Alle folgenden Fälle wurden unter NDA anonymisiert. Zahlen, Branche und Angriffsvektor sind echt — der Kundenname nicht.
Ein Admin-Endpunkt lag durch eine Fehlkonfiguration des API-Gateways offen. Zusammen mit IDOR in den Überweisungsrouten erlaubte das den Zugriff auf jedes Konto. Gefunden an Tag 2 des Engagements.
Der Staging-Bucket replizierte Produktionsdaten ohne Verschlüsselung und ohne Zugriffskontrolle. Behoben vor dem externen ISO-Audit.
Red-Team-Engagement mit Phishing als Ausgangspunkt. Von einer Engineering-Workstation ins OT-Netz über ein VPN mit Standardzugangsdaten. Behoben mit Segmentierung, Jump Host und MFA.
Reflektiertes XSS auf der Suchseite in Verbindung mit einer zu großzügigen Cookie-Richtlinie ermöglichte den Diebstahl der Admin-Sitzung. Gefunden in einem regulären Pentest.
Den Namen eines Kunden neben der Lücke zu veröffentlichen, die er hatte, setzt ihn zweimal aus: einmal im Vorfall und einmal für immer. Vektor und Wirkung zu beschreiben lehrt etwas; das Opfer zu benennen ist bloß Schaufenster — und es verzerrt den Anreiz, denn wer die Veröffentlichung freigibt, ist dann das Unternehmen mit dem geringsten Verlustrisiko.
Andere Branchen, andere Architekturen — und doch ähneln sich die Wege, die funktionieren. Diese kommen am häufigsten vor, und ein Blick darauf lohnt sich, bevor irgendein Test beauftragt wird.
Testumgebung mit Produktionskopie, ein altes Verwaltungspanel, ein für eine Vorführung gestarteter und nie abgeschalteter Dienst. Meist fehlt sie im Inventar und steht deshalb außerhalb jeder Schutzmaßnahme, die für alles andere gilt.
Das System prüft, ob Sie angemeldet sind, aber nicht, ob der Datensatz Ihnen gehört. Diese Lücke übersieht automatisiertes Werkzeug am häufigsten, weil die Anfrage völlig legitim aussieht.
Weitreichender Zugriff, erteilt, um eine Auslieferung freizumachen, mit dem Versprechen, ihn später zu straffen. Monate später ist er noch da — inzwischen vererbt an Leute, die nie wussten, dass sie ihn haben.
Ein Schlüssel in einer exponierten Umgebungsvariable, Zugangsdaten in der Repository-Historie, ein Token in einer versionierten Konfigurationsdatei. Der kürzeste Weg hinein und der am leichtesten zu schließende.
Zwei Anwendungen, die sich über Netzposition oder ein geteiltes Geheimnis authentifizieren. Die schlechter geschützte zu kompromittieren liefert die besser geschützte gleich mit, und die Segmentierung, die das auffangen sollte, wurde selten geprüft.
Das Ereignis wurde protokolliert, der Alarm ausgelöst — und landete in einer Warteschlange, die niemand liest. Technisch erkannt, praktisch unsichtbar: Der Unterschied zeigt sich erst in einer unangekündigten Übung.
Weil die Freigabe zur Veröffentlichung von denen käme, die am wenigsten zu verlieren haben, nicht von denen mit dem lehrreichsten Fall. Alles Material ist unter Vertraulichkeitsvereinbarung anonymisiert, und der technische Vektor — der nützliche Teil — bleibt erhalten.
Ja, mit Freigabe der Beteiligten. Für die meisten Prozesse entscheidet allerdings das Abschlussschreiben aus Ihrem eigenen Auftrag, ausgestellt nach dem Nachtest: Das ist unmittelbarer Nachweis statt der Einschätzung eines Dritten zu fremder Arbeit.
Nein. Der Weg hängt von Architektur, Integrationen und Entscheidungen ab, die erst in Ihrer Umgebung sichtbar werden. Die Fälle zeigen, was üblicherweise gefunden wird, kein Drehbuch, das sich wiederholt.
Niemals. Nichts wird öffentlicher Text, bevor die Behebung abgeschlossen und im Nachtest bestätigt ist, und auch dann nur mit Freigabe. Dasselbe Kriterium gilt für eigene Forschung und steht in der Richtlinie zur verantwortungsvollen Offenlegung.