Quellen-Tabelle

Eine MIT-Studie mit dem Titel 'The Cop In Your Neighbor's Doorbell' untersuchte die Nutzung von Amazon Rings Nachbarschafts-App 'Neighbors' in Los Angeles und stellte fest, dass Nutzer gefilmte Personen aktiv als kriminell und verdächtig einordnen, dass die ethnische Zusammensetzung eines Viertels die Häufigkeit solcher Meldungen deutlich beeinflusst, und dass die App insbesondere in überwiegend weißen Vierteln, die an nicht-weiße Gebiete grenzen, als eine Art 'Racial Gatekeeping'-Werkzeug fungieren kann. Bei einer Auswertung von über 100 Nutzerbeiträgen über zwei Monate im Raum New York City waren am häufigsten als 'verdächtig' gemeldete Personen People of Color; in mehreren dokumentierten Fällen ermutigten Kommentatoren Nutzer, wegen Gruppen junger Schwarzer Jungen die Polizei zu rufen, ohne dass irgendein Hinweis auf tatsächliches kriminelles Verhalten vorlag. Die Forscher erstellten zudem die erste umfassende landesweite Karte und Analyse der Nutzung smarter Türklingelkameras in den kontinentalen USA.

Die Studie beschreibt statistische Muster und dokumentierte Einzelfälle aus einer begrenzten Stichprobe; eine flächendeckende bundesweite Häufigkeitsstatistik rassistisch motivierter Meldungen wird daraus nicht abgeleitet.

Die 2015 von der französischen Regierungsagentur Etalab entwickelte Software PredVol wurde 2016 im Département Val d'Oise getestet, um das Risiko von Autodiebstählen vorherzusagen, und 2017/2018 wieder eingestellt, da sie nicht besser abschnitt als einfache menschliche Einschätzung. Die ab 2017 von der Gendarmerie entwickelte Nachfolgesoftware PAVED wurde ab 2018 in mehreren Departements erprobt, verhinderte laut Bericht zwar möglicherweise vereinzelte Autodiebstähle, blieb aber insgesamt in ihrer Vorhersagekraft enttäuschend und führte zu keiner erhöhten Zahl von Festnahmen auf frischer Tat; trotz ursprünglicher Pläne wurde PAVED nie flächendeckend innerhalb der Gendarmerie Nationale eingeführt. Kritiker von La Quadrature du Net bemängeln zusätzlich, dass Hersteller den Quellcode ihrer Software nicht offenlegen, wodurch sich nicht überprüfen lässt, wie die Algorithmen ihre Prognosen tatsächlich berechnen und gewichten, und fordern deshalb ein grundsätzliches Verbot von Predictive Policing in Frankreich.

Ob eine geringe Wirksamkeit oder primär Datenschutzbedenken den entscheidenden Grund für die faktische Nichteinführung von PAVED darstellten, lässt sich aus dieser Quelle nicht eindeutig trennen.

Bei einem sogenannten Keyword Warrant muss Google alle Daten zu Nutzersuchen herausgeben, die bestimmte Suchbegriffe innerhalb eines festgelegten Zeitraums enthielten, unabhängig davon, ob die suchenden Personen mit einer Straftat in Verbindung stehen. Google wird nach Schätzungen jährlich mit tausenden solcher Anordnungen konfrontiert; Keyword Warrants gelten als eine der umstrittensten Durchsuchungsmaßnahmen in den USA. In einem Fall aus dem Jahr 2016 forderte die Polizei nach der Vergewaltigung einer Frau in Pennsylvania per Durchsuchungsbeschluss von Google die Herausgabe aller Nutzer, die zuvor nach der Adresse des Opfers gesucht hatten; in einer Untersuchung aus Wisconsin 2019 verlangten Behörden Informationen zu allen Nutzern, die den Namen des Opfers, zwei Schreibweisen des Namens seiner Mutter und dessen Adresse innerhalb eines bestimmten Zeitraums gesucht hatten. Kritiker warnen, dass unschuldige Personen durch dieses 'Fischen im Trüben' ins Visier von Ermittlern geraten können, ohne selbst verdächtig zu sein.

Wie oft Keyword Warrants tatsächlich zur Verurteilung unbeteiligter Personen führten, ist aus dieser Quelle nicht mit Fallzahlen belegt; die Kritik bezieht sich auf das strukturelle Risiko der Methode.

