Hacker löscht europäische Regierungsdatenbank vollständig

Nach einer gescheiterten Erpressung löscht ein Hacker die gesamte Katasterdatenbank Rumäniens. Der Vorfall betrifft zehntausende Immobilientransaktionen.

Nach einem erfolglosen Erpressungsversuch hat ein Cyberkrimineller die vollständige Datenbank der rumänischen nationalen Agentur für Kataster und Immobilienwerbung (ANCPI) gelöscht. Der Angreifer verschaffte sich mutmaßlich mit gültigen Zugangsdaten Zugriff auf das System und entwendete interne Dokumente, Mitarbeiterdaten sowie die zentralen Grundbuchdaten, bevor er die Primärdaten auf den Servern zerstörte. Durch diesen massiven Datenverlust ist der gesamte Immobilienmarkt des Landes zum Erliegen gekommen, da landesweit keine Rechtsgeschäfte mit Immobilien mehr dokumentiert oder verifiziert werden können. In Rumänien werden jährlich durchschnittlich zwischen 150.000 und 170.000 Wohnbebauungen verkauft. Die Notarin Ana Stan äußerte sich konkret zu den unmittelbaren Auswirkungen auf die digitale Infrastruktur im Arbeitsalltag:

„Ich bin Notarin. Seit Dienstag kann ich keinen Grundbuchauszug ausstellen, keinen Verkauf beglaubigen und keine Hypothek eintragen.“

Ana Stan, Notarin

Wiederherstellung der Infrastruktur über Offline-Backups

Die Behörde ANCPI hatte den großflächigen Systemausfall auf ihrer offiziellen Webseite zunächst als gewöhnliche technische Probleme deklariert, musste jedoch kurz darauf den gezielten Cyberangriff einräumen. Aktuell baut die Behörde das gesamte behördliche Netzwerk von Grund auf neu auf. Nach Angaben der Regierungsbeamten verfügt die Institution über physisch vom Netz getrennte Offline-Sicherungskopien der gelöschten Datenbestände, die an mehreren redundanten Standorten aufgewahrt wurden. Diese Sicherheitsarchitektur ermöglicht die schrittweise Wiederherstellung der Systeme, obwohl der Angreifer im Darknet behauptete, auch den Kopiervorgang der Backups gestört zu haben.

Identifizierung des Angreifers durch Sicherheitsanalysten

Der Akteur operiert im digitalen Raum unter dem Pseudonym ByteToBreach. Das Cybersicherheitsunternehmen KELA hat die Infrastruktur des Angreifers analysiert und den mutmaßlichen Betreiber der Kampagne identifiziert. Es handelt sich demnach um eine Person namens Zakaria Mahdjoub mit Wohnsitz in Oran, Algerien. Dem Netzwerk des Angreifers werden neben dem aktuellen Vorfall in Rumänien auch frühere Einbrüche in das E-Government-Portal Schwedens sowie in staatliche Register in Osteuropa, einschließlich der Slowakei, der Ukraine, Polen und Litauen zugeschrieben.

(red)