Dat schwaacht Glidd ass Äre Prestataire

Firwat kann e Prestataire e ganzt Gebai zu Fall bréngen?

E Gebai verwalt sech net vun eleng. De Syndic stäipt sech op en Heizungsinstallateur, eng Liftfirma, en Diagnostiqueur, e Softwarehiersteller, en IT-Prestataire, eng Plattform fir d’Kasséieren. Jiddereen huet e Schlëssel an der Hand: en Zougang zu engem Portal, e Kont op engem gedeelten Tool, eng Datebank mat den Nimm vun de Copropriétairen, heiansdo de Code vun der Dier. Wann ee vun hinne kompromettéiert gëtt, dréit d’Gebai d’Konsequenzen, ouni datt et selwer viséiert war.

Déi véier Fäll, déi elo kommen, si mat primäre Quellen oder Quelle vum éischte Rang dokumentéiert: e parlamentaresche Rapport, Depoten bei der Bourseopsiicht, Geriichtsentscheedungen, Avise vun Autoritéiten, d’Erklärung vun engem Affer. Net all dës Fäll betreffen e Gebai; si weisen awer dee selwechte Mechanismus.

Target a Fazio: de Kont vum Heizungsinstallateur mécht d’Netzwierk vum Geschäft op (2013)

Fazio Mechanical Services, zu Sharpsburg a Pennsylvania, ënnerhält Heizungs- a Killanlagen; d’Geschäftsketten Target ass ee vu senge Clienten. Laut dem Rapport vun der Handelskommissioun vum Senat vun de Vereenegte Staate vum 26. Mäerz 2014 huet den Ugräifer op d’mannst zwee Méint virum Déifstall vun de Kaartendonnéeë Phishing-Mailen u Fazio geschéckt. De Brian Krebs präziséiert, datt déi verdächtegt béisaarteg Software Citadel ass, ouni Confirmatioun, an datt de Prestataire sech mat der gratis Versioun vu Malwarebytes geschützt huet, där hir Lizenz d’Notzung a Betriber verbitt.

Déi geklaute Zougangsdonnéeën hunn de Fournisseursportal vun Target opgemaach, Ariba laut Krebs. Fazio huet präziséiert, datt seng Verbindung ausschliisslech fir d’elektronesch Facturatioun, d’Deposéiere vu Kontrakter an de Projetsmanagement gedéngt huet: den Heizungsinstallateur huet näischt op Distanz gesteiert. En Zougang, dee virgesi war, fir Rechnungen ze schécken, huet als Agangspunkt gedéngt, well et keng Zwee-Faktor-Authentifikatioun a keng Trennung tëscht dem Fournisseursportal an de Keese gouf; de genaue Wee vum Portal bis bei d’Keese bleift onbekannt. D’New York Times, vum Senat iwwerholl, datéiert déi éischt Intrusioun op den 12. November 2013, de Krebs op de 15. November; d’Kaartendonnéeë gi vum 27. November bis de 15. Dezember gesammelt an duerno ouni Verschlësselung, iwwer FTP, op extern Servere geschéckt, dorënner een a Russland.

D’Detektiounstools vun Target haten reagéiert: Alerte vu Symantec ëm den 28. November, vu FireEye den 30. November, den 2. an den 3. Dezember. Keng dovun huet eng Reaktioun ausgeléist. Bilan: ongeféier 40 Millioune Bankkaarten, 70 Millioune Clientsdatesätz, déi Target den 10. Januar 2014 ugekënnegt huet. De Generaldirekter, de Gregg Steinhafel, verléisst d’Entreprise de 5. Mee 2014 (Depot bei der SEC). Den 23. Mee 2017 schléisst Target e Verglach iwwer 18,5 Millioune Dollar mat 46 Bundesstaaten an dem District of Columbia of, verbonne mat engem Sécherheetsprogramm: Trennung vum Ëmfeld vun de Kaartendonnéeën, regelméisseg Ännerung vun de Passwierder, en zweete Faktor op bestëmmte Konten. Keng referenzéiert Schwachstell ass mat dësem Fall verbonnen: d’Quelle beschreiwen e mënschlecht an organisatorescht Glidd.