Im September 2022 meldete der australische Telekommunikationsanbieter Optus einen Cyberangriff, bei dem Daten von fast 10 Millionen aktuellen und ehemaligen Kunden zugänglich wurden. Betroffen waren Namen, Geburtsdaten, Wohnadressen, Telefonnummern, E-Mail-Adressen sowie amtliche Ausweisdaten wie Reisepassnummern, Führerscheinnummern und Medicare-Kartennummern. Nach Angaben eines Insiders bei Optus und der australischen Regierung war menschliches Versagen bei einer offenen, nicht durch Authentifizierung geschützten Datenbank-Schnittstelle (API) die Ursache, während Optus selbst den Vorfall öffentlich als komplexen Angriff darstellte. Ein Angreifer unter dem Namen 'optusdata' bekannte sich zu dem Hack und forderte zunächst eine Million US-Dollar Lösegeld, um die Daten nicht im Netz zu verkaufen. Der australische Datenschutzbeauftragte (Australian Information Commissioner) leitete daraufhin ein zivilrechtliches Verfahren gegen Optus ein.

Die widersprüchlichen Darstellungen von Optus (komplexer Angriff) und Insidern/Regierung (einfaches menschliches Versagen bei ungesicherter API) lassen sich aus dieser Quelle nicht abschließend auflösen.

Seit Ende 2022 sind bei der Polizei Berlin 250 Bodycams sowie 50 beim Rettungsdienst der Berliner Feuerwehr im Einsatz; ein Evaluationsbericht der Senatsverwaltung für Inneres und Sport wurde im Oktober 2024 dem Abgeordnetenhaus vorgelegt. Die Speicherfrist für Bodycam-Aufnahmen ist je nach Bundesland sehr unterschiedlich geregelt, etwa vier Tage in Hamburg gegenüber bis zu 30 Tagen in anderen Ländern; der Hamburger Datenschutzbeauftragte kritisierte die kurze Frist, weil sie Betroffenen zu wenig Zeit lasse, sich über das Verhalten von Polizeibeamten zu beschweren, bevor die Aufnahmen automatisch gelöscht werden. Amnesty International forderte, dass die Polizei Videoaufzeichnungen vor der automatischen Löschung systematisch auf strafrechtlich relevantes Verhalten von Beamten selbst hin auswerten müsse. Eine Gesetzesänderung erlaubt seit Ende 2023 unter engen rechtlichen Voraussetzungen zusätzlich den Einsatz von Bodycams innerhalb von Wohnungen.

Ob die Polizei Aufnahmen tatsächlich systematisch auf das eigene Fehlverhalten hin auswertet, wie von Amnesty gefordert, oder überwiegend nur bei Beschwerden reaktiv genutzt wird, ist aus dieser Quelle nicht belegt.

Der Europäische Datenschutzbeauftragte (EDSB) stellte bereits im September 2020 fest, dass Europol bei seiner Voranalyse zur Personenkategorisierung gegen den Grundsatz der Datenminimierung verstieß, und ordnete im Januar 2022 an, Daten zu Personen zu löschen, für die keine Verbindung zu kriminellen Aktivitäten nachgewiesen war. Laut Recherchen des Guardian umfasste die betroffene Datensammlung rund vier Petabyte, entsprechend etwa drei Millionen CD-ROMs, zu mindestens 250.000 Personen, die nationale Strafverfolgungsbehörden an Europol übermittelt hatten, darunter Angaben zu Tausenden unbeteiligten Menschen sowie Einträge aus Terrorlisten einzelner Staaten, die eigentlich hätten gelöscht werden müssen. Statt die Löschanordnung umzusetzen, verabschiedete die EU eine Verordnung, die den Datenberg rückwirkend legalisierte: Die neuen Artikel 74a und 74b erlaubten Europol rückwirkend die Verarbeitung großer Datensätze ohne nachgewiesenen Bezug zu Straftaten und traten am 28.06.2022 in Kraft, womit der Widerspruch des EDSB vom Januar 2022 überschrieben wurde. Der EDSB brachte den Fall daraufhin vor den Europäischen Gerichtshof.

Der Ausgang des Verfahrens vor dem Europäischen Gerichtshof ist aus dieser Quelle nicht belegt.

