Berichten zufolge fielen Beamte in Portland, Oregon, im April diesen Jahres auf eine kompromittierte geschäftliche E-Mail herein.
Einem Hacker gelang es Ende April dieses Jahres, die Stadt Portland, Oregon, um 1,4 Millionen Dollar zu betrügen, indem er kommunale Angestellte dazu verleitete, ihm Gelder zu überweisen. Möglich was es dem Täter, den Betrag zu entwenden, indem er einen BEC-Angriff (Business E-Mail Compromise) startete. Hierbei kaperte er das E-Mail-Konto eines städtischen Angestellten. Darüber berichtete Oregon Public Broadcasting (OPB).
Noch im Mai gab die Stadtverwaltung von Portland in einer Pressemitteilung bekannt, dass sie eine Verletzung der Cybersicherheit untersuchten. Diese hätte im April zu einer betrügerischen Transaktion in Höhe von 1,4 Millionen Dollar mit städtischen Geldern geführt. Entdeckt hatten sie die Aktion jedoch erst, nachdem dasselbe kompromittierte Konto im nächsten Monat erneut in gleicher Weise benutzt werden sollte. In der Mitteilung hieß es:
„Vorläufige Beweise deuten darauf hin, dass sich eine unbefugte, externe Person Zugang zu einem E-Mail-Konto der Stadt Portland verschafft hat, um diese illegalen Aktivitäten durchzuführen.“
Hätte Portland Geldverlust vermeiden können?
Die Stadt ging jedoch auf keine weiteren Details ein. Diese wurden erst jetzt bekannt. Wie OPB berichtete, hätte der Verlust leicht vermieden werden können. Die Finanzverwaltung von Portland hatte die Überweisung in Höhe von 1,4 Millionen US-Dollar zunächst als potenziell betrügerisch gekennzeichnet, bevor das Geld die Kassen von Portland verlassen hat. Allerdings zahlten die Beamten des dortigen Wohnungsamtes den Betrag dennoch aus. An diesem Punkt, sagten Cybersicherheitsexperten, besteht kaum eine Chance, dass die Stadt das Geld je zurückbekommt.
Gelder waren für sozialen Wohnungsbau bestimmt
Eigentlich war der Millionenbetrag für ein Projekt von Central City Concern, eine örtliche gemeinnützige Organisation, bestimmt. Diese wollte von dem Geld im Herzen des Altstadtviertels 100 erschwingliche Wohneinheiten, namens The Starlight, bauen. Die städtische Wohnungsbaubehörde unterzeichnete im vergangenen März einen Vertrag über 17 Millionen Dollar mit der gemeinnützigen Organisation. Sie überwiesen infolge der Gruppe in gutem Glauben routinemäßig Geld zur Deckung der Baukosten.
Bevor sie allerdings die Überweisung am 25. April ausführten, wandten sich Beamte des Finanzministeriums an das Wohnungsamt. Sie baten die Mitarbeiter, die Richtigkeit der Bankdaten von Central City Concern zu bestätigen. Dies geht aus einer E-Mail der Stadtkämmerin Brigid O’Callaghan hervor. O’Callaghan war besorgt, dass der Name auf dem Bankkonto von Central City Concern nicht mit dem Namen des Kontos übereinstimmte, auf das die Überweisung dann tatsächlich lautete.
O’Callaghan wies in der E-Mail konkret darauf hin:
„Dies ist oft ein Hinweis darauf, dass es sich bei den Zahlungsanweisungen um Betrug handelt. Deshalb mussten wir absolut sicher sein, dass das Finanzteam des Portland Housing Bureaus (Büro für Wohnungswesen) mit einer ihnen bekannten Person bei der begünstigten Organisation gesprochen hat, um die Kontodaten zu bestätigen.“
In einer Antwort bestätigten zwei Beamte, die mit den Finanzen des Wohnungsamtes befasst sind, O’Callaghan, dass die Bankdaten korrekt waren. Daraufhin teilte O’Callaghan den Beamten mit, dass sie die Überweisung freigegeben habe. Sie bat darum, später am Tag zu überprüfen, ob Central City Concern das Geld erhalten habe.
Portland: Beamter stand mit Hacker in E-Mail-Kontakt
Zwar konnte niemand, der tatsächlich für die gemeinnützige Organisation arbeitete, die Überweisung bestätigen. Eine Überprüfung der E-Mails ergab aber, dass ein Beamter des Wohnungsamtes an diesem Tag mit einer Person in Kontakt stand, die sich als Leiter der Finanzabteilung von Central City Concern ausgab. Zur Bestätigung trug die Mail das Logo der gemeinnützigen Organisation. Eine Sprecherin der Stadt, Carrie Belding, bestätigte, dass die Mitarbeiter des Wohnungsamtes glaubten, den Bedenken der Schatzmeisterin nachgegangen zu sein. Jedoch haben sie dabei aber unwissentlich „mit dem Täter kommuniziert“. Sie teilte mit:
„Zu diesem Zeitpunkt glaubten die Mitarbeiter der Stadt, dass sie eine Bestätigung erhalten hatten. Ohne dass die beteiligten Mitarbeiter es wussten, wurde die Bestätigung von dem Betrüger und nicht von dem Geschäftspartner geliefert.“
Bereits einen Monat nach der ersten betrügerischen Überweisung, am 17. Mai, unternahm der Hacker einen zweiten, aber dieses Mal erfolglosen Versuch, weiteres Geld zu erbeuten. Erst dann bemerkten die Stadt-Beamten, dass die ursprünglich als verdächtig eingestufte Zahlung tatsächlich betrügerisch war.
Zu diesem Zeitpunkt waren die 1,4 Millionen Dollar bereits von der Bank der Stadt auf ein Konto an der Ostküste überwiesen worden, wo sie verschwanden. In der Zwischenzeit hatte der Hacker einen ganzen Monat lang ungehinderten Zugang zu den internen Systemen der Stadt, wie aus E-Mails hervorgeht. IT-Mitarbeiter stellten dann fest, dass auf das gekaperte E-Mail-Konto von verschiedenen Orten, scheinbar mit einem VPN, zugegriffen worden war. Darunter aus Texas, Deutschland und Nigeria. Portland leitete den Vorfall an das Federal Bureau of Investigation und das Portland Police Bureau weiter.
Verbindlichkeiten inzwischen beglichen – Wohnungsbau schreitet voran
In einer weiteren Pressemitteilung vom Juni teilte die Stadtverwaltung von Portland mit, dass sie inzwischen ihre Verbindlichkeiten in Höhe von 1,47 Millionen Dollar gegen Central City Concern beglichen habe. Eine vom Stadtrat genehmigte Verordnung trug schließlich zu einer diesbezüglichen Genehmigung einer Barzahlung aus dem allgemeinen Fonds der Stadt zur Deckung der Kosten bei. Wie Portland weiter mitteilt, strebt die Stadt eine Rückerstattung für so viel wie möglich des gestohlenen Geldes durch Inanspruchnahme einer Cyber-Versicherung und aus anderen Mittel an. In der Zwischenzeit schreitet das Wohnprojekt, das im Mittelpunkt des Vorfalls stand, voran. Das Starlight wird voraussichtlich im Herbst in der Altstadt eröffnet, wie die Stadt verkündet.