RealPage: eng E-Mail am Numm vu Stripe leet zéng Millioune Dollar u Loyeren ëm (2018)

RealPage, eng amerikanesch Entreprise fir Immobilientechnologie, kaaft 2017 eng Gesellschaft op, déi d’Loyere fir d’Eegentemer iwwer d’Bezuelplattform Stripe kasséiert. Am Abrëll 2018 kritt en Employé eng E-Mail, déi Stripe imitéiert, klickt drop a gëtt seng Zougangsdonnéeën an. Laut dem Urteel vun der Cour d’appel vum fënnefte Circuit vum 22. Dezember 2021 hunn dës Zougangsdonnéeën Zougrëff op d’Bezuelungsinstruktioune ginn, déi u Stripe iwwermëttelt goufen. D’Verbriecher hunn se geännert, a Stripe huet méi wéi zéng Millioune Dollar op aner Konten iwwerwisen. Den Incident, deen am Mee 2018 entdeckt gouf, steet am Quartalsbericht, dee bei der SEC agereecht gouf; HousingWire huet en am Januar 2020 gemellt.

En Iwwerweisungsbedruch also: wien de Kont an der Hand huet, ännert d’Destinatioun vum Geld. D’Urteel vum Bundesgeriicht vum nërdlechen Distrikt vun Texas vum 5. September 2024 detailléiert d’Beträg: ongeféier 9 Millioune Dollar u Loyeren, déi den Eegentemer zoustoungen, an 1 Millioun un Transaktiounsfraisen; 4,5 Milliounen, déi séier zréckgeholl goufen; 2 908 130,53 Dollar, déi de Staat zréckginn huet, nodeems en se zivilrechtlech beschlagnaamt hat; 1 231 692,78 Dollar, déi d’Versécherung bezuelt huet; en Nettoverloscht vun ongeféier 6 Milliounen. D’Geld war iwwer 88 Konte vu sougenannte Mules an 42 Banke gelaf. RealPage huet direkt seng Banken an den US Secret Service informéiert, wat et erlaabt huet, 2,9 Milliounen anzefréieren, an huet senge Clienten de vollen Betrag zréckerstatt.

D’Geriichter hunn duerno geuerteelt, datt d’Versécherungspolice géint Bedruch d’Gelder vun de Clienten net ofgedeckt huet, well RealPage se net „gehalen“ huet: si sinn iwwer e Kont vum Bezuelprestataire gelaf. Nëmmen d’Transaktiounsfraisen, ongeféier eng Millioun, goufen ofgedeckt. D’Geld vun den Eegentemer war genee an deem Moment am meeschten exposéiert, wou d’Versécherung vu RealPage et net ofgedeckt huet.

CTS a Simplify: den IT-Prestataire fält aus, achtzeg Etudë bleiwe stoen (2021 an 2023)

Am Vereenegte Kinnekräich leeft de Verkaf vun enger Wunneng iwwer spezialiséiert Etuden, d’Conveyancers, déi um Dag vun der Ënnerschrëft d’Gelder an d’Akten austauschen. E Mëttwoch, den 22. November 2023, verléieren d’Cliente vum IT-Prestataire CTS den Zougang zu hiren Dossieren, laut TechCrunch. E Freideg, de 24., schwätzt CTS vun engem „Cyber-Incident“, mandatéiert eng Firma fir digital Forensik an erkläert, si kéint keen Zäitplang ginn, bericht The Record. Ongeféier 80 Etudë si betraff. Keefer kënnen net um virgesinnen Dag ënnerschreiwen, bezuelen Hotel a Miwwellager, gesinn hir Kreditoffer oflafen; d’Press zitéiert eng Keeferin, där hiren Austausch vun de Kontrakter fir den 22. November virgesi war an där hir Offer bis den 30. gülteg war. Eng Etude, O’Neill Patient, iwwerhëlt déi direkt Käschte vun hire Clienten. Enn Dezember ware méi wéi 90 % vun de Clienten laut der Fachpress (Today’s Conveyancer, 21. Dezember 2023) operationell oder an der leschter Testphas: ongeféier een op zéng war et net, ee Mount duerno.

