Zusammenfassung

  • Sanjaya und Carlos Martinez dokumentierten drei Angriffe auf LACNIC-Adressraum am 9., 10. und 12. Juli 2025; sie dauerten ungefähr 20, 15 und fünf Minuten.
  • Mit gefälschtem Briefpapier und einer ähnlichen Domain erlangte der Angreifer Transit im Namen eines unbeteiligten kleinen ISP.

Die erste Spur war eine E-Mail, die ein Server angenommen hatte und die trotzdem nie ankam. LACNIC fand dahinter drei kurze BGP-Entführungen seines Adressraums: am 9. Juli 2025 um 19:47 Uhr, am 10. um 20:34 Uhr und am 12. um 10:13 Uhr, jeweils UTC−3. Zwanzig Minuten, fünfzehn, fünf. Für den Täter ein schnelles Gastspiel; für die Ermittler eine Reise durch mehrere Zuständigkeitsbereiche.

Sanjaya von APNIC und Carlos Martinez von LACNIC legten den Fall bei APNIC 61 vor. LACNIC wandte sich an APNIC, APNIC an das indonesische APJII/IDNIC. Der rechtmäßige Inhaber der betroffenen ASN, ein kleiner ISP, hatte keinen Transit bestellt. Jemand hatte Briefpapier in seinem Namen und eine täuschend ähnliche Domain benutzt, um bei einem multinationalen Transitprovider eine BGP-Sitzung zu erhalten. Die entführte AS diente als Durchgang; dahinter erschienen kurze Ankündigungen mit weiteren vorgetäuschten Ursprungs-ASNs.

Der gemeinsame Bericht bei LACNIC nennt den echten Inhaber ausdrücklich ein Opfer. Nach dessen Meldung beendete der Transitprovider die betrügerische Sitzung. APJII/IDNIC und der Inhaber teilten ihren Abschlussbericht mit beiden Registern; APNIC hielt den gemeinsamen Vortrag fest. Wie viel Verkehr tatsächlich umgeleitet wurde, beziffern die öffentlichen Unterlagen nicht. Die unberechtigte Freischaltung ist jedoch belegt.

Sanjayas Fall beginnt dort, wo ein Unternehmen einen Kunden anlegt. Hinter einer technischen Route stand ein menschliches Ja zu falschen Unterlagen. Wer eine neue BGP-Sitzung einschaltet, sollte vorher wissen, wer für die ASN wirklich sprechen darf.