Das im westlichen Mediendiskurs verbreitete Bild eines umfassenden, hochtechnologisierten Sozialkredit-Systems, das sämtliche chinesische Bürger mit einem einheitlichen Punktekonto überwacht, entspricht laut differenzierten Analysen nicht der Realität; ein verpflichtendes, landesweites Bürgersystem existiert bislang nicht. Bis November 2022 war das Sozialkreditsystem ein Flickenteppich aus lokalen Pilotprojekten und nationalen Einzelmaßnahmen; im November 2022 veröffentlichte China einen Gesetzentwurf, der erstmals bisherige Experimente und Regelungen bündelte. Analysten warnen jedoch davor, das System deswegen zu verharmlosen: China verfügt über einen technologisch versierten Überwachungsstaat, der real existiert, sich jedoch anders darstellt als in reißerischer Berichterstattung häufig suggeriert wird.

Die Quelle bezieht bewusst eine Mittelposition zwischen 'Dystopie-Mythos' und 'Verharmlosung'; eine abschließende, einheitliche Bewertung des tatsächlichen Überwachungsumfangs liefert sie nicht.

Jobcenter gingen durch automatisierte Abfragen 82.000 Hinweisen auf möglichen Sozialleistungsbetrug nach und tauschten dabei insgesamt 9,1 Millionen Datenpakete zwischen den beteiligten Behörden aus; die Daten verschiedener Behörden werden viermal im Jahr abgeglichen. Kontoauszüge gelten als schärfstes kurzfristiges Kontrollinstrument der Jobcenter und dürfen bei einem Bürgergeld-Antrag zur Prüfung von Einkommen und Vermögen verlangt werden. Zum 01.07.2026 fällt die bisher schonende, gestaffelte Sanktionsregelung (10, 20 oder 30 Prozent Kürzung) weg. Im Jahr 2024 waren allerdings nur 0,6 Prozent bzw. rund 23.000 Menschen von Leistungsminderungen betroffen, die wegen Verweigerung der Aufnahme oder Fortführung einer Arbeit verhängt wurden, eine vergleichsweise geringe Zahl gemessen am Umfang der Datenerhebung und -kontrolle.

Die geringe tatsächliche Sanktionsquote von 0,6 Prozent im Verhältnis zum Umfang von 9,1 Millionen ausgetauschten Datenpaketen und 82.000 Betrugsprüfungen wirft die Frage auf, wie viele der Kontrollen tatsächlich zu belegtem Fehlverhalten führten; diese Verhältniszahl selbst liefert die Quelle jedoch nicht explizit als Kritik.

Die ACLU trainierte Amazons Gesichtserkennungssoftware Rekognition mit 25.000 öffentlich zugänglichen Fahndungsfotos und glich sie anschließend mit Fotos von Mitgliedern des US-Kongresses ab. Der Algorithmus verwechselte fälschlicherweise 28 Kongressmitglieder mit Personen aus den Fahndungsfotos, wobei Fehltreffer bei Kongressabgeordneten mit dunklerer Hautfarbe überproportional häufig auftraten. Die ACLU kritisierte, Gesichtserkennungstechnologie verstärke die Überpolizierung Schwarzer und brauner Communities und habe bereits zu falschen Festnahmen und fehlerhaften Inhaftierungen mehrerer Schwarzer Männer geführt. Amazon kündigte im Juni 2020 ein einjähriges Moratorium für den Verkauf von Rekognition an Strafverfolgungsbehörden an und verlängerte dieses im Mai 2021 auf unbestimmte Zeit; die ACLU bewertete das befristete Moratorium ursprünglich als unzureichend und forderte ein vollständiges, dauerhaftes Verbot bis die Gefahren der Technologie vollständig adressiert seien.

Ob Amazon das unbefristete Moratorium seither tatsächlich lückenlos einhält oder Rekognition über andere Vertriebswege weiterhin an Polizeibehörden gelangt, ist aus dieser Quelle nicht belegt.

Ein Bericht des UN-Expertengremiums für Libyen dokumentierte im März 2021 den möglichen Einsatz tödlicher autonomer Waffensysteme wie der türkischen Kampfdrohne Kargu-2 des Herstellers STM bei einer Offensive nahe Tripolis im März 2020. Die Drohnen waren so programmiert, dass sie Ziele angreifen konnten, ohne eine Datenverbindung zwischen Bediener und Munition zu benötigen, eine echte 'Feuern-Vergessen-Finden'-Fähigkeit. Laut dem Bericht wurden Logistikkonvois und sich zurückziehende, mit General Khalifa Haftar verbündete Kräfte anschließend von unbemannten Kampfflugzeugen bzw. den letalen autonomen Waffensystemen wie der Kargu-2 aufgespürt und aus der Ferne angegriffen. Die Drohne nutzt Echtzeit-Bildverarbeitung und in die Plattform integrierte maschinelle Lernalgorithmen, um sowohl statische als auch bewegliche Ziele zu identifizieren, und explodiert bei Aufprall oder Annäherung an das KI-identifizierte Ziel.

