Quellen-Tabelle

Die kanadische Drogeriekette London Drugs entdeckte am 28.04.2024 einen Cyberangriff und schloss alle 79 Filialen in Westkanada bis zum 07.05.2024. LockBit forderte 25 Millionen US-Dollar Lösegeld. London Drugs zahlte nicht, woraufhin interne Mitarbeiterunterlagen veröffentlicht wurden. Kunden- oder Patientendatenbanken waren nach Unternehmensangaben nicht betroffen.

Der genaue Umfang der gestohlenen Daten ist nicht abschließend geklärt. Ob Kundendaten entgegen der Unternehmensaussage doch betroffen waren, ist nicht unabhängig verifiziert.

Die Gruppe Clop nutzte im März 2023 die Zero-Day-Schwachstelle CVE-2023-0669 in GoAnywhere MFT, um in Systeme der tasmanischen Regierung einzudringen. Mindestens 16.000 Dokumente mit Namen, Adressen und Bankauszügen von Schülern und Familien waren betroffen, insgesamt rund 150.000 Personen und Unternehmen in Tasmanien. Die Regierung zahlte nach eigenen Angaben kein Lösegeld.

Die genaue Gesamtzahl der geleakten Dokumente schwankt je nach Quelle. Ob tatsächlich kein Lösegeld gezahlt wurde, lässt sich extern nicht verifizieren.

Am 25.12.2022 wurde die Hafenverwaltung von Lissabon, Portugals drittgrößter Hafen, Ziel eines Cyberangriffs. Die Gruppe LockBit behauptete, Finanzberichte, Verträge und Fracht- sowie Besatzungsdaten erbeutet zu haben. Die Website blieb tagelang nicht erreichbar. LockBit setzte eine Frist bis zum 18.01.2023.

Die konkrete Lösegeldforderung von rund 1,5 Millionen US-Dollar wurde nicht offiziell bestätigt. Ob operative Systeme kompromittiert wurden, blieb ungeklärt, da die Hafenbehörde dies bestritt.

Am Wochenende des 04./05.02.2023 wurde die Munster Technological University in Cork Ziel eines Ransomware-Angriffs. Die Gruppe ALPHV/BlackCat veröffentlichte nach verweigerter Zahlung mehr als 6 Gigabyte interner Dateien, darunter Gehaltsabrechnungen und irische Sozialversicherungsnummern. Laut Berichten von 2025 beliefen sich die Kosten für die Universität auf rund 4,2 Millionen Euro.

Wie viele Personen konkret betroffen waren, ist nicht dokumentiert. Ob MTU ein Lösegeld zahlte, wird von der Universität verneint, eine unabhängige Bestätigung liegt nicht vor.

Die Gruppe Rhysida drang Ende Mai 2023 mittels Phishing in Netzwerke des chilenischen Heeres ein. Das Heer bestätigte den Vorfall am 29.05.2023 und isolierte betroffene Netzwerke. Rhysida veröffentlichte rund 360.000 Dokumente. Ein Unteroffizier des Heeres wurde wegen Beteiligung am Angriff festgenommen und angeklagt.

Der genaue Inhalt der veröffentlichten Dokumente ist nicht dokumentiert. Die Zahl von 360.000 Dokumenten stammt allein von der Angreifergruppe und ist nicht unabhängig verifiziert.

Die südafrikanische Companies and Intellectual Property Commission (CIPC) veröffentlichte am 29.02.2024 eine Mitteilung über einen Sicherheitsvorfall. Betroffen waren personenbezogene Daten von Kunden und Mitarbeitern, darunter Angaben zu Unternehmensdirektoren und Markeninhabern. Eine sich bekennende Gruppe behauptete, bereits seit rund drei Jahren Zugriff auf die Datenbank gehabt zu haben.

Die genaue Anzahl betroffener Datensätze wurde nicht veröffentlicht. Die Behauptung des dreijährigen unbemerkten Zugriffs stammt allein von den Tätern und wurde nicht bestätigt.

Die pro-palästinensische Gruppe Cyber Toufan kompromittierte am 16.11.2023 den israelischen Hosting-Dienstleister Signature IT und erlangte Zugriff auf Daten Dutzender israelischer Organisationen. Sicherheitsfirmen identifizierten rund 49 betroffene Unternehmen und Behörden, darunter die Israel Innovation Authority und Toyota Israel.

