Zusammenfassung
- Blackbauds Ransomware-Vorfall von 2020 wurde zu einem Test für die Cloud-Verantwortlichkeit, weil sich die öffentliche Aufzeichnung von einer kurzen Kundenbenachrichtigung zu SEC-, FTC-, Staatsanwalts-, Kunden- und öffentlichen Berichten über kopierte Dateien, sensible Felder, Benachrichtigungszeitpunkt und Aufbewahrung entwickelte.
- Wer hatte die praktische Kontrolle über die Datenverwahrung von Mandanten, Exfiltrationsnachweise, Lösegeldzahlungskommunikation, Zeitpunkt der Kundenbenachrichtigung, Zusammenarbeit mit Aufsichtsbehörden und den Nachweis, dass die Mitglieder von Non-Profit-Organisationen nicht zu einer unsichtbaren Kosten der Cloud-Konzentration wurden?
- Das Verantwortlichkeitsproblem besteht nicht nur darin, dass ein Angreifer Daten kopiert hat. Sondern dass auftragsgebundene Institutionen sich auf die Untersuchung des Anbieters, das Dateninventar, Löschungsbehauptungen und Offenlegungskontrollen verlassen mussten, bevor sie Spender, Alumni, Studenten, Patienten und Unterstützer benachrichtigen konnten.
- Bestätigte Fakten umfassen Blackbauds späteres Formular 8-K unterhttps://investor.blackbaud.com/static-files/58a4ae64-afc5-45f7-81df-69dfc93888fc, die SEC-Verfügung unterhttps://www.sec.gov/files/litigation/admin/2023/33-11165.pdf, die SEC-Pressemitteilung unterhttps://www.sec.gov/newsroom/press-releases/2023-48, die FTC-Mitteilung unterhttps://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-order-will-require-blackbaud-delete-unnecessary-data-boost-safeguards-settle-charges-its-laxund Blackbauds Ankündigung des Vergleichs mehrerer Bundesstaaten unterhttps://www.blackbaud.com/newsroom/article/blackbaud-resolves-multi-state-attorneys-general-investigation-of-2020-security-incident.
- Gestützte Schlussfolgerungen müssen begrenzt bleiben: Non-Profit-Kunden konnten die exfiltrierten Dateiinhalte, die Löschung durch den Angreifer oder den Umfang sensibler Felder nicht unabhängig validieren, ohne Blackbauds Beweise, aber die öffentliche Aufzeichnung legt nicht jedes forensische Artefakt, jeden kundenspezifischen Datensatz oder jedes Bereinigungsobjekt offen.
Warum dieser Fall in eine Risiko- und Verantwortlichkeitsakte gehört
Blackbaud gehört in eine Risiko- und Verantwortlichkeitsakte, weil der sichtbare Kunde selten die letzte exponierte Person war. Eine Universität, Krankenhausstiftung, Lebensmittelbank, Kinderschutzorganisation, religiöse Organisation, Schule, Museum, Forschungsstiftung oder öffentliche Non-Profit-Organisation könnte Blackbaud-Software gekauft haben. Die Datensätze in diesen Systemen gehörten Spendern, Alumni, Patienten, Kampagnenfreiwilligen, Studenten, Veranstaltungsteilnehmern, Begünstigten, Treuhändern, Mitarbeitern und Unterstützern. Diese Personen haben möglicherweise nie einen Blackbaud-Anmeldebildschirm gesehen.
Sie wurden dem Anbieter durch eine Institution vorgestellt, der sie für eine Mission vertrauten, nicht durch ein gewöhnliches Verbraucherkonto.
Der primäre öffentliche Zeitverlauf ist ungewöhnlich lehrreich. Die SEC-Verfügung unter SEC source sagt, dass Blackbaud den unbefugten Zugriff am 14. Mai 2020 erkannte und dass die Untersuchung des Unternehmens darauf hindeutete, dass der Zugriff bereits im Februar 2020 begonnen haben könnte. Die Verfügung sagt, dass der Vorfall zu unbefugtem Zugriff und Exfiltration von über einer Million Dateien von über 13.000 Kunden führte. Blackbaud kündigte den Vorfall an und benachrichtigte die betroffenen Kunden am 16. Juli 2020.
