Angreifer

  • Der Vorfall wurde am 14. Juli, dem Tag des Beginns der Datenlöschung, bekannt; am folgenden Tag wurden Teile der gestohlenen Daten in einem Hackerforum verkauft
  • Das veröffentlichte Material enthält Mitarbeiter-Zugangsdaten, interne Dokumente und Details zum IT-Netzwerk der Behörde
  • Die Daten wurden von einem Konto namens ByteToBreach veröffentlicht
    • ByteToBreach gilt als Hacker, der im selben Jahr mehrere Behörden und bekannte Unternehmen kompromittiert hat, darunter das schwedische E-Government-Portal
    • Das Sicherheitsunternehmen KELA vermutete im Dezember 2025, dass sich diese Person in Algerien befinde, und aktualisierte nach dem ANCPI-Vorfall das Profil, um die Identität als Zakaria Mahdjoub aus Oran in Algerien offenzulegen

Wiederherstellung und kompletter Neuaufbau

  • ANCPI teilte mit, dass nach der Wiederherstellung der Website nun das gesamte Netzwerk von Grund auf neu aufgebaut werde
  • Der Angreifer behauptete zwar, auch die Backups gelöscht zu haben, doch ANCPI scheint über Offline-Kopien verfügt zu haben

Angriffe auf Grundbuchbehörden weltweit

Verwandte Beiträge

3 Kommentare

 
tribela 15 시간 전

Das erinnert mich an Staffel 1 von Mr. Robot. Dort haben sie sogar alle Offline-Backups zerstört.
 
loblue 11 시간 전

Auf Hacker News wurde auch der Fall des Brandanschlags auf das Datenzentrum der koreanischen Regierung erwähnt, lol
 
GN⁺ 16 시간 전
Meinungen auf Hacker News

  • Nach dem Hack kündigten die Behörden an, die Website wiederherzustellen und das gesamte Netzwerk der Behörde von Grund auf neu aufzubauen. Der Hacker behauptete zwar, die Backups gelöscht zu haben, doch offenbar gab es Offline-Kopien, sodass wohl nicht alles verloren ist.
    Ich hatte Sorge vor den gesellschaftlichen Folgen, wenn sich Grundeigentum nicht mehr nachweisen lässt, aber der schlimmste Fall scheint vermeidbar zu sein.

    • Auch in der Heimatstadt meines Vaters, einer Stadt mit 50.000 Einwohnern, gingen bei der großen Flut von 1982 die Unterlagen des Grundbuchs verloren. Mein Vater, der Anwalt war, erzählte mir, dass die Daten anhand von Eigentumsnachweisen und Zeugenaussagen der Einwohner rekonstruiert wurden.
      Zuerst nutzte man direkte Beweise, danach Zeugenaussagen und eine Frist für Einsprüche. Zu 100 % ließ sich das nicht wiederherstellen, und es gab sicher auch einige falsche Ansprüche, aber in einer kleinen Stadt, in der die Nachbarn einander kennen, war es angesichts des Ausmaßes der Katastrophe die beste Lösung.
    • Man sollte sich an den früheren Fall mit den Xerox-Scanfehlern erinnern, wegen dem amtlich gescannte Dokumente für ungültig erklärt wurden. Wir leben bereits in einer Welt, in der auch die Gültigkeit gescannter Dokumente rechtlich angefochten werden kann.
    • Angesichts des Zustands des Netzwerks ist es gut möglich, dass auch die Offline-Kopien weit vom aktuellen Stand entfernt sind; es bleibt also weiterhin Potenzial für großes Chaos.
    • Wenn nur Offline-Backups übrig sind, wurde wahrscheinlich nicht nach jeder einzelnen Transaktion ein Backup erstellt; daher könnten mindestens etwa eine Woche an Grundbuchtransaktionen fehlen.
      Wenn das Ziel war, eine bestimmte aktuelle Transaktion zu löschen, könnte das gelungen sein; durch das massenhafte Löschen weiterer Einträge entsteht zudem eine plausible Abstreitbarkeit bei späteren Eigentumsstreitigkeiten. Wenn man nur den eigenen Eintrag löscht, wird der Kreis der Verdächtigen sehr klein, sobald die Manipulation entdeckt wird.
    • Als ich in einem sehr stressigen Job arbeitete, machte ich mir nicht nur Sorgen über Schäden am Versionsverwaltungssystem, sondern auch darüber, dass jemand beim Ausscheiden noch etwas zerstören könnte. Deshalb kopierte ich jeden Monat den Code und bewahrte ein Medium mit der Aufschrift „promotion“ auf meinem Schreibtisch auf.
      Wenn jemand meinen Schreibtisch durchsucht hätte, hätte er es wohl für Erpressungsmaterial gehalten und wäre enttäuscht gewesen, nur Code zu finden.