Der UN-Bericht stellt nicht mit Sicherheit fest, dass tatsächlich Menschen durch ein ohne menschliche Aufsicht operierendes System getötet wurden; er beschreibt den möglichen Einsatz und löste eine intensive Debatte über autonome Waffen aus, ohne den Vorfall abschließend zu bestätigen.

Im Mai 2024 stahlen unbekannte Angreifer mehrere Millionen Kundensupport-Tickets der Überwachungs-App mSpy, einschließlich persönlicher Informationen, Support-E-Mails und Anhängen wie persönlichen Dokumenten. Das mehrere hundert Gigabyte umfassende Leck enttarnte Millionen Nutzer aus Europa, Indien, Japan sowie Nord- und Südamerika, die in den vergangenen zehn Jahren Zugang zur kommerziell erhältlichen Spyware erworben hatten; ein Mitarbeiter von Have I Been Pwned erhielt eine Liste mit 2,4 Millionen betroffenen E-Mail-Adressen. Die geleakten Zendesk-Support-Aufzeichnungen reichten bis 2014 zurück und enthielten Anfragen mehrerer hochrangiger US-Militärangehöriger, eines amtierenden US-Bundesrichters sowie eines Sheriffbüros aus Arkansas. Über einen Monat nach dem Leak hatte der ukrainische Betreiber Brainstack den Vorfall weder offiziell anerkannt noch öffentlich gemacht. Bereits 2015 und 2018 waren zuvor jeweils hunderte Gigabyte bzw. Millionen vertraulicher mSpy-Kundendaten und Überwachungsdaten von Opfern im Darknet aufgetaucht.

Dass hochrangige US-Amtsträger unter den Kunden waren, belegt die Quelle anhand der Support-Anfragen; ob sie die Software zur Überwachung Dritter tatsächlich einsetzten oder aus anderen Gründen Kontakt zum Support hatten, ist daraus nicht ersichtlich.

Am 07.05.2021 nahm Colonial Pipeline, Betreiberin der größten Raffinerieprodukt-Pipeline der USA mit über 100 Millionen Litern täglich transportiertem Treibstoff zwischen Houston, Texas, und Linden, New Jersey, ihre Systeme vorsorglich vom Netz, nachdem die Ransomware-Gruppe DarkSide über ein kompromittiertes VPN-Passwort Zugang zum Firmennetzwerk erlangt hatte. Der Angriff störte die Treibstoffversorgung an der gesamten US-Ostküste erheblich, löste Panikkäufe aus und trieb die durchschnittlichen Benzinpreise auf den höchsten Stand seit 2014, über 3 US-Dollar pro Gallone. Colonial Pipeline zahlte 4,4 Millionen US-Dollar Lösegeld; Präsident Biden erklärte den nationalen Notstand und hob vorübergehende Beschränkungen für den Inlandstransport von Erdölprodukten auf. Die Pipeline blieb vom 07. bis 12.05.2021 abgeschaltet, der Normalbetrieb wurde am 15.05.2021 wiederhergestellt.

Ob die gezahlten 4,4 Millionen US-Dollar später teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Am 24.11.2014 wurde Sony Pictures gehackt, wobei tonnenweise vertrauliche Daten, Finanzzahlen, interne Kommunikation sowie hochauflösende Kopien kommender Sony-Filme öffentlich wurden. Eine Hackergruppe namens 'Guardians of Peace' bekannte sich zu dem Angriff und drohte mit Terroranschlägen auf Kinos, sollte der Nordkorea-Satirefilm 'The Interview' gezeigt werden. Das FBI beschuldigte am 19.12.2014 staatliche Stellen Nordkoreas als Urheber; mit zunehmendem zeitlichem Abstand verhärteten sich jedoch Zweifel an dieser damaligen Zuschreibung. Der Datenbruch offenbarte schwache Sicherheitspraktiken bei Sony, unter anderem waren einige Daten hinter dem Passwort 'sonypictures' hinterlegt. Durch die geleakten Informationen wurden massive Gagenunterschiede bei Sony-Produktionen bekannt, und Studiochefin Amy Pascal wurde durch unsensibel formulierte private E-Mails öffentlich bloßgestellt und musste das Studio in der Folge verlassen; der geplante breite Kinostart von 'The Interview' wurde abgesagt, was auch Kritik von US-Präsident Barack Obama einbrachte.

Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.

Im November/Dezember 2013 stahlen Cyberkriminelle bei der US-Einzelhandelskette Target rund 40 Millionen Kredit- und Debitkartennummern sowie zusätzlich persönliche Daten wie Namen, Adressen, Telefonnummern und E-Mail-Adressen von bis zu 70 Millionen Kunden; die Gesamtkosten des Vorfalls beliefen sich für Target auf 248 Millionen US-Dollar. Bei der Baumarktkette Home Depot entwendeten Angreifer zwischen April und September 2014 mithilfe eigens entwickelter Schadsoftware schätzungsweise 56 Millionen Debit- und Kreditkartennummern; die Angreifer verschafften sich Zugang über gestohlene Zugangsdaten eines Drittanbieters und installierten anschließend Malware auf den Kassensystemen in 2.200 Filialen. Die verwendete Methode (RAM-Scraping-Malware über gestohlene Drittanbieter-Zugangsdaten) ähnelte stark der beim Target-Hack eingesetzten Technik; Home Depot zahlte in der Folge 179 Millionen US-Dollar für Vergleiche.

Dass beide Angriffe eine sehr ähnliche technische Methode nutzten, deutet auf eine mögliche Verbindung oder Nachahmung hin; ein direkter Zusammenhang oder dieselben Täter werden in dieser Quelle jedoch nicht behauptet.

Eine Studie des Open Markets Institute charakterisierte Amazon als 'vor allem eine Überwachungsfirma' und deckte eine umfassende Überwachungskultur mit 'Kontrolle, Erniedrigung und unablässiger Angst' der Beschäftigten auf. Ehemalige Mitarbeiter berichteten von sogenannten 'Release Days', an denen mehrere befristete Beschäftigte gekündigt werden, wobei die Entscheidung auf den Ergebnissen eines internen Computersystems beruht; Mitarbeiter können jederzeit entlassen werden, wenn sie von Messwerten abweichen, deren Existenz ihnen nicht einmal bekannt ist. Die intensive Überwachung dient laut Studie nicht nur der Leistungskontrolle, sondern auch dazu, gewerkschaftliche Organisierung der Beschäftigten zu erschweren. Die Studienautoren fordern ein Verbot derart invasiver Überwachung und eine stärkere gesetzliche Unterstützung der Gewerkschaftsbildung durch den US-Kongress.

Konkrete Beispiele für die genauen, den Beschäftigten unbekannten Messwerte, die zur automatisierten Kündigung führen, nennt die Quelle nicht im Detail.

Zwischen Juni und September 2018 leiteten Angreifer den Nutzerverkehr der British-Airways-Website auf eine betrügerische Seite um und griffen dabei personenbezogene Daten von Kunden ab, darunter Namen, E-Mail-Adressen und Kreditkarteninformationen samt CVV-Sicherheitscodes. British Airways meldete das Datenleck am 06.09.2018, gab zunächst aber nur rund 380.000 betroffene Kunden an; die Untersuchung der britischen Datenschutzbehörde ICO ergab später, dass deutlich mehr Kunden betroffen waren, rund 500.000, und dass zahlreiche Sicherheitsvorkehrungen in den IT-Systemen von British Airways unzureichend waren und nicht den DSGVO-Anforderungen entsprachen. Die ICO kündigte daraufhin eine Rekordstrafe von umgerechnet rund 204 Millionen Euro (183 Millionen Pfund) an, die erste von der ICO unter der DSGVO ausgesprochene Geldbuße überhaupt.

Die tatsächlich final gezahlte Bußgeldsumme kann von der ursprünglich angekündigten Höhe abweichen, wenn im weiteren Verfahren Einwände oder Reduzierungen erfolgten; dies ist aus dieser Quelle nicht belegt.

Die irische Datenschutzbehörde (DPC) verhängte nach einer verbindlichen Streitbeilegungsentscheidung des Europäischen Datenschutzausschusses (EDPB) gegen Meta Platforms Ireland Limited ein Bußgeld von 1,2 Milliarden Euro, das bis dahin höchste jemals auf Basis der DSGVO verhängte Bußgeld. Grund war die unrechtmäßige Übermittlung von Nutzerdaten europäischer Facebook-Nutzer an Empfänger in den USA, die laut Behörde nicht ausreichend vor dem Zugriff durch US-Sicherheitsbehörden geschützt waren und damit Risiken für Grundrechte und -freiheiten der Betroffenen darstellten. Bei der Bußgeldbemessung wurde unter anderem die enorme Anzahl der tatsächlich erfolgten Datenübermittlungen in die USA zugrunde gelegt. Die Behörde untersagte Meta zusätzlich die weitere Datenübertragung in die USA auf der bisherigen Rechtsgrundlage.

Ob und wie Meta die Datenübermittlung nach dem Verbot tatsächlich vollständig einstellte oder über eine neue Rechtsgrundlage (etwa das spätere EU-US Data Privacy Framework) fortsetzte, ist aus dieser Quelle nicht belegt.

2019 bestätigte die US-Bank Capital One den unbefugten Zugriff auf Kundendaten, darunter Zahlungshistorie, Kontaktdaten, Kreditscores, über 100.000 Sozialversicherungsnummern und knapp 80.000 verknüpfte Bankkontonummern. Die ehemalige AWS-Ingenieurin Paige Thompson, alias 'erratic', nutzte eine fehlkonfigurierte Web Application Firewall in Capital Ones AWS-Cloud-Umgebung mittels Server-Side Request Forgery aus, um Zugangsdaten zu erlangen und Daten aus S3-Speichern mit 106 Millionen Kreditkarten-Antragsdatensätzen herunterzuladen. Thompson hatte während ihrer früheren Anstellung bei Amazon ein Tool entwickelt, mit dem sie AWS-Cloud-Konten auf Fehlkonfigurationen scannen und darüber bei mehr als 30 Organisationen, darunter Capital One, Daten abgreifen konnte. Eine Jury in Seattle sprach Thompson wegen Überweisungsbetrugs und unbefugten Zugriffs auf geschützte Computer schuldig. Capital One wurde mit 80 Millionen US-Dollar Bußgeld belegt und zahlte zusätzlich 190 Millionen US-Dollar zur Beilegung von Kundenklagen.

Ob Amazon selbst für die zugrunde liegende AWS-Sicherheitsarchitektur mitverantwortlich gemacht wurde, ist aus dieser Quelle nicht belegt; die strafrechtliche Verantwortung wurde ausschließlich Thompson als Einzeltäterin zugeschrieben.

Der Marktführer für Identitätsmanagement Okta gab am 21.10.2023 einen Sicherheitsvorfall in seinem Kundensupportsystem bekannt. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten Zugriff auf das Support-Case-Management-System von Okta; das Sicherheitsteam von BeyondTrust hatte bereits am 02.10.2023 einen Einbruchsversuch in ein internes Okta-Administratorkonto entdeckt und blockiert, bei dem ein aus dem Okta-Support-System gestohlenes Cookie verwendet wurde. Der Angreifer lud einen Bericht mit Details aller Nutzer des Okta-Kundensupportsystems herunter; am häufigsten entwendet wurden vollständige Namen und E-Mail-Adressen, in selteneren Fällen auch Telefonnummern, Benutzernamen und Positionsangaben. Die Support-Dateien enthielten zusätzlich Kunden-Cookies und Session-Tokens, über die Angreifer potenziell auf Kundenkonten zugreifen konnten. Zu den betroffenen Kunden gehörten unter anderem die Sicherheitsfirmen BeyondTrust und Cloudflare.

Da Okta zentrale Authentifizierungsdienste für zahlreiche andere Unternehmen bereitstellt, ist das Ausmaß der Folgeschäden bei Kunden, die die gestohlenen Session-Tokens tatsächlich zur weiteren Kompromittierung nutzten, aus dieser Quelle nicht vollständig beziffert.

Im Herbst 2022 führte Twitter unter der neuen Führung von Elon Musk rasche Kündigungen und Massenentlassungen durch, die erheblich die Teams betrafen, die für den Schutz von Nutzerdaten zuständig waren; zentrale Datenschutz- und Sicherheitsverantwortliche verließen das Unternehmen, darunter der Chief Privacy Officer, der Chief Information Officer und der Chief Compliance Officer. 2022 wies Musk Mitarbeiter an, einer externen dritten Person 'vollständigen Zugriff auf alles bei Twitter' mit erweiterten Rechten über die eines durchschnittlichen Mitarbeiters hinaus zu gewähren; Informationssicherheits-Mitarbeiter griffen ein und implementierten Schutzmaßnahmen, um eine mögliche Offenlegung nicht-öffentlicher Nutzerdaten unter Verstoß gegen eine bestehende FTC-Anordnung zu verhindern. Die Federal Trade Commission untersuchte Musks Massenentlassungen bei Twitter und verlangte Einsicht in seine interne Kommunikation im Rahmen ihrer Aufsicht über die Datenschutz- und Cybersicherheitspraktiken des Unternehmens; das US-Justizministerium erklärte, Musk könne gegen eine 2022 verhängte FTC-Anordnung zu Datenschutz- und Sicherheitspraktiken bei Twitter verstoßen haben.

Der Ausgang der FTC-Untersuchung gegen Musk und Twitter/X ist aus dieser Quelle nicht belegt.

Am 18.09.2022 leakte ein britischer Teenager namens Arion Kurtaj, damals noch minderjährig, rund 90 Dateien mit Gameplay-Material des noch unangekündigten 'Grand Theft Auto VI' im Forum GTAForums, nachdem er sich über einen internen Slack-Chat Zugang zum Entwicklerstudio Rockstar Games verschafft hatte, einer der größten Datenlecks in der Geschichte der Videospielbranche. Der Leak bestätigte vorzeitig Vice City als Schauplatz sowie eine weibliche Hauptfigur und zwei spielbare Charaktere. Kurtaj war Mitglied der Hackergruppe Lapsus$, die zuvor auch Nvidia und Samsung angriff, und wurde später gefasst und zu einer lebenslangen Unterbringung in einer psychiatrischen Klinik verurteilt. Rockstar Games bezifferte den durch den Vorfall verursachten Schaden auf 5 Millionen US-Dollar sowie tausende Arbeitsstunden für die Aufarbeitung.

Die genaue technische Schwachstelle, über die Kurtaj Zugang zum internen Slack-Kanal erlangte, ist aus dieser Quelle nicht im Detail beschrieben.

Im September 2023 griff die Hackergruppe Scattered Spider (UNC3944) sowohl Caesars Entertainment (07.09.2023, Social-Engineering-Angriff auf einen IT-Drittanbieter) als auch MGM Resorts International (11.09.2023) an, Teil einer Angriffswelle gegen schätzungsweise 100 Organisationen. Die Angreifer identifizierten über LinkedIn einen MGM-Mitarbeiter, gaben sich als diese Person aus und riefen in einem zehnminütigen Telefonat beim IT-Helpdesk von MGM an, um sich Zugang zu dessen Konto zu verschaffen; dadurch erlangten sie Administratorrechte in MGMs Okta-Umgebung und nutzten schwache Mehr-Faktor-Authentifizierung aus, um die Kontrolle über den Azure-Active-Directory-Domänencontroller zu übernehmen. Am 14.09.2023 gaben die Angreifer an, 6 Terabyte Daten von beiden Unternehmen exfiltriert und anschließend BlackCat/ALPHV-Ransomware eingesetzt zu haben, was Online-Reservierungssysteme, digitale Zimmerschlüssel, Spielautomaten und Websites lahmlegte. Caesars zahlte Berichten zufolge 15 Millionen US-Dollar Lösegeld, während MGM sich stattdessen für eine Zusammenarbeit mit Strafverfolgungsbehörden entschied; der Vorfall dauerte bei MGM rund zehn Tage und verursachte für das dritte Quartal 2023 einen geschätzten Verlust von 100 Millionen US-Dollar.

Ob Caesars' Lösegeldzahlung MGM als weiteres Ziel derselben Angreifer erst attraktiv machte, wird in manchen Analysen vermutet, ist aus dieser Quelle aber nicht als gesicherter Kausalzusammenhang belegt.

Nachdem Change Healthcare Berichten zufolge 22 Millionen US-Dollar Lösegeld an die Ransomware-Gruppe ALPHV/BlackCat gezahlt hatte, um nach dem am 21.02.2024 bekanntgewordenen Angriff wieder Zugriff auf seine Systeme zu erhalten, meldete sich am 08.04.2024 eine zweite Gruppe namens RansomHub und behauptete, im Besitz derselben bereits erpressten Daten zu sein. RansomHub gab an, über 4 Terabyte sensibler Daten aus dem Netzwerk des Unternehmens erbeutet zu haben, darunter personenbezogene Daten aktiver US-Militärangehöriger und anderer Patienten, medizinische Unterlagen, Versicherungsdaten, Zahlungsinformationen sowie über 3.000 Quellcode-Dateien von Change-Healthcare-Software, und drohte mit Veröffentlichung, sollte keine weitere Zahlung erfolgen. Es kursieren drei Theorien zur Identität von RansomHub: ein Rebranding von ALPHV mit tatsächlichem Zugriff auf die Daten, ein ehemaliges ALPHV-Mitglied mit Zugriff, oder ein bluffender Akteur ohne echten Datenzugriff.

Welche der drei Theorien zur Identität von RansomHub zutrifft und ob eine zweite Zahlung tatsächlich erfolgte, ist aus dieser Quelle nicht abschließend geklärt.

Am 12.05.2017 legte die Ransomware WannaCry den britischen Gesundheitsdienst NHS für mehrere Tage lahm und betraf Krankenhäuser und Arztpraxen in ganz England und Schottland, wodurch tausende Termine und Operationen abgesagt werden mussten; über 80 Krankenhäuser waren direkt betroffen. Weltweit infizierte WannaCry an einem einzigen Tag rund 230.000 Computer, insgesamt über 200.000 Systeme in 150 Ländern, mit geschätzten Gesamtschäden von rund 4 Milliarden US-Dollar. WannaCry zielte nicht gezielt auf den NHS, doch veraltete Sicherheitsmaßnahmen begünstigten die Ausbreitung: Viele Computer britischer Krankenhäuser liefen auf ungepatchten Windows-7-Versionen. Die Schadsoftware nutzte die SMBv1-Sicherheitslücke in Windows aus, um Dateien zu verschlüsseln und Bitcoin-Lösegeld zu fordern. NHS England und die National Crime Agency bestätigten, dass keine NHS-Organisation Lösegeld zahlte; der Sicherheitsforscher Marcus Hutchins entdeckte rund sieben Stunden nach Beginn des Angriffs einen im Code eingebauten Kill-Switch und registrierte die zugehörige Domain, wodurch die weitere Ausbreitung gestoppt wurde.

Der Kill-Switch stoppte die weitere Ausbreitung, konnte aber bereits verschlüsselte Systeme nicht wiederherstellen; wie viele der betroffenen NHS-Systeme letztlich ohne Lösegeldzahlung wiederhergestellt wurden, ist aus dieser Quelle nicht beziffert.

Am 27.06.2017 kompromittierten staatlich gelenkte Akteure des russischen Militärgeheimdienstes GRU ein Update der ukrainischen Steuersoftware M.E.Doc mit der als Ransomware getarnten, tatsächlich datenzerstörenden Schadsoftware NotPetya, um die Ukraine zu treffen. Über die Windows-Schwachstelle EternalBlue verbreitete sich die Malware jedoch unkontrolliert lateral über verbundene Netzwerke weltweit und verursachte geschätzte Gesamtschäden von über 10 Milliarden US-Dollar. Die Reederei Maersk erlitt einen kompletter IT-Ausfall über mehrere Kontinente, der den Hafenbetrieb störte, mit finanziellen Verlusten zwischen 200 und 300 Millionen US-Dollar. Der Pharmakonzern Merck schätzte seinen Schaden auf 870 Millionen US-Dollar, einen der teuersten Cyberangriffe auf ein einzelnes Unternehmen in der Geschichte; die Produktion mehrerer Medikamente, darunter der HPV-Impfstoff Gardasil 9, wurde unterbrochen, sodass Merck Impfdosen aus dem Vorrat der US-Gesundheitsbehörde CDC entleihen musste. Weitere weltweit betroffene Unternehmen waren FedEx, der Lebensmittelkonzern Mondelez und der Baukonzern Saint-Gobain.

NotPetya war primär gegen ukrainische Ziele gerichtet; die massiven Kollateralschäden bei internationalen Konzernen waren laut Analysen eine unbeabsichtigte Folge der unkontrollierten Ausbreitungsmechanik, kein ursprüngliches Angriffsziel.