D’Ursaach gouf vu CTS net confirméiert. E Professionellen, den Ian Towner, huet d’Hypothees vun engem exposéierte Citrix-NetScaler-Gateway opgestallt, geierft vu Sprout IT, engem IT-Prestataire, dee 2020 mat CTS fusionéiert gouf, a vun der Schwachstell, déi CitrixBleed genannt gëtt, CVE-2023-4966. D’Schwachstell selwer ass etabléiert: de gemeinsamen Avis vun der CISA, dem FBI, dem MS-ISAC an dem ACSC vum 21. November 2023 beschreift en Déifstall vu Sessiouns-Tokens op NetScaler-Gateways, deen et erlaabt, d’Passwuert an d’Multifaktor-Authentifikatioun z’ëmgoen, ausgenotzt zënter August 2023, ënner anerem vun Affiliéierte vu LockBit 3.0 géint Boeing. Den Avis recommandéiert, sou e Gateway bannent 24 bis 48 Stonnen no der Publikatioun vun enger Schwachstell ze patchen.

Zwee Joer virdrun, de 7. November 2021, hat d’Simplify Group, déi als gréisste Conveyancer vum Land presentéiert gëtt, en Ugrëff erlidden, deem säi Vecteur net publizéiert gouf. Hire Joresofschloss beziffert d’Käschten op ongeféier 7 Millioune Pond, 6,8 Milliounen no der Lecture vun The Negotiator, mat ongeféier zéng Woche reduzéierter Aktivitéit.

Snexi an d’ChimeraZ-Well: d’Donnéeë vum Gestionnaire bei sengem Prestataire fir États des lieux (2026)

Dëse rezente Fall liest sech mat enger Virsiicht: en Deel ass nëmmen duerch d’Behaaptunge vun engem Hacker bekannt. Vum 9. Juni 2026 un bitt en Acteur mam Numm ChimeraZ Datebanken zum Verkaf un, déi hie Leboncoin Immobilier, Propriétés Privées, Capifrance an dunn, de 24. Juni, dem Grupp Digit RE zouschreift, mat Volume vu méi Milliounen Zeilen, déi ZATAZ schonn den 9. Juni an duerno spezialiséiert Sitten opgegraff hunn. Dës Volume sinn déi vum Hacker. Datt Digit RE en onerlaabten Zougrëff confirméiert huet, gouf vun engem spezialiséierte Site gemellt, ouni datt en offiziellt Communiqué fonnt gouf.

Deen etabléierten Deel betrëfft Snexi, eng Entreprise aus Tours, déi op États des lieux an Diagnosen spezialiséiert ass, aus dem Grupp Arche. Den 2. September 2026 attackéiert, huet si de 7. September schrëftlech confirméiert, datt déi publizéiert Echantillonen aus hirem Incident stamen; La Nouvelle République huet hir Matdeelung den 8. September publizéiert. Déi potenziell kompromettéiert Donnéeë sinn, laut der Entreprise, Nimm, Virnimm, E-Mail- a Postadressen an Telefonsnummeren; Snexi gëtt un, keng finanziell, Bank- oder sensibel Donnéeën ze hunn. Si huet d’CNIL informéiert an eng speziell Kontaktadress opgemaach. Den 11. September behaapt den Hacker, 2 249 970 Zeilen, 1 139 584 Persounen, 1 833 Agencen an 49 899 „Digicoden“ ze hunn, vun deenen ongeféier 90 % mam Reseau Citya Immobilier verbonne wieren. Dëse Lien ass net confirméiert, an näischt weist drop hin, datt d’Systemer vu Citya kompromettéiert goufen: d’Donnéeë komme wahrscheinlech aus dem Tool vum Prestataire.

