Die Untersuchung offenbart ein beunruhigendes Muster: Chinesische Behörden haben Cyberkriminelle engagiert, um aufwendige Phishing- und digitale Identitätsdiebstahl-Kampagnen durchzuführen. Dies ist keine neue Taktik, doch das industrielle Ausmaß und die Kosteneffizienz dieser Operationen sind alarmierend. Durch die Nutzung von unabhängigen Auftragnehmern schafft sich China zudem eine Schicht von Plausible Deniability.
Die erste Kampagne, intern als GLITTER CARP bezeichnet, richtete sich gezielt gegen ICIJ-Mitglieder und Aktivisten. Sie zeichnet sich durch aggressive, breite Phishing-Attacken aus, die auch Personen mit nur peripheren Verbindungen zu Zielgruppen angreifen. Dies deute auf einen Akteur mit erheblichen Ressourcen hin, der keine Angst vor Entdeckung habe und Wirkung über Geheimhaltung priorisiere. Sicherheitsforscher von Proofpoint haben zudem Hinweise gefunden, dass GLITTER CARP auch die taiwanische Halbleiterindustrie ins Visier genommen hat.
Die zweite Kampagne, SEQUIN CARP, setzte auf raffinierte Social-Engineering-Taktiken. Die Angreifer gaben sich als echte Personen aus und zielten primär auf Journalisten ab. Allerdings zeigten sich auch Schwächen: unbeholfene operative Abläufe und Schwierigkeiten, auf andere Angriffsvektoren auszuweichen.
Mehmet Tohti wurde durch einen als Dokumentarfilm-Macher getarnten Kontakt angesprochen. Ein Link führte auf eine gefälschte Google-Anmeldungsseite. Danach erhielt er eine E-Mail, die eine verdächtige Anmeldung vortäuschte – verfasst auf Chinesisch. Tohti erkannte den Betrug und warnte das Citizen Lab.
Für die betroffenen Aktivisten und Journalisten hat dies weitreichende Konsequenzen: Sie müssen ihre Geräte regelmäßig prüfen, erleben Selbstzensur und Vertrauensverluste in ihren Netzwerken. Andere Aktivisten ziehen sich aus Angst vor Targeting zurück. Dies unterminiert die Kommunikationssicherheit und Glaubwürdigkeit von Organisationen und Einzelpersonen fundamental.
Deutsche Behörden und Organisationen sollten die Erkenntnisse ernst nehmen. Journalisten mit kritischer Berichterstattung zu China, Menschenrechtsorganisationen und politische NGOs könnten ähnlich angegriffen werden. Multi-Faktor-Authentifizierung, regelmäßige Sicherheitstrainings und Vorsicht bei unerwarteten Kontakten sind essentiell.