Cyberangriff auf SmartHRMS: Was bei MUIS betroffen war – und was offenbleibt

Der Ransomware-Angriff traf SmartHRMS, ein von Avelogic bereitgestelltes System für Personalverwaltung und Gehaltsabrechnung – nicht die religiösen Angebote oder die Dienstleistungen für die Öffentlichkeit. Der Islamische Religionsrat Singapurs (MUIS) ließ Gehälter betroffener Beschäftigter vorübergehend auf anderem Weg abwickeln. Nach Angaben von MUIS sollten sie dadurch pünktlich ausgezahlt werden.316

Welche Einrichtungen waren betroffen?

Zu den betroffenen Nutzern im religiösen und gemeinnützigen Bereich zählten laut MUIS 48 Moscheen, vier Madrasas – islamische Bildungseinrichtungen –, das Islamic Learning Hub and Management Office (ILHAM) sowie die gemeinsamen Verwaltungsdienste Mosque-Madrasah-Wakaf Shared Services (MMWSS). Avelogic betreute mit dem System auch Kunden in anderen Bereichen. MUIS erklärte, religiöse Angebote und Dienstleistungen für die Öffentlichkeit seien nicht unterbrochen worden.3

Wurden Beschäftigtendaten gestohlen?

Das ist nicht belegt. Als möglicherweise betroffene Informationen wurden Namen, Kontaktdaten, Gehälter und Bankkontonummern von Beschäftigten genannt. Dass diese Daten tatsächlich gestohlen wurden, ist damit nicht bestätigt. Auch die Zahl der betroffenen Personen und die genaue Art möglicherweise kompromittierter Informationen wurden in den vorliegenden Berichten nicht beziffert.617

Avelogic zufolge fand eine unabhängige forensische Untersuchung keine Hinweise auf einen Abfluss großer Datenmengen. Die Aussage stützt sich auf verfügbare Netzwerkaufzeichnungen von Amazon Web Services für die bestätigte Aktivität der Angreifer am 30. und 31. August. Laut Avelogic waren zentrale sensible Datenfelder in SmartHRMS zudem auf Anwendungsebene verschlüsselt. Diese Befunde sind jedoch kein Nachweis dafür, dass überhaupt keine Informationen eingesehen oder entwendet wurden.7

Was wurde verschlüsselt – und läuft SmartHRMS wieder?

Nach Avelogics Vorfallmeldung verschlüsselten die Angreifer die Datenbanken und angeschlossenen Sicherungskopien. Das störte den Zugriff auf das System. Diese Verschlüsselung durch die Angreifer ist von der Schutzverschlüsselung sensibler Datenfelder zu unterscheiden. MUIS teilte später mit, Avelogic habe die betroffenen Daten wiederhergestellt. Daraus folgt aber nicht automatisch, dass Kunden wieder Zugriff auf ein vollständig funktionierendes SmartHRMS hatten.2073

Frühere Berichte nannten den 18. September als angestrebten Termin für die Wiederaufnahme des Betriebs. Ob das System an diesem Tag tatsächlich wieder verfügbar war, belegen die vorliegenden Angaben nicht. Laut MUIS liefen Untersuchungen und Sicherheitsprüfungen weiter.1016

Was ist zum Stand der Ermittlungen bekannt?

MUIS zufolge wurde Anzeige bei der Polizei erstattet und kein Lösegeld gezahlt. Avelogic untersuchte den Vorfall und seine weiteren Auswirkungen weiterhin. In seiner Vorfallmeldung führte das Unternehmen außerdem eine Meldung bei Singapurs Datenschutzbehörde, der Personal Data Protection Commission (PDPC), auf. Ein Ergebnis der polizeilichen Ermittlungen oder der Stand beziehungsweise Befunde einer möglichen gesonderten PDPC-Untersuchung gehen aus den vorliegenden Angaben nicht hervor.320