  • ANCPI teilte mit, dass es begonnen habe, die Anwendungen in die Romania Government Cloud zu migrieren; koordiniert werde dies vom Special Telecommunications Service (STS), der Abschluss sei bis Mittwoch, den 22. Juli, geplant.
    Nach der Migration sollen autorisierte Institutionen die Anwendungen und Daten prüfen, einen Bericht zum Systemzustand und zu weiteren Maßnahmen erstellen und auf dieser Grundlage ein voraussichtliches Wiederherstellungsdatum bekannt geben. Die Dienste werden schrittweise entsprechend der operativen Prioritäten wieder aufgenommen.
    ANCPI erklärte, die Datenbank mithilfe von Backups an mehreren Standorten wiederaufzubauen; die mehrfachen Speicherorte sorgten für Redundanz und Wiederherstellungsfähigkeit nach einem Cybersicherheitsvorfall. Bis alle Schwachstellen behoben seien, würden die betroffenen Systeme isoliert; außerdem arbeite man mit den zuständigen Behörden im Rahmen strafrechtlicher Ermittlungen zusammen, könne aber noch keine offiziellen Schlussfolgerungen veröffentlichen.

    • Ein ehemaliger Kollege arbeitete bei einem Logistikunternehmen für Gewerbeimmobilien und holte jede Woche Backup-Festplatten aus einem gesicherten Rechenzentrum, um sie in ein Bankschließfach zu transportieren.
      Die Bank lag allerdings nur zwei Blocks vom Rechenzentrum und sechs bis acht Blocks vom Büro entfernt, sodass eine große Katastrophe alle drei Orte hätte treffen können. Nur die zweite Kopie im Haus des Eigentümers war tatsächlich geografisch getrennt.
    • Wenn eine Regierungsbehörde ankündigt, das Problem durch eine Migration in die Government Cloud lösen zu wollen, wirkt das eher hoffnungslos. Das ist praktisch dasselbe, als würde man denselben Fehler wiederholen und ihn so beheben wollen.
      Sie sollten den Fehler eingestehen, das System einfrieren und sich Hilfe von unabhängigen Experten holen. Viel Glück an alle, die in Rumänien in letzter Zeit Grundstücke gekauft oder verkauft haben.

  • Von rumänischen Bekannten habe ich gehört, dass die eigentliche Ursache Korruption und Vetternwirtschaft bei Verträgen sei. Die Regierung vergebe IT- und Datenverträge an nahestehende Personen, die dann keine echte Sicherheitsarbeit leisteten, wodurch so etwas passiere.

    • In Rumänien läuft Korruption meist über maßgeschneiderte Ausschreibungen, die nur ein bestimmter Anbieter erfüllen kann, oder über unverhohlenen Geldabfluss. In diesem Fall würde ich eher auf schlecht bezahlte Mitarbeiter und höchstens den inkompetenten Neffen von irgendwem tippen.
      Es gibt absolut keinen Grund, eine .authorized_keys-Datei im Web-Root einer Website abzulegen, aber genau das wurde getan. Maßgeschneiderte Ausschreibungen funktionieren so, dass man übermäßig spezifische Bedingungen festlegt, die nur ein Anbieter erfüllen kann. Eine Kommunalverwaltung wollte Busse kaufen und verlangte eine maximale Länge, die kürzer war als bei üblichen Modellen; zufällig importierte ein Verwandter eines Entscheidungsträgers genau Fahrzeuge mit diesen Spezifikationen.
    • Auch in anderen osteuropäischen Ländern ist so etwas weit verbreitet. Ich frage mich, welche realistische Möglichkeit Menschen haben, die sich für das Gemeinwohl interessieren, das zu beheben.
    • Auf Basis der öffentlich verfügbaren Informationen zum Vorfall hat jemand ein erklärendes Dashboard gebaut: https://ancpi-atac.mariuscomper.uk/en/
    • Es ist nicht nur ein Korruptionsproblem. Ein enger Verwandter war in einer Regierungsbehörde mit mehreren Tausend Beschäftigten für den Aufbau einer neuen Anwendung zuständig, aber in der gesamten Organisation gab es niemanden, der Anforderungen schreiben oder entwerfen, testen und ausrollen konnte.
      Einige Beamte werden zwar ordentlich bezahlt, aber im IT-Bereich zahlt die Privatwirtschaft viel mehr, sodass fast alle, die auch nur halbwegs fähig sind, dorthin wechseln. Am Ende kümmerten sich Nicht-IT-Leute um sämtliche Vertrags- und Folgefragen, und das Ergebnis war entsprechend schlecht. Mit demselben Zeitplan und etwa 10 % des Budgets hätte man das Projekt ordentlich umsetzen können.
      Ein anderes rumänisches Regierungs-IT-Projekt, an dem mein Bekannter beteiligt war, kostete das Fünf- bis Zehnfache seines tatsächlichen Werts und lief über mehrere Ebenen von Subunternehmern. Es gab weniger als zehn fähige Leute, aber der Zuschlagnehmer stellte mehr als 100 Personen in Rechnung; tatsächlich waren zeitweise höchstens etwa 70 Leute beteiligt. Vor allem der Mangel an fähigen Personen in Entscheidungspositionen war die zentrale Ursache.
    • Dem Artikel zufolge erklärten Quellen, der Hacker sei mit gültigen Zugangsdaten eingedrungen.

  • Das Sicherheitsunternehmen KELA identifizierte den Hacker als Zakaria Mahdjoub aus Oran in Algerien.
    Wenn man ein böswilliger Hacker ist, würde man wohl wie russische Hacker nur Länder ins Visier nehmen, die dem eigenen Land feindlich gesinnt sind oder kein Auslieferungsabkommen haben; zwischen Algerien und Rumänien gibt es jedoch ein Auslieferungsabkommen: https://periodicos.processus.com.br/index.php/egjf/article/v...

    • Oder man sorgt einfach für saubere Operationssicherheit (OpSec).

  • Das erinnert an den Vorfall in einem südkoreanischen Regierungsrechenzentrum, bei dem durch einen Batteriebrand ein etwa 900 TB großes Rechenzentrum ohne Backups gelöscht wurde.
    Die Wiederherstellung der verschwundenen Funktionen ohne externe Backups dürfte weniger Datenrettung als vielmehr forensische Archäologie gewesen sein. Als ich zuletzt davon hörte, waren etwa ein Viertel der verlorenen Dienste und Daten wiederhergestellt.
    [1] https://www.intermediagroup.org/south-korea-data-loss/

  • Auch die serbische Grundbuchdatenbank ist seit zwei Monaten außer Betrieb. Abgesehen von den üblichen Hinweisen des LRD-Supportteams zu einer Systemstörung gibt es keinerlei Regierungsmitteilung; hoffentlich war es nicht derselbe Angriff.

  • Wenn die Backups zusammen mit dem System gelöscht wurden, heißt das, dass sie über dasselbe Netzwerk erreichbar waren. Ein Backup, auf das Angreifer zugreifen können, ist kein Backup.
    Gut, dass es eine Offline-Kopie gab; bei einem so wichtigen System sollte man sich aber nicht auf Glück verlassen, sondern regelmäßig Offline-Backups erstellen.