Die Urheberschaft ist nicht abschließend geklärt, Check Point vermutet iranische Steuerung ohne offizielle Bestätigung. Die Zahl kompromittierter Organisationen schwankt zwischen 40 und über 100 je nach Quelle.

Im Mai 2024 beanspruchte die Gruppe Stormous, Teil des Bündnisses Five Families, Cyberangriffe auf mehrere VAE-Institutionen, darunter die Telecommunications and Digital Government Regulatory Authority und die Roads and Transport Authority Dubai. Die Angreifer forderten 150 Bitcoin Lösegeld mit einer Frist bis zum 09.05.2024.

Es handelt sich ausschließlich um Behauptungen der Angreifergruppe, keine der genannten Institutionen bestätigte den Angriff. Die tatsächliche Kompromittierung ist nicht unabhängig verifiziert.

Am 22.09.2023 wurde die staatliche philippinische Krankenversicherung PhilHealth Ziel eines Ransomware-Angriffs durch die Gruppe Medusa. Die Angreifer forderten rund 300.000 US-Dollar Lösegeld. PhilHealth bestätigte den Vorfall und schaltete Teile seiner IT-Systeme ab. Millionen Mitgliederdaten konnten betroffen sein.

Die genaue Zahl kompromittierter Datensätze ist unklar, Schätzungen reichen bis 13,4 Millionen Mitglieder ohne offizielle Bestätigung. Ob Lösegeld gezahlt wurde, wurde dementiert.

Am 30.04.2024 wurde die Webseite des ecuadorianischen Consejo de la Judicatura durch einen DDoS-Angriff lahmgelegt. Der Angriff kam nach ersten Ermittlungen aus rund 15 Ländern. Die Institution erklärte, nur ein externer Sicherheitsfilter sei kompromittiert worden, interne Informationen seien nicht betroffen gewesen.

Wer hinter dem Angriff steckt, ist nicht belegt. Die Behauptung, keine Daten seien kompromittiert worden, stammt allein von der betroffenen Institution selbst.

Im Januar 2023 wurde das costa-ricanische Ministerium für öffentliche Arbeiten und Verkehr (MOPT) von einem Ransomware-Angriff getroffen, bei dem 12 Server verschlüsselt wurden. Dienstleistungen wie Fahrprüfungen mussten auf papierbasierte Abwicklung umgestellt werden. Der Vorfall ereignete sich rund neun Monate nach dem großen Conti-Ransomware-Angriff von 2022.

Zum Zeitpunkt der Berichterstattung hatte sich keine Gruppe zum Angriff bekannt. Der finanzielle Schaden wurde nicht beziffert.

Ab dem 23.07.2023 fiel Kenias zentrales Regierungsportal e-Citizen aus, über das mehr als 5.000 staatliche Dienstleistungen abgewickelt werden. Die Gruppe Anonymous Sudan bekannte sich zu einer DDoS-Attacke und forderte eine Entschuldigung Kenias oder 200.000 US-Dollar in Bitcoin. Der Generalrechnungsprüfer hatte bereits gewarnt, dass e-Citizen über keinen Notfallplan und keinen Backup-Standort verfüge.

Die Behauptung, keine Nutzerdaten seien kompromittiert worden, ist nicht unabhängig verifiziert. Die Urheberschaft der Gruppe Anonymous Sudan ist umstritten, Sicherheitsforscher vermuten russische statt sudanesische Verbindungen.

Am 19. und 20.12.2024 wurden die ukrainischen Staatsregister des Justizministeriums, rund 60 Datenbanken mit biometrischen Daten und Grundbucheinträgen, durch einen Cyberangriff lahmgelegt. Die pro-russische Gruppe XakNet bekannte sich dazu und behauptete, Primärdatenbanken und Backups gelöscht zu haben. Der Inlandsgeheimdienst SBU vermutet Angreifer im Umfeld des russischen Militärgeheimdienstes GRU. Betroffen waren auch die App Diia mit über 21 Millionen Nutzern und die Wehrerfassungs-App Reserve Plus.

Ob tatsächlich Daten entwendet und veröffentlicht wurden, ist nicht belegt. Die ukrainische Regierung bestreitet die Behauptung der vollständigen Datenlöschung. Die Zuordnung zum GRU beruht auf Vermutungen ohne öffentliche technische Beweise.

In der Nacht vom 5. auf den 6.02.2024 verschlüsselte die Gruppe LockBit die EDV-Systeme der niederösterreichischen Stadtgemeinde Korneuburg. Betroffen waren rund 220 Mitarbeiter und 90 PCs. Die vollständige Wiederherstellung dauerte bis zum 23.02.2024. Die Gemeinde zahlte kein Lösegeld dank vorhandenem Band-Backup, der geschätzte Schaden liegt bei rund 100.000 Euro.

Die genaue Höhe der ursprünglich geforderten Lösegeldsumme wurde nicht beziffert. Ob es zu einem Datenabfluss kam, wurde von der Gemeinde verneint, ohne unabhängige forensische Bestätigung.

Ab September 2023 wurden armenische Regierungsstellen und der Flughafen Zvartnots mit einem präparierten Word-Dokument angegriffen, das als Warnung des Sicherheitsdienstes getarnt war und die Schadsoftware AsyncRAT installierte. CyberHUB AM stuft die Täterschaft als wahrscheinlich aserbaidschanisch ein.

Eine staatliche Beauftragung ist nicht belegt, die Zuordnung stützt sich nur auf indirekte Indizien wie einen Debug-Pfad. Genaue Opferzahlen wurden nicht beziffert.

Die sri-lankische Information and Communication Technology Agency (ICTA) bestaetigte am 11. September 2023 einen Ransomware-Angriff auf die staatliche Cloud-Infrastruktur "Lanka Government Cloud" (LGC). Betroffen waren rund 5.000 E-Mail-Konten der gov.lk-Domain; da seit dem 17. Mai 2023 keine Backups mehr existierten, gingen alle Daten aus dem Zeitraum 17. Mai bis 26. August 2023 unwiederbringlich verloren. Ursache war eine veraltete, seit 2014 nicht mehr aktualisierte Microsoft-Exchange-2013-Installation.

Weder die genaue Ransomware-Gruppe noch die Hoehe einer eventuellen Loesegeldforderung sind ersichtlich; unklar bleibt, wie die Angreifer initial Zugriff erlangten.

Im November 2022 wurde die Regierung des Pazifikstaats Vanuatu Ziel eines schweren Cyberangriffs, der saemtliche staatlichen Server und E-Mail-Systeme lahmlegte. Behoerden mussten wochenlang auf Papier und persoenliche Gmail-Konten ausweichen, da Server neu aufgesetzt werden mussten; Regierungswebseiten und interne Netzwerke blieben ueber einen Monat gestoert.

Die Herkunft des Angriffs wurde offiziell nicht eindeutig bestaetigt, Berichte deuteten auf ransomware-aehnliche Methoden hin. Details zu Angreifer-Identitaet und Motiv blieben unklar.

Im Oktober 2022 bestaetigte der staatliche chilenische Kupferkonzern Codelco (weltgroesster Kupferproduzent) einen Ransomware-Angriff der Gruppe Hive. Codelco erklaerte, dass keine operativen oder produktionskritischen Systeme betroffen gewesen seien, raeumte aber ein, dass Angreifer Zugriff auf interne administrative Dateien erlangt hatten.

Nicht belegt ist der genaue Umfang der exfiltrierten Daten oder ob tatsaechlich vertrauliche Geschaeftsgeheimnisse betroffen waren; Codelco bestritt schwerwiegende Folgen, waehrend die Hive-Gruppe weitergehende Behauptungen aufstellte.

Die kamerunische Regierung schaltete am 17. Januar 2017 als Reaktion auf Proteste der englischsprachigen Minderheit das Internet ab. Die Sperre dauerte rund 94 Tage bis Ende April 2017 und betraf laut Access Now schätzungsweise 1,7 bis 5 Millionen Menschen.

Die genaue Zahl der betroffenen Nutzer und der wirtschaftliche Schaden variieren je nach Quelle, da Kamerun selbst die Sperre nie offiziell mit Zahlen belegte.

Die von ESET analysierte Hackergruppe GreyEnergy, die als Nachfolger der fuer den ukrainischen Stromausfall 2015/2016 verantwortlichen Gruppe BlackEnergy gilt, griff neben ukrainischen Energieversorgern auch ein Unternehmen im Energiesektor Nordmazedoniens an. ESET dokumentierte den Einsatz modularer Malware zur Spionage und Sabotage kritischer Infrastruktur, konnte aber keinen erfolgreichen Stromausfall wie 2016 in der Ukraine nachweisen.

ESET nennt das betroffene nordmazedonische Unternehmen aus Vorsicht nicht namentlich und bestaetigt keinen konkreten Sabotage-Erfolg dort; die Zuordnung zu einem staatlichen Akteur (vermutet Russland) bleibt eine Einschaetzung von Sicherheitsforschern, kein gerichtsfester Beweis.

Moldauische Behoerden erklaerten im Oktober 2024, ueber Beweise fuer ein grossangelegtes Stimmenkaufnetzwerk zu verfuegen, das mit dem im Exil lebenden, prorussischen Oligarchen Ilan Shor verbunden sei. Nach Behoerdenangaben sollen rund 15 Millionen US-Dollar an geschaetzte 130.000 bis 150.000 Waehler geflossen sein, um deren Stimmen beim EU-Beitritts-Referendum und der Praesidentschaftswahl zu beeinflussen.

Die genaue Gesamtsumme und Empfaengerzahl beruhen auf Schaetzungen der moldauischen Ermittlungsbehoerden und sind nicht unabhaengig extern verifiziert; Ilan Shor bestreitet die Vorwuerfe und lebt im russischen Exil.

Im Juli 2021 legte ein Ransomware-Angriff die IT-Systeme des staatlichen suedafrikanischen Bahn-, Hafen- und Pipelinebetreibers Transnet lahm. Betroffen waren die Containerterminals in Durban, Kapstadt, Port Elizabeth und Ngqura, wodurch der Warenumschlag in einem der wichtigsten Haefen Afrikas fuer mehrere Tage massiv gestoert wurde.

Die genaue Ransomware-Variante und die Identitaet der Angreifer wurden von Transnet nie offiziell bestaetigt; der volle wirtschaftliche Schaden sowie das Ausmass eines moeglichen Datenabflusses blieben oeffentlich ungeklaert.

In der Nacht vom 20. auf den 21. August 2022 wurde das Centre Hospitalier Sud-Francilien (CHSF) in Corbeil-Essonnes Opfer eines Ransomware-Angriffs, der das Krankenhausinformationssystem lahmlegte. Neugeborene mussten aus der Neonatologie in andere Kliniken verlegt werden. Laut einem ANSSI-Bericht wurden in Frankreich zwischen 2022 und 2023 insgesamt 30 Krankenhäuser durch Ransomware angegriffen.

Die genaue Täteridentität, die Höhe einer eventuell geforderten Lösegeldsumme sowie das exakte Ausmaß des Datenabflusses beim CHSF sind aus dieser Quelle nicht belegt.

Die Börse von Santiago, die wichtigste Wertpapierbörse Chiles, meldete im April 2022 einen Cyberangriff auf ihre internen Systeme. Die Ransomware-Gruppe Conti reklamierte den Angriff für sich und behauptete, interne Dokumente und Daten der Börse gestohlen zu haben. Der Handelsbetrieb wurde nach Angaben der Börse nicht unterbrochen.

Der genaue Umfang der abgeflossenen Daten sowie die technischen Details des Eindringens wurden von der Börse öffentlich nicht vollständig bestätigt; die Zuordnung zu Conti stützt sich primär auf die Selbstbezichtigung der Gruppe.

Im Oktober 2022 wurde in Tromsø, Norwegen, ein Mann verhaftet, der seit Jahren unter der falschen brasilianischen Identität "José Assis Giammaria" als Gastforscher an der Arktischen Universität Norwegens arbeitete. Der norwegische Inlandsgeheimdienst PST identifizierte ihn als mutmaßlichen "Illegