Quellen-Tabelle

Am 07.05.2021 griff die Ransomware-as-a-Service-Gruppe DarkSide die IT-Systeme des US-Pipelinebetreibers Colonial Pipeline an, woraufhin das Unternehmen aus Vorsicht den Betrieb der wichtigsten Treibstoffpipeline der US-Ostküste einstellte. Colonial Pipeline zahlte am 08.05.2021 rund 75 Bitcoin, umgerechnet etwa 4,4 Millionen US-Dollar, Lösegeld. Am 13./14.05.2021 teilte DarkSide seinen Partnern mit, dass die Gruppe den Zugriff auf einen öffentlichen Teil ihrer Infrastruktur verloren habe, darunter Blog, Zahlungsserver und Content-Delivery-Server. Nach Angaben der Sicherheitsfirma Intel 471 wurden zudem Gelder von einem Zahlungsserver der Gruppe auf ein unbekanntes Konto abgezogen. DarkSide begründete die Einstellung ihres Affiliate-Programms mit Druck aus den USA und kündigte an, Opfern ohne erfolgte Zahlung kostenlose Entschlüsselungs-Tools bereitzustellen. Wer die Server beschlagnahmte, teilte die Gruppe nicht mit. Sicherheitsforscher gingen davon aus, dass sich Mitglieder der Gruppe unter neuem Namen reorganisieren würden.

Wer genau die DarkSide-Server beschlagnahmte und die Kryptowährungs-Gelder abzog, ist aus dieser Quelle nicht belegt und wurde von keiner Behörde offiziell bestätigt. Ebenso bleibt offen, ob es sich um eine tatsächliche Strafverfolgungsmaßnahme oder um einen Exit-Scam der Gruppenbetreiber handelte.

Am 19.05.2020 informierte die britische Fluggesellschaft EasyJet öffentlich über einen Cyberangriff auf ihre IT-Systeme, bei dem persönliche Daten von rund 9 Millionen Kunden abgeflossen waren. Betroffen waren E-Mail-Adressen und Reisedaten aus Buchungen im Zeitraum vom 17.10.2019 bis zum 04.03.2020. Bei 2.208 Kunden wurden zudem vollständige Kreditkartendaten einschließlich der Sicherheitscodes offengelegt. EasyJet entdeckte den Angriff Ende Januar 2020 und bezeichnete ihn als hochentwickelten Angriff. Kunden mit gestohlenen Zahlungsdaten wurden ab April 2020 informiert, die Benachrichtigung aller 9 Millionen betroffenen Kunden sollte bis zum 26.05.2020 abgeschlossen sein. EasyJet meldete den Vorfall an die britische Datenschutzbehörde ICO sowie an das National Cyber Security Centre. Passwörter und Passdaten der Kunden waren nach Angaben von EasyJet nicht betroffen. Die Kanzlei PGMBM reichte im Mai 2020 beim High Court in London eine Sammelklage mit einem möglichen Streitwert von bis zu 18 Milliarden britischen Pfund ein. Die ICO stellte ihre Untersuchung des Vorfalls im August 2023 offiziell ein und verwies dabei auf begrenzte Ressourcen der Behörde.

Aus der Quelle geht nicht hervor, ob die 2020 eingereichte Sammelklage inzwischen zu einem Urteil oder Vergleich geführt hat, und die genaue technische Ursache des Einbruchs bleibt ungeklärt.

Am 18.10.2022 durchsuchten Staatsanwaltschaft, Polizei und Steuerfahnder die Zentrale der Deutschen Bank in Frankfurt am Main im Zusammenhang mit Cum-Ex-Geschäften und verwandten Steuerhinterziehungsmodellen. Die federführende Staatsanwaltschaft Köln vollstreckte Durchsuchungsbeschlüsse gegen das Bankinstitut, weitere Konzerngesellschaften sowie eine Wirtschaftsprüfungsgesellschaft. Zusätzlich wurden die Privatwohnungen von zehn Beschuldigten durchsucht. An dem Einsatz waren insgesamt 114 Ermittler beteiligt, darunter mehrere Polizeidienststellen aus Nordrhein-Westfalen, Steuerfahnder aus Nordrhein-Westfalen, Hessen und Bayern, das Bundeszentralamt für Steuern sowie EDV-Sachverständige. Ziel der Maßnahme war insbesondere das Auffinden relevanter interner Kommunikation in Form von E-Mails und sonstiger schriftlicher Korrespondenz der Deutschen Bank. Die Ermittlungen gegen die Deutsche Bank wegen Cum-Ex-Geschäften laufen bereits seit dem Jahr 2017.

Aus dieser Quelle ist nicht belegt, welcher konkrete Steuerschaden der Deutschen Bank in diesem Verfahren vorgeworfen wird, welche Ergebnisse die Auswertung der beschlagnahmten E-Mails erbrachte und wie das seit 2017 laufende Verfahren strafrechtlich ausgegangen ist; auch die Identität der zehn Beschuldigten bleibt offen.

Am 27. Mai 2021 kam es beim schwedischen Zahlungsdienstleister Klarna zu einer Datenschutzpanne, bei der Nutzer der Klarna-App für kurze Zeit Konto- und Bestelldaten fremder Kunden einsehen konnten. Ursache war nach Angaben von Klarna ein menschlicher Bedienungsfehler bei einem Softwareupdate, das versehentlich in das Live-System eingespielt wurde. Der fehlerhafte Zustand bestand nach Unternehmensangaben etwa eine halbe Stunde. Sichtbar waren unter anderem Namen, Adressen, Telefonnummern, verifizierte E-Mail-Adressen, Bestellfotos sowie teilweise maskierte Karten- und Kontonummern. Vollständige Bank- oder Kartendaten sowie Steuernummern waren laut Klarna nicht einsehbar. Medien berichteten zunächst von rund 90.000 Betroffenen, Klarna korrigierte die Zahl später auf etwa 9.500 Nutzer von damals rund 90 Millionen aktiven Kunden weltweit. Klarna nahm die App unmittelbar vom Netz. Das Unternehmen erklärte, es habe sich nicht um einen externen Angriff gehandelt, informierte die zuständigen Behörden und kündigte eine Überprüfung interner Prozesse an. Der Vorfall betraf auch deutsche Nutzer.

Unklar bleibt, ob dieser konkrete Vorfall zu einem eigenen DSGVO-Bußgeld führte; die 2022 von der schwedischen Datenschutzbehörde IMY verhängte Strafe gegen Klarna betraf unzureichende Datenschutzerklärungen und nicht diese Datenpanne.

Marriott International entdeckte am 8. September 2018 eine Datenschutzverletzung im Reservierungssystem der 2016 übernommenen Kette Starwood, verursacht durch eine seit 2014 unentdeckte Schadsoftware. Das Unternehmen informierte die Öffentlichkeit erst am 30. November 2018, zunächst mit der Angabe von bis zu 500 Millionen betroffenen Gästen, die im Januar 2019 auf rund 383 Millionen eindeutige Datensätze korrigiert wurde. Ein Aktionär, das Firemen's Retirement System of St. Louis, reichte daraufhin vor dem Delaware Court of Chancery eine Aktionärsklage gegen Vorstand und führende Manager von Marriott ein. Die Klage warf dem Board vor, vor der Starwood-Übernahme 2016 keine ausreichende Sorgfaltsprüfung der IT-Sicherheit durchgeführt und den Datenverstoß verzögert offengelegt zu haben. Vice Chancellor Lori W. Will wies die Klage am 5. Oktober 2021 vollständig ab. Als Begründung nannte das Gericht die Verjährung der Ansprüche zur Sorgfaltsprüfung vor der Akquisition sowie das Fehlen einer Aufsichtspflichtverletzung nach dem Caremark-Maßstab, da der Vorstand jährliche Berichte zu Cyberrisiken erhalten hatte. Eine gesonderte Sammelklage von Anlegern wurde ebenfalls abgewiesen, was der Fourth Circuit 2022 bestätigte.

Aus den ausgewerteten Quellen nicht abschließend belegt ist, ob einzelne Vorstandsmitglieder in Nebenverfahren dennoch finanziell in Anspruch genommen wurden, da die Aktionärsklage vollständig ohne Vergleich oder Schadensersatzzahlung abgewiesen wurde.

Am 20. Februar 2022 veröffentlichten die Süddeutsche Zeitung und das OCCRP mit einem Netzwerk von mehr als 150 Journalisten aus über 50 Medien die Recherche Suisse Secrets zu einem anonym zugespielten Datensatz mit Informationen zu mehr als 18.000 Konten der Credit Suisse. Die Konten waren zwischen den 1940er Jahren und der jüngeren Vergangenheit eröffnet worden und hielten laut Auswertung Vermögen von zusammen über 100 Milliarden Franken, darunter Konten mutmaßlicher Autokraten, sanktionierter Personen und krimineller Akteure. Credit Suisse wies die Vorwürfe öffentlich zurück.

Wer die Daten zuspielte und deren genaue Motivation blieben unbekannt, da die Person anonym blieb. Nicht öffentlich dokumentiert ist, für wie viele der 18.000 Konten tatsächlich Fehlverhalten im juristischen Sinne nachgewiesen wurde, da Credit Suisse die Vorwürfe größtenteils bestritt. Offen blieb auch der genaue rechtliche Umgang der Schweizer Behörden mit der undichten Stelle.

Im Februar 2016 erbeuteten Angreifer über gefälschte SWIFT-Zahlungsanweisungen 81 Millionen US-Dollar vom Konto der Bangladesh Bank bei der Federal Reserve Bank of New York. Die Täter nutzten zuvor per Spear-Phishing gestohlene SWIFT-Zugangsdaten und Schadsoftware, die den Transaktionsdrucker der Bank lahmlegte, um die Betrugsversuche zu verschleiern. Das Geld floss über Konten auf den Philippinen weiter in Casinos in Macau; 2018 klagten US-Behörden den Nordkoreaner Park Jin Hyok als Teil der Lazarus Group an.

Wer die endgültigen Nutznießer der über Macau gewaschenen Gelder waren, ist nicht abschließend dokumentiert, da die philippinischen Ermittlungen ins Stocken gerieten. Park Jin Hyok wurde nie festgenommen oder gerichtlich verurteilt. Von den insgesamt versuchten 951 Millionen US-Dollar wurde der größte Teil durch Zufall und Rechtschreibfehler in den Überweisungsaufträgen verhindert, und nur ein kleiner Teil der bereits ausgezahlten 81 Millionen US-Dollar konnte später zurückgeholt werden.

Das Berufungsgericht von New Jersey bestätigte am 1. Mai 2023, dass die Kriegsausschlussklausel in Mercks Sachversicherungspolicen den NotPetya-Cyberangriff von 2017 nicht abdeckt. Die Richter urteilten, dass eine feindselige oder kriegerische Handlung eine militärische Komponente voraussetzt und die Zurechnung zu russischen staatlichen Akteuren allein dafür nicht genügt. Merck konnte damit rund 700 Millionen US-Dollar von den verbliebenen acht Versicherern einfordern, als Teil eines Gesamtschadens von 1,4 Milliarden US-Dollar aus dem NotPetya-Angriff.

Wie viel Merck am Ende tatsächlich ausgezahlt wurde, blieb offen, da sich beide Seiten im Januar 2024 auf einen vertraulichen Vergleich einigten. Ob künftige, präziser formulierte Kriegsausschlussklauseln vor Gericht Bestand hätten, ist durch dieses Urteil nicht geklärt. Eine strafrechtliche Verantwortlichkeit einzelner russischer Akteure für NotPetya war nicht Gegenstand dieses zivilrechtlichen Versicherungsstreits.

Am 1. Juli 2026 begann in Malta der Geschworenenprozess gegen den Geschäftsmann Yorgen Fenech, dem vorgeworfen wird, die Ermordung der Investigativjournalistin Daphne Caruana Galizia am 16. Oktober 2017 durch eine ferngezündete Autobombe in Auftrag gegeben zu haben. Laut ICIJ hatte Caruana Galizia zum Zeitpunkt ihres Todes an Geschichten gearbeitet, die auf den Enthüllungen der Panama Papers aufbauten, unter anderem zur Offshore-Firma 17 Black. Die ausführenden Attentäter wurden bereits zu langjährigen Haftstrafen verurteilt.

Der Prozess gegen Fenech war zum Zeitpunkt der Berichterstattung noch nicht abgeschlossen, ein Urteil über seine Mitschuld stand noch aus und er bestreitet die Vorwürfe. Nicht abschließend juristisch geklärt ist, ob und wie weit die 2021 von einer öffentlichen Untersuchungskommission festgestellte staatliche Mitverantwortung auch strafrechtliche Konsequenzen für weitere Personen im politischen Umfeld nach sich zieht.

Am 8. Februar 2015 veröffentlichte das ICIJ mit über 140 Journalisten aus mehr als 50 Medien die Swiss-Leaks-Recherche auf Basis von rund 60.000 Dateien, die der ehemalige HSBC-IT-Mitarbeiter Hervé Falciani entwendet hatte. Die Dokumente betrafen rund 100.000 Kunden mit etwa 100 Milliarden Dollar bei HSBC Private Bank (Suisse) in Genf und belegten, dass die Bank Kunden bei Steuerhinterziehung unterstützte. In der Folge zahlte HSBC 2017 eine Strafe von 352 Millionen Euro in Frankreich und 2019 192 Millionen Dollar in den USA.

Falciani wurde 2015 von einem Schweizer Gericht in Abwesenheit wegen Wirtschaftsspionage zu fünf Jahren Haft verurteilt, vom Vorwurf des Geheimnisverrats aber freigesprochen; da Frankreich eigene Staatsangehörige nicht ausliefert, trat er die Strafe nie an. Offen bleibt, in wie vielen der rund 100.000 Einzelfälle tatsächlich Steuerhinterziehung nachgewiesen wurde, da nicht jedes Konto bei einer Schweizer Privatbank illegal ist.

Am 14.11.2023 veröffentlichte das ICIJ mit Paper Trail Media und rund 270 Journalisten aus 69 Medienpartnern die Recherche Cyprus Confidential, basierend auf 3,6 Millionen Dokumenten aus sieben zyprischen und einer lettischen Finanzfirma. Die Auswertung belegt, dass 67 der 105 russischen Milliardäre der Forbes-Liste 2023 zyprische Dienstleister nutzten, um Vermögen vor westlichen Sanktionen zu verstecken, und identifiziert mehr als 650 Firmen und Trusts mit Bezug zu seit 2014 sanktionierten Russen.

Offen bleibt, welcher Anteil der über 650 identifizierten Firmen und Trusts tatsächlich zur aktiven Sanktionsumgehung diente, da viele Strukturen formal legal blieben. Zyperns Präsident kündigte nach Veröffentlichung Ermittlungen an, deren Ausgang zum Zeitpunkt der Recherche noch nicht feststand.

Die damals größte Bitcoin-Börse Mt.Gox bestätigte Anfang März 2014 den Verlust von rund 850.000 Bitcoin im Gegenwert von damals 368,4 Millionen Euro. Davon stammten 750.000 Bitcoin von Kunden, 100.000 gehörten der Börse selbst. Mt.Gox meldete daraufhin beim Bezirksgericht Tokio Insolvenz an.

Zum Zeitpunkt der Meldung war ungeklärt, ob ein technischer Fehler im Bitcoin-Protokoll oder ein interner Diebstahl die Ursache war. Der Verbleib der verschwundenen Bitcoin war unbekannt.

Am 10. August 2021 erbeutete ein Angreifer durch Ausnutzung einer Schwachstelle in den Smart Contracts des Cross-Chain-Protokolls Poly Network Kryptowerte im Wert von rund 600 Millionen Dollar auf den Blockchains Ethereum, Binance Smart Chain und Polygon. Bereits einen Tag später begann der Angreifer, den Großteil der Gelder zurückzuüberweisen, nachdem Poly Network öffentlich dazu aufgerufen hatte. Tether fror rund 33 Millionen Dollar der gestohlenen USDT-Bestände ein.

Die Identität des Angreifers wurde nie zweifelsfrei geklärt, seine angebliche Begründung, die Tat sei zum Spaß und zum Aufzeigen der Sicherheitslücke erfolgt, ist unbelegt. Nicht abschließend dokumentiert ist auch, ob der Angreifer allein handelte oder ob es Mittäter gab.

Am 26. Januar 2018 stahlen Angreifer aus einer ungesicherten Hot Wallet der japanischen Kryptobörse Coincheck rund 523 Millionen NEM (XEM) im Wert von etwa 58 Milliarden Yen, umgerechnet rund 530 Millionen US-Dollar. Coincheck sicherte die Coins weder per Cold Wallet noch per Multisignatur ab, wovon rund 260.000 Kunden betroffen waren. Die japanische Finanzaufsicht FSA durchsuchte danach die Coincheck-Büros und erließ mehrere Verbesserungsanordnungen, Coincheck erstattete den Kunden im März 2018 rund 46,6 Milliarden Yen aus eigenen Mitteln.

Wer die Täter waren, ist bis heute nicht abschließend behördlich geklärt. Bloomberg berichtete unter Berufung auf Ermittler über einen Verdacht gegen Nordkorea, eine offizielle Bestätigung japanischer Behörden dafür liegt jedoch nicht vor.

InterContinental Hotels Group (IHG) bestätigte offiziell, dass Malware an Kassensystemen von mindestens 1175 US-Hotels zwischen dem 29. September und 29. Dezember 2016 Kreditkartendaten von Gästen abgriff. Erfasst wurden Karteninhabername, Kartennummer, Ablaufdatum und Sicherheitscode an Restaurant- und Rezeptionskassen. IHG hatte im Februar 2017 zunächst nur einen Vorfall an rund einem Dutzend Standorten eingeräumt, bevor das tatsächliche Ausmaß im April 2017 bekannt wurde.

Offen bleibt, wie die Angreifer initial in die Kassensysteme eindrangen und wer hinter dem Angriff steckt. Die genaue Zahl der betroffenen Kreditkarten bzw. Gäste wurde von IHG nicht beziffert.

Der US-Versicherungskonzern Prudential Financial meldete einen unautorisierten Zugriff auf seine Systeme am 4. Februar 2024. Die Ransomware-Gruppe Alphv/BlackCat reklamierte den Angriff für sich. In einer im Juni 2024 aktualisierten Meldung bezifferte Prudential die Zahl betroffener Personen auf 2.556.210, deutlich mehr als die zunächst im März genannten rund 36.000. Betroffen waren Namen, Adressen sowie Führerschein- und Ausweisnummern. Prudential bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung an.

Wie die Angreifer ursprünglich ins Netzwerk gelangten, ist öffentlich nicht dokumentiert. Prudential selbst hat sich nie offiziell zur Urheberschaft von Alphv/BlackCat geäußert. Unklar bleibt zudem, ob und in welchem Umfang gestohlene Daten seither missbraucht wurden.

Truist Bank bestätigte im Juni 2024 einen Cyberangriff, der bereits im Oktober 2023 stattgefunden hatte. Der Hacker Sp1d3r bot im Darknet Daten von rund 65.000 Truist-Mitarbeitern sowie Kundendaten wie Kontonummern und Transaktionsdetails zum Kauf an, zusammen mit dem Quellcode des telefonischen Überweisungssystems. Die Bank begann erst ab Mai 2024 mit der Benachrichtigung betroffener Kunden, rund sieben Monate nach dem eigentlichen Vorfall.

Wie viele Kunden neben den 65.000 Mitarbeitern konkret betroffen waren, wurde nicht abschließend beziffert. Ob die im Darknet angebotenen Daten tatsächlich verkauft oder für Betrug missbraucht wurden, ist nicht belegt.

Die US-Kreditauskunftei TransUnion entdeckte am 30.07.2025 einen unbefugten Zugriff auf eine bei ihr eingesetzte Drittanbieter-Anwendung, der Angriff selbst hatte am 28.07.2025 stattgefunden. Betroffen waren die Daten von mehr als 4,4 Millionen Personen in den USA, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Rechnungsadressen, E-Mail-Adressen und Telefonnummern. TransUnion ordnete den Zugriff einer über Salesforce-verbundene Apps laufenden Kampagne zu und bot Betroffenen 24 Monate kostenlose Kreditüberwachung an.

TransUnion und Salesforce betonten, dass die Kern-Salesforce-Anwendung selbst nicht kompromittiert war, der Zugriff erfolgte über eine verbundene Drittanbieter-App. Die genaue Identität der für den Angriff verantwortlichen Gruppe wurde von TransUnion nicht offiziell bestätigt, Medienberichte ordneten ihn ShinyHunters zu.

Im Mai 2024 versuchten Betrüger, eine Führungskraft der Werbeholding WPP mithilfe von Deepfake-Technologie zu täuschen. Sie legten ein WhatsApp-Konto mit einem öffentlichen Foto von WPP-CEO Mark Read an und luden eine leitende Mitarbeiterin zu einem Microsoft-Teams-Meeting ein, in dem eine KI-Stimmklon-Version sowie YouTube-Aufnahmen von Read eingesetzt wurden. Ziel war die Herausgabe von Geld und persönlichen Daten für die angebliche Gründung einer neuen Firma, der Versuch scheiterte laut WPP an der Wachsamkeit der beteiligten Person.

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Das ICIJ veröffentlichte am 19.01.2020 die Luanda Leaks, basierend auf mehr als 715.000 geleakten Dokumenten zur früheren Sonangol-Chefin Isabel dos Santos, Tochter des langjährigen angolanischen Präsidenten. An der Auswertung waren 36 Medienpartner und mehr als 120 Journalisten aus rund 20 Ländern beteiligt. Die Dokumente zeigten ein Netzwerk von mehr als 400 Firmen in 41 Ländern, über das öffentliche Gelder aus Angola abgeflossen sein sollen. Als Folge fror die Schweiz im August 2020 Vermögenswerte von rund 900 Millionen US-Dollar ein, Angola erhob im Januar 2024 in zwölf Anklagepunkten Vorwürfe gegen dos Santos, Großbritannien verhängte im November 2024 Sanktionen.

Isabel dos Santos bestreitet über ihre Anwälte jegliches Fehlverhalten. Gegen sie liegt seit 2022 eine Interpol-Red-Notice vor, eine tatsächliche Festnahme oder Auslieferung aus den Vereinigten Arabischen Emiraten ist bislang nicht erfolgt.

Das ICIJ veröffentlichte am 05.11.2017 die Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien überwiegend von der Offshore-Kanzlei Appleby mit Sitz in Bermuda, ergänzt um Unterlagen des Dienstleisters Asiaciti Trust und Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dateien zuerst und teilte sie mit dem ICIJ und 95 Medienpartnern weltweit. Die Auswertung deckte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs sowie Steuerplanung von rund 100 multinationalen Konzernen auf.

Wie die Süddeutsche Zeitung ursprünglich Zugang zu den Appleby-Dateien erhielt, ist nicht öffentlich dokumentiert. Nicht alle genannten Politiker und Unternehmen wurden individuell strafrechtlich verfolgt, die Nennung in den Papieren allein belegt keine Rechtswidrigkeit der jeweiligen Offshore-Strukturen.

Beim Target-Datenleck im Weihnachtsgeschäft 2013 verschafften sich Angreifer ab dem 15.11.2013 mit gestohlenen Netzwerk-Zugangsdaten der HLK-Firma Fazio Mechanical Services aus Pennsylvania Zugang zu Target-Systemen. Fazio Mechanical hatte Fernzugriff auf administrative Target-Systeme für Rechnungsstellung und Projektmanagement. Über diesen Zugang installierten die Angreifer RAM-scrapende Malware auf Kassensystemen und erbeuteten zwischen dem 27.11. und 15.12.2013 Daten von rund 40 Millionen Kredit- und Debitkarten.

Wie genau die Zugangsdaten von Fazio Mechanical ursprünglich erbeutet wurden, ist nicht abschließend öffentlich dokumentiert. Fazio Mechanical erklärte, keine Fernüberwachung von HLK-Anlagen bei Target durchgeführt zu haben, ihr Zugang habe sich auf administrative Funktionen beschränkt.

Die kanadische Finanzgenossenschaft Desjardins Group bestätigte am 01.11.2019, dass der im Juni 2019 bekannt gewordene Datendiebstahl durch einen Mitarbeiter tatsächlich alle 4,2 Millionen Einzelmitglieder in Quebec und Ontario betraf. Der Mitarbeiter hatte unbefugt auf geschützte Kundendaten zugegriffen und diese widerrechtlich an Dritte weitergegeben. Betroffen waren Sozialversicherungsnummern, Adressen und Angaben zu Bankgewohnheiten, nicht jedoch Passwörter oder Kontostände.

Die kanadische Datenschutzbehörde OPC korrigierte die Gesamtzahl der Betroffenen im Dezember 2020 auf rund 9,7 Millionen Personen nach oben. Ein mutmaßlicher Haupttäter wurde erst 2024 verhaftet, das Strafverfahren war noch nicht rechtskräftig abgeschlossen.

Ende Juli 2021, rund zwei Monate nach der Einstellung von DarkSide im Zuge des Colonial-Pipeline-Angriffs, tauchte die neue Ransomware-Gruppe BlackMatter auf. Ein Sicherheitsforscher stellte fest, dass die Verschlüsselungsroutinen des BlackMatter-Entschlüsselers eine zuvor nur bei DarkSide bekannte benutzerdefinierte Matrix enthielten. Sicherheitsfirmen wie Recorded Future stuften BlackMatter als direkten Nachfolger von DarkSide ein, ein BlackMatter-Vertreter bestritt, dieselbe Gruppe zu sein, räumte aber eine frühere Zusammenarbeit mit DarkSide-Leuten ein.

Ob BlackMatter tatsächlich von denselben Kernpersonen wie DarkSide betrieben wurde, ist nicht abschließend bewiesen und wird von Sicherheitsfirmen unterschiedlich bewertet. Die genauen Gründe für das plötzliche Verschwinden von DarkSide im Mai 2021 sind unklar.

Die US-Kette Wawa teilte am 19.12.2019 mit, dass Kartendaten-Malware auf Zahlungssystemen und Zapfsäulen an potenziell allen rund 850 Filialen installiert war. Die Malware war bereits seit dem 04.03.2019 aktiv und wurde erst am 10.12.2019 entdeckt. Kriminelle boten ab Ende Januar 2020 im Untergrundmarktplatz Joker's Stash einen Datensatz mit rund 30 Millionen gestohlenen Kartendaten an, den Sicherheitsforscher der Wawa-Kompromittierung zuordneten.

Wer hinter dem Angriff steckt und mit welcher Schadsoftware-Variante die Systeme infiziert wurden, ist nicht öffentlich dokumentiert. Die Zahl von rund 30 Millionen Datensätzen stammt aus Analysen von Sicherheitsforschern, nicht aus einer offiziellen Bestätigung durch Wawa selbst.