    • Auch wenn es kein streng definierter Begriff ist, lässt sich das kaum als Backup bezeichnen. Gut, dass es offenbar auch echte Offline-Backups gab; das macht aber nur noch deutlicher, dass das Schein-Backup keinerlei Nutzen hatte und nicht einmal wert war, im Vorfallsbericht erwähnt zu werden.
    • Mit einem Append-only-Backup-System lässt sich das Löschen bestehender Backups selbst in einer Umgebung verhindern, auf die Angreifer Zugriff haben.

  • Nachlässige Passwortpraktiken und -richtlinien sowie das Fehlen von Zwei-Faktor-Authentifizierung oder physischen Tokens scheinen zur Kompromittierung beigetragen zu haben. In den Beiträgen und Screenshots der mutmaßlichen Angreifer tauchen weithin bekannte und leicht zu erratende Passwörter wie P@ssw0rd auf.
    <https://spear.cx/Thread-Selling-RO-Thy-arss-shall-be-spanked...>
    <https://drive.google.com/file/d/1iZc93XfViOk7izusgIG1ni7Kmsx...>
    Ursprünglich hatte ExoticPearTree das hier ohne Belege behauptet: <https://news.ycombinator.com/item?id=48978836>. Wer banal dumme Praktiken kritisieren will, sollte genügend Belege liefern, damit es nicht wie ein klischeehafter, unbelegter Vorwurf wirkt.

    • Mein erstes Gerät für Zwei-Faktor-Authentifizierung bekam ich bei der Arbeit; meine Freunde hatten ihres aber für World of Warcraft, und es dauerte noch Jahre, bis Banken so etwas anboten. Bei jedem Sicherheitsvorfall muss ich daran denken.
      Blizzard verteilte einmal an alle Teilnehmer einer Jahresveranstaltung Hardware-Tokens. Später wurde Smartphone-Authentifizierung möglich, und auch wenn Blizzard sie nicht verpflichtend machte, verlangten fast alle Gilden ihre Nutzung, besonders von Offizieren.

  • Im australischen Torrens-Grundbuchsystem sind Papierdokumente nicht mehr die maßgebliche Originalquelle. Wenn man den Grundbuchauszug aus dem Nachlass eines Verstorbenen beim Grundbuchamt einreicht, aktualisieren sie die Datenbank und bewahren das Dokument auf; bittet man um Rückgabe, wird es mit einem Ungültigkeitsstempel zurückgegeben.
    Ich weiß das, weil ich diesen Ablauf selbst durchlaufen habe. Jetzt warte ich auf die Leute, die „3, 2, 1“ rufen.

  • Vor Kurzem ist dasselbe auch in der Slowakei passiert.

    • Im Januar 2025 wurde das slowakische Grundbuchamt gehackt; unbekannte Angreifer verschlüsselten die Datenbank und forderten ein nicht öffentlich genanntes siebenstelliges Lösegeld.
      Der landesweite Immobilienmarkt war etwa einen Monat lang lahmgelegt, und es dauerte mehrere Monate, bis der Normalbetrieb mithilfe von Backups und Papierdokumenten vollständig wiederhergestellt war. Es war der größte Cyberangriff in der Geschichte der Slowakei, doch die Urheber sind bis heute nicht öffentlich bekannt, und die Ermittlungen laufen weiter. Regierungsvertreter, darunter der Premierminister, waren ohne Belege sofort eifrig dabei, die Ukraine zu beschuldigen.
    • Die damaligen Berichte waren unter anderem:
      „1T+ in assets are frozen as Slovakia's Land Registry faces ransomware attack“ <https://spectator.sme.sk/politics-and-society/c/news-digest-...> (9. Januar 2025), HN-Diskussion: <https://news.ycombinator.com/item?id=42650343>
      „Ransomware Attack Paralyzes Slovakian Land Registry, Souring Slovakia-Ukraine Relations“ <https://dailysecurityreview.com/security-spotlight/slovakian...> (14. Januar 2025)
      „Slovakia Hit by Historic Cyber-Attack on Land Registry“ <https://www.infosecurity-magazine.com/news/slovakia-hit-by-l...> (10. Januar 2025)
      Dieser Fall scheint mit der Ukraine in Verbindung zu stehen.
    • Ich frage mich, wie sie das gelöst haben.