Welle gleichzeitiger Cyberangriffe auf Japan: Bei unbefugten Zugriffen wurde das KI-Tool „ARTEX“ nachgewiesen, zudem wurden sechs Angriffsserver entdeckt

Das GMO-Zentrum zur Bekämpfung von Cyberkriminalität, das zur GMO Internet Group gehört, gab am 19. Oktober bekannt, dass bei einer Reihe unbefugter Zugriffe auf japanische Unternehmen das in China entwickelte KI-Tool „ARTEX“ (Artex) eingesetzt worden sei.

Außerdem seien sechs weitere KI-gestützte Angriffsserver entdeckt worden, die ebenfalls japanische Unternehmen ins Visier nähmen. Regierungssprecher Minoru Kihara erklärte am 20. Oktober auf einer Pressekonferenz, die Regierung wolle die tatsächlichen Hintergründe der Angreifer aufklären – auch mit Blick auf eine mögliche Beteiligung ausländischer Akteure.

Eine Zeit, in der KI die Vorbereitungen für Angriffe übernimmt

ARTEX ist ein autonomes KI-Tool für Penetrationstests. Dabei werden Schwachstellen eines Systems gesucht und praktische Einbruchsversuche unternommen. Ursprünglich ist dies ein Verfahren, mit dem die Verteidiger die Sicherheit ihrer eigenen Systeme überprüfen.

ARTEX ist mit großen Sprachmodellen (LLMs) verknüpft und kann so die Suche nach Schwachstellen und Einbruchsversuche automatisieren. Das Tool war zunächst als Open-Source-Software verfügbar. Nachdem über seinen Missbrauch für Angriffe berichtet worden war, nahm der Entwickler es jedoch aus dem Netz.

Ein Werkzeug für Sicherheitsprüfungen kann ebenso als Angriffswerkzeug dienen – ähnlich wie ein Küchenmesser sowohl zum Kochen als auch als Waffe verwendet werden kann. Der Unterschied besteht darin, dass KI dem Menschen Arbeit abnimmt und ein einzelner Angreifer dadurch möglicherweise mehr Ziele bearbeiten kann.

Die Untersuchung zeigt, wie gezielt die Angriffe waren

Bei einer früheren Untersuchung hatte das GMO-Zentrum zur Bekämpfung von Cyberkriminalität anhand der Analyse forensischer Protokolle – also von Daten, die Spuren eines Eindringens festhalten – auf einen wahrscheinlichen Einsatz von KI hingewiesen. Die nun erfolgte Untersuchung der Angriffs-Infrastruktur bestätigte den Einsatz von ARTEX und stützt damit diese Einschätzung.

Bei einer der untersuchten Angriffs-Infrastrukturen waren rund 20 japanische Unternehmen im Visier, darunter neun Websites aus derselben Branche. Soweit beobachtbar, konzentrierten sich die Angriffe fast ausschließlich auf japanische Unternehmen. Die sechs zusätzlich entdeckten Infrastrukturen hatten jeweils bestimmte Branchen als Hauptziele: digitale Geschenke sowie Einzelhandel und Vertrieb, Bildung, Geschenke und Druck, Treuepunkte und Marketing, Versicherungen und Finanzen sowie E-Commerce, Medien und Logistik.

Acht der japanischen Unternehmen, die als Ziele bestätigt wurden, meldeten zwischen September und Oktober Datenlecks. Die Ermittler gehen davon aus, dass dieselbe Angreifergruppe an mehreren Vorfällen beteiligt war, und übermittelten die gewonnenen Informationen an die Strafverfolgungsbehörden.

Auch aus dem Ausland werden ähnliche Aktivitäten gemeldet. Das US-Unternehmen CrowdStrike berichtete, dass ARTEX bei einem Angriff auf ein südkoreanisches Finanzinstitut eingesetzt worden sei. Auf Servern der Angreifer seien eine ARTEX-Konfigurationsdatei und der Sitzungsverlauf des KI-Entwicklungstools „Claude Code“ gefunden worden. Das GMO-Zentrum zur Bekämpfung von Cyberkriminalität vermutet, dass dieselbe Vorgehensweise auch bei Angriffen auf japanische Unternehmen zum Einsatz kam.

Wie die vielen Meldungen über Datenlecks einzuordnen sind

In Japan gibt es nahezu täglich Meldungen über den Verlust personenbezogener Daten. Zu den jüngsten Fällen gehören ein möglicher Abfluss von Daten zu 730 Personen aus dem Bereich Programmwerbung von Fuji TV infolge eines unbefugten Zugriffs sowie ein Datenleck bei Furusato Choice, bei dem 4,45 Millionen personenbezogene Datensätze betroffen waren. Berichten zufolge waren in beiden Fällen unbefugte Zugriffe die Ursache.

Ein weiterer Aspekt ist die Einordnung der Fallzahlen. Zwischen 730 und 4,45 Millionen liegt ein enormer Unterschied, doch die Schwere eines Schadens bemisst sich nicht allein an der Zahl der Betroffenen.

Je nach Art der Informationen – etwa Namen, Adressen oder E-Mail-Adressen – unterscheiden sich die Risiken für Folgeschäden wie Identitätsmissbrauch oder betrügerische Kontaktaufnahme. In den Berichten wird als erste Maßnahme bei einem Verlust personenbezogener Daten auch der Wechsel des Passworts empfohlen. Nutzerinnen und Nutzer sollten mit einfachen Schutzmaßnahmen beginnen, etwa damit, Passwörter nicht mehrfach zu verwenden.

Entscheidend ist nicht erst, was nach einem Angriff geschieht, sondern wie schnell er bemerkt wird

Die Regierung erklärte, sie sammle nicht nur Informationen bei den zuständigen Ministerien, sondern führe auch direkte Gespräche mit den betroffenen Unternehmen. Zu den Einzelheiten des Vorfalls könne sie sich derzeit jedoch noch nicht verlässlich äußern. Die Aufklärung der Angreifer stehe also noch bevor.

Auch aus Wirtschaft und Politik kommen nun Initiativen. Die Liberaldemokratische Partei Japans (LDP) stellte am 20. Oktober einen Vorschlagsentwurf fertig, in dem sie die Regierung zu verstärkten Maßnahmen gegen Cyberangriffe auf Unternehmen auffordert. Vorgesehen ist unter anderem ein „Beobachtungsnetzwerk für Lieferketten“, das mithilfe von KI Anomalien frühzeitig erkennen soll. Ziel ist es, kleine und mittlere Unternehmen zu schützen, denen es an Fachkräften mangelt. Der Vorschlag soll demnächst formell beschlossen und der Regierung übergeben werden. Diese will darauf aufbauend neue Maßnahmen prüfen.

Wenn die Angreifer ihre Aktivitäten mit KI automatisieren, kann die Verteidigungsseite allein mit menschlichen Arbeitskräften nicht mithalten. Der Vorschlagsentwurf setzt auf frühzeitige Erkennung durch KI – ein Zeichen für die wachsende Besorgnis. Bei Angriffen auf Lieferketten, bei denen sich Schäden über Geschäftspartner hinweg ausbreiten, ist ein System hilfreich, das Auffälligkeiten bei mehreren Unternehmen gleichzeitig erfasst, statt darauf zu warten, dass ein einzelnes Unternehmen den Angriff bemerkt.

Cyberangriffe vollständig zu verhindern, wird immer schwieriger. Umso entscheidender für den künftigen Schutz personenbezogener Daten dürfte sein, wie stark Unternehmen und Regierung jeweils die Zeit bis zur Entdeckung eines Eindringens und die ersten Maßnahmen danach verkürzen können.