Angreifer knackten 150.000 Sicherheitskameras
Angreifer haben nach einem Medienbericht 150.000 Überwachungskameras einer US-Firma angezapft: Betroffen waren unter anderem Krankenhäuser, Gefängnisse, Schulen, Polizeireviere. sowie Unternehmen wie der Elektroautohersteller Tesla und die IT-Sicherheitsfirma Cloudflare, wie der Nachrichtendienst Bloomberg am Dienstag berichtete.
So hätten die Eindringlinge Aufnahmen vom Tesla-Standort Shanghai vorgeführt. Die kalifornische Firma Verkada, von der die Kameras stammen, teilte Bloomberg in einer ersten Reaktion mit, man untersuche “das Ausmaß des potenziellen Problems”. Kunden würden über den Vorfall informiert. Mittlerweile sei das Einfallstor geschlossen.
Kein Hack nötig
Es passiert immer wieder, dass Aufnahmen von Überwachungskameras abgegriffen werden. In diesem Fall hatten die Angreifer die Zugangsdaten für einen Administrator-Account mit weitreichenden Zugriffsrechten einfach öffentlich erreichbar im Internet gefunden. Als “Super-Administrator” konnten sie so eine Vielzahl von Kameras anzapfen.
Der Administrator-Account stammte vom Hersteller der Kameras selbst. Was wiederum heißt, dass üblicherweise auch Verkada vollen Zugriff auf alle Kamerabilder hat, ohne dass es die Kunden mitbekämen.
Laut Bloomberg führte ein “internationales Hackerkollektiv” den digitalen Einbruch durch. Die Mitglieder wollten mit der Aktion darauf hinweisen, wie weit verbreitet Videoüberwachung ist und wie einfach es ist, in die Systeme einzudringen. Ein Mitglied kommentierte gegenüber Bloomberg: “Der Hack entlarvt nur, wie breit wir überwacht werden, und wie wenig Sorgfalt in die Sicherung der Plattformen gesteckt wird, während nichts als Profit angestrebt wird.”
Tiefe Einblicke
Die Angreifer präsentierten Bloomberg Aufnahmen aus einem Polizeirevier im US-Bundesstaat Massachusetts, einem Gefängnis in Alabama und einem Krankenhaus in Florida. In einem Video aus dem Krankenhaus Halifax Health in Florida sei zu sehen gewesen, wie acht Krankenhausmitarbeiter einen Mann angriffen und ihn an ein Bett fesselten. Ein weiteres Video, aufgenommen in einem Tesla-Lagerhaus in Shanghai, zeigte Arbeiter an einem Fließband.
In einem Gefängnis sei es den Eindringlingen gelungen, 330 Kameras anzuzapfen. Bei Tesla seien es 222 Kameras gewesen. Sie hätten sich auch Zugang zum Videoarchiv der Verkada-Kunden verschafft. Dass gespeicherte interne Aufnahmen nicht ausschließlich für die Nutzer selbst zugänglich sind, überrascht auch Experten. “Wenn Sie ein Unternehmen sind, das dieses Netzwerk von Kameras gekauft hat und sie an sensiblen Orten aufstellt, haben Sie vielleicht nicht die Erwartung, dass zusätzlich zur Überwachung durch Ihr Sicherheitsteam auch ein Administrator der Kamerafirma zuschaut”, sagte Eva Galperin, Direktorin für Cybersicherheit bei der Electronic Frontier Foundation (EFF) gegenüber Bloomberg.
Mit Gesichtserkennung
Was den Fall umso heikler macht: Das Kamerasystem von Verkada ist mit einer automatischen Gesichtserkennung und einer Funktion namens “People Analytics” ausgestattet. So können die Kunden automatisch nach Menschen mit “vielen verschiedenen Attributen suchen und filtern, einschließlich Geschlechtsmerkmalen, Kleidungsfarbe und sogar dem Gesicht einer Person”, so ein Verkada-Blog-Eintrag.
Das System kann beispielsweise warnen, wenn eine bestimmte Person ins Blickfeld der Kameras gerät. In der Corona-Pandemie führte die Firma eine Funktion ein, die Alarm schlägt, wenn sich mehr Menschen als erlaubt an einem Ort versammeln. Auch Autokennzeichen liest das System aus. (dpa / hcz)