Firwat steet dëse Fall trotz dëse Reserven hei? Well de Mechanismus dee selwechten ass, dee e lëtzebuergesche Syndic bedreet. E Prestataire fir États des lieux brauch d’Adress, den Numm vum Locataire, e Rendez-vous an, dacks, de Code vun der Dier. Wann e kompromettéiert gëtt, ass de Syndic net attackéiert ginn, mee seng Copropriétairë kënne geziilt E-Maile kréien, déi am Numm vun hirem Gestionnaire geschriwwe sinn, an e Code, dee mat enger genauer Adress verbonnen ass, kann bei Onbekannte landen. En Digicode an enger Datebank ass e Schlëssel.

Wat e Gebai oder eng Copropriété zu Lëtzebuerg doraus léiere kann

Dës Gesten hu mam Kontrakt, mat der Prozedur a mat der Gouvernance ze dinn, net mat der Technik.

• D’Lëscht vun de Prestatairen aktuell halen, déi en Zougang hunn. Heizungsinstallateur, Liftfirma, Alarminstallateur, Hiersteller vum Portal, Plattform fir États des lieux, externe Comptabel: wien op wat zougräift, op wéi ee Wee, zënter wéini. D’Lëscht gëtt bei all Kontraktännerung, no enger Reprise oder enger Fusioun iwwerpréift, an den Zougang gëtt um Enn vun der Leeschtung zréckgezunn. Bei Target huet e Facturatiounskont als Agangspunkt gedéngt.
• Trennen. De Portal, op deem e Fournisseur seng Rechnungen deposéiert, brauch weder d’Comptabilitéit vun der Copropriété nach déi technesch Supervisioun nach d’Zougangskontroll ze gesinn. De Verglach vun 2017 huet et Target imposéiert.
• En zweete Faktor op all Zougang op Distanz, a séier Patches. De gemeinsamen Avis iwwer CitrixBleed erënnert drun, datt e Gateway fir den Zougang op Distanz, dat net gepatcht ass, et erlaabe kann, dësen zweete Faktor z’ëmgoen; dat ass d’Hypothees, déi fir CTS opgestallt gouf, ouni Confirmatioun. Den IT-Prestataire froen, wien d’Patches vun den Apparater, déi aus dem Internet erreechbar sinn, verfollegt a bannent wéi enger Frist; dee selwechten Avis schwätzt vu 24 bis 48 Stonnen. Déi selwecht Fro fir d’Apparater, déi am Gebai installéiert sinn: wien se aktualiséiert, wien hir Standard-Zougangsdonnéeë geännert huet.
• D’Sécherheet an de Kontrakt schreiwen. Den Artikel 28 vun der DSGVO verlaangt, datt Sous-traitanten, déi perséinlech Donnéeë veraarbechten, iwwer e Kontrakt encadréiert ginn. An hirem Dossier iwwer d’Videoiwwerwaachung an der Copropriété erënnert d’CNPD drun, datt de Syndicat vun de Copropriétairen de Responsabel vun der Veraarbechtung ass an datt de Syndic als Sous-traitant handelt; d’Prestatairen, déi de Syndic intervenéiere léisst, ginn op déi selwecht Manéier encadréiert: Donnéeën, déi se kréien, Späicherdauer, Schutz, Frist a Kanal fir d’Alarméierung bei engem Incident. E Code, deen e kompromettéierte Prestataire huet, gëtt geännert.
• Eng Iwwerweisungsprozedur, déi net vun enger E-Mail ofhänkt. Bei RealPage huet et duergaang, Bezuelungsinstruktiounen ze änneren. Fir eng Copropriété: Validatioun no dem Véier-Aen-Prinzip iwwer enger bestëmmter Schwell, Verifikatioun vun all Ännerung vun der Bankverbindung iwwer en onofhängege Kanal, Plafonden op de Sammelkonten. A seng Versécherung liesen, ier de Schued do ass: RealPage huet eréischt hannendrun festgestallt, datt d’Gelder vu senge Clienten, déi bei engem Drëtten ënnerwee waren, net ofgedeckt waren.
• D’Kontinuitéit ouni de Prestataire virgesinn. D’Cliente vu CTS hu wochelaang den Zougang zu hiren Dossiere verluer. Wou sinn d’Dossiere vun der Copropriété gehost, gëtt et eng Kopie dovun, déi vum Hosting-Ubidder onofhängeg ass, wat mécht een, wann den Tool ee Mount laang stoe bleift, a wien dréit d’Käschte vun de Privatleit, wann en Termin platzt?
• D’Alerte liesen. Target hat Tools, déi d’Intrusioun entdeckt hunn; kee Mënsch huet dorop reagéiert. Eng Alert, déi kee liest, schützt net.
• Séier informéieren, iwwer e sécheren Kanal. RealPage huet Banken an Autoritéiten direkt alarméiert an huet bal 3 Millioune Dollar afréiere kënnen. Zu Lëtzebuerg gëtt eng Verletzung vum Schutz vu perséinlechen Donnéeë bannent de 72 Stonne vum Artikel 33 vun der DSGVO bei der CNPD gemellt, an den CIRCL, den nationalen Zenter fir d’Reaktioun op Incidenten, kann ugefrot ginn. Den Artikel 34 vun der DSGVO verlaangt, déi betraffe Persounen ouni ongerechtfäerdegt Verspéidung ze informéieren: et ass besser, d’Copropriétairen erfueren et vun hirem Syndic wéi aus enger gefälschter E-Mail.
• Dat Confirméiert vun deem ënnerscheeden, wat nëmme behaapt gëtt. An der ChimeraZ-Well ass nëmmen d’Erklärung vu Snexi etabléiert; d’Volumen an de Lien mat Citya sinn déi vum Hacker. E Gerücht un d’Copropriétairë weiderginn, setzt dem Incident nach e Schued dobäi.

Dat, wat all dës Fäll verbënnt, passt an ee Saz: d’Verantwortung verléisst deen net, deen den Zougang oder d’Donnéeën uvertraut huet, och wann et de Sous-traitant ass, deen se verluer huet. E Syndic kann eng Leeschtung delegéieren, net d’Verantwortung fir dat, wat de Copropriétairë geschitt.

Quellen

• Senat vun de Vereenegte Staaten, Handelskommissioun, Auditioun a Rapport „Kill Chain“, 26. Mäerz 2014: govinfo.gov.
• Krebs on Security, 5. Februar 2014: krebsonsecurity.com; 12. Februar 2014: krebsonsecurity.com.
• Target, Formulaire 8-K, SEC, 5. Mee 2014: sec.gov.
• Attorney General vum District of Columbia, 23. Mee 2017: oag.dc.gov.
• RealPage, Formulaire 10-Q, éischt Trimester 2018: sec.gov.
• HousingWire, 27. Januar 2020: housingwire.com.
• Cour d’appel vum fënnefte Circuit, RealPage géint National Union, 22. Dezember 2021: caselaw.findlaw.com.
• Bundesgeriicht vum nërdlechen Distrikt vun Texas, 5. September 2024: govinfo.gov.
• The Record, 24. November 2023: therecord.media.
• TechCrunch, 27. November 2023: techcrunch.com.
• CISA, FBI, MS-ISAC an ACSC, Avis AA23-325A, 21. November 2023: cisa.gov.
• Today’s Conveyancer, 21. Dezember 2023 (ouni Link).
• The Negotiator, 10. Mee 2023: thenegotiator.co.uk.
• ZATAZ, 9. Juni 2026: zataz.com.
• La Nouvelle République, Tours, 8. September 2026, Artikel vum Alexandre Métivier, deen d’Matdeelung vu Snexi iwwerhëlt (ouni Link).
• CNPD, themateschen Dossier „Vidéosurveillance en copropriété“: cnpd.public.lu.