Die SEC-Verfügung sagt dann, dass Mitarbeiter innerhalb von Tagen erfuhren, dass frühere Aussagen über Bankkontoinformationen und Sozialversicherungsnummern von Spendern für einige Kunden fehlerhaft waren, aber das Formular 10-Q vom 4. August 2020 offenbarte diesen größeren Umfang nicht und charakterisierte das Risiko als hypothetisch.
Blackbauds späteres Formular 8-K, verfügbar unter source: investor.blackbaud.com, änderte das öffentliche Risikobild. Es sagte, dass weitere forensische Untersuchungen ergaben, dass der Angreifer für einige benachrichtigte Kunden möglicherweise auf unverschlüsselte Felder zugegriffen hat, die für Bankkontoinformationen, Sozialversicherungsnummern, Benutzernamen und/oder Passwörter bestimmt waren. Das bedeutete nicht, dass jeder Kunde diese Felder offengelegt hatte. Es bedeutete, dass die ursprüngliche Benachrichtigungsarchitektur die volle Unsicherheit nicht tragen konnte und dass einige Kunden zusätzliche Unterstützung benötigten.
Die Verantwortlichkeitsfrage ist daher praktischer Natur. Wer hatte die praktische Kontrolle über die Datenverwahrung von Mandanten, Exfiltrationsnachweise, Lösegeldzahlungskommunikation, Benachrichtigungszeitpunkt, Zusammenarbeit mit Aufsichtsbehörden und den Nachweis, dass die Mitglieder von Non-Profit-Organisationen nicht zu einer unsichtbaren Kosten der Cloud-Konzentration wurden?
Die Antwort beginnt bei Blackbaud, weil Blackbaud die gehostete Umgebung, die Untersuchung, die ersten Kundenbenachrichtigungen, die Datenaufbewahrungshaltung, die dienstspezifischen Dateien und den Beweisfluss kontrollierte, den die nachgelagerten Institutionen benötigten, um ihre Gemeinschaften zu benachrichtigen.
Das löscht die Kundenverantwortung nicht aus. Kunden entscheiden, welche Daten sie sammeln, welche Felder sie verwenden, welche Anhänge sie hochladen, wie lange sie alte Aufzeichnungen aufbewahren und wie sie mit ihren Mitgliedern kommunizieren. Aber die Kundenverantwortung sitzt hinter einem Beweistor des Anbieters.
Wenn eine Non-Profit-Organisation nicht sehen kann, welche Blackbaud-Dateien kopiert wurden, nicht überprüfen kann, ob ein Feld verschlüsselt war, nicht die Kommunikation des Angreifers einsehen kann und die Datenlöschung nicht unbestätigt bestätigen kann, dann wird die Beweisdisziplin des Anbieters zur kontrollierenden Bedingung für die Verantwortlichkeit aller anderen.
Die Zeitlinie ist ein Fall von Offenlegungskontrollen, nicht nur ein Eindringungsfall
Die Zeitlinie ist wichtig, weil sie zeigt, dass die Verantwortlichkeit nicht endete, als der Angreifer vertrieben wurde. Sie verlagerte sich auf die Offenlegungskontrollen. Die SEC-Pressemitteilung unter SEC source sagt, dass Blackbaud einer zivilrechtlichen Strafe von 3 Millionen USD zustimmte, um Vorwürfe irreführender Offenlegungen beizulegen, ohne die SEC-Feststellungen zuzugeben oder zu bestreiten. Der wichtige Punkt für diese Akte ist nicht der Geldbetrag.
Es ist das von der SEC beschriebene Kontrollversagen: technische und kundenbezogene Mitarbeiter erlangten Informationen über sensible Daten, die nicht an das für die öffentliche Offenlegung verantwortliche obere Management weitergeleitet wurden, bevor die Einreichung im August 2020 erfolgte.