Den ersten Zugang sollen Angreifer erlangt haben, die der Hackergruppe Scattered Spider zugerechnet werden. Sie gaben sich als M&S-Mitarbeiter aus und wandten sich an einen externen Service-Desk. Dort wurde ein Passwort zurückgesetzt – damit hatten die Angreifer legitime Zugangsdaten in der Hand, ohne irgendeine technische Lücke ausnutzen zu müssen.

Von dort aus griffen sie auf das Active Directory zu und extrahierten die Datei NTDS.dit, in der die Passwort-Hashes aller Domänen-Nutzer gespeichert sind. Scattered Spider konnte diese Hashes offline knacken und so weitere Zugangsdaten gewinnen. Mit gültigen Konten und wachsenden Rechten bewegten sich die Angreifer über mehrere Wochen seitlich durch das Netzwerk – mit Standardwerkzeugen und unauffälligen Anmeldevorgängen.

Sobald sie über ausreichende Privilegien verfügten, brachten sie Ransomware aus und verschlüsselten Systeme für Zahlungsverkehr, E-Commerce und Logistik. M&S musste Dienste abschalten, was den Betrieb und Kundentransaktionen massiv störte.

Das Tückische an Social-Engineering-Angriffen dieser Art: Aus Sicht des Helpdesks handelt es sich nur um eine weitere Anfrage zum Zurücksetzen eines Passworts. Genau deshalb ist der Service-Desk ein bevorzugtes Ziel, und einfache Rückfragen reichen zur Absicherung nicht aus. Ohne verlässliche Möglichkeit zu prüfen, wer am anderen Ende der Leitung sitzt, wird aus einer Routineanfrage schnell ein Einfallstor.

Specops verweist auf den eigenen Dienst Secure Service Desk, mit dem Support-Teams die Identität vor jedem Reset bestätigen können – etwa über einen Einmalcode an ein vertrauenswürdiges Gerät oder über bestehende Identitätsanbieter wie Duo oder Okta. Jede Anfrage durchläuft dieselben Schritte, und die Prüfung ist nicht optional. Selbst mit überzeugenden Hintergrundinformationen bräuchten Angreifer dann Zugriff auf das registrierte Gerät oder den Identitätsfaktor des Nutzers – am Telefon deutlich schwerer zu fälschen.

Laut dem Data Breach Investigations Report von Verizon sind gestohlene Zugangsdaten an 44,7 Prozent aller Sicherheitsvorfälle beteiligt.

Für den sicheren Umgang mit Passwort-Resets nennt der Beitrag mehrere Empfehlungen: Self-Service fördern, um Helpdesk und Kosten zu entlasten; temporäre Zugangsdaten stark, einmalig und über einen verschlüsselten Kanal vergeben – ein über mehrere Minuten gültiger Reset bleibt eine offene Schwachstelle; Reset-Aktivitäten überwachen, um auffällige Muster wie häufige Resets oder wiederholte Anfragen zu erkennen; sowie den Helpdesk mit Werkzeugen, klaren Richtlinien für Anomalien und Einblick in die Reset-Vorgänge ausstatten, damit die Identitätsprüfung einheitlich statt nach Ermessen erfolgt.