Sicherheitslücke: Mailserver des US-Militärs war ungeschützt im Netz
Ein Mailserver des US-Verteidigungsministeriums ist über zwei Wochen ungeschützt über das Internet zu erreichen gewesen. Dabei konnten interne Mails des US-Militärs eingesehen werden.
Der Mailserver wird vom U.S. Special Operations Command (USsocom) genutzt und ist Teil des internen Mailbox-Systems, in dem etwa 3 TByte interner militärischer E-Mails gespeichert sind.
Er ist Teil eines Bereiches der Microsofts Azure-Cloud des Verteidigungsministeriums, der physisch von anderen kommerziellen Kunden getrennt betrieben wird. Er ist demnach für die Nutzung sensibler, aber nicht klassifizierter Regierungsdaten ausgelegt.
Dem Server fehlte jedoch jeglicher Passwortschutz – es reichte aus, die IP-Adresse des Servers zu kennen, um auf die internen Militär-E-Mails zuzugreifen. Wie es zu der Fehlkonfiguration kam, ist unbekannt.
Unter den öffentlich einsehbaren Informationen waren laut dem Onlinemagazin Techcrunch(öffnet im neuen Fenster) teils hochsensible Daten, beispielsweise ein vollständig ausgefüllter Antrag auf eine Sicherheitsfreigabe, mitsamt persönlicher und gesundheitlicher Daten des Antragstellers.
US-Militär untersucht den Vorfall
Entdeckt wurde der Server durch den Sicherheitsforscher Anurag Sen am vergangenen Wochenende, der seinen Fund mit dem Onlinemagazin teilte. Das Onlinemagazin informierte daraufhin am Sonntagmorgen das US-Verteidigungsministerium, welches den Server jedoch erst am Montagnachmittag sicherte.
Gleichzeitig leitete das US-Verteidigungsministerium eine Untersuchung des Vorfalls ein. "Wir können zum jetzigen Zeitpunkt bestätigen, dass niemand die Informationssysteme des U.S. Special Operations Command gehackt hat," erklärte der Sprecher des USsocom, Ken McGraw, dem Onlinemagazin.
Laut der Suchmaschine Shodan leakte der Server die E-Mails seit dem 8. Februar. Ob der ungeschützte Mailserver in dieser Zeit auch von weiteren Akteuren entdeckt wurde und interne E-Mails abgegriffen wurden, ist nicht bekannt. Eine diesbezüglich gestellte Nachfrage von Techcrunch wurde nicht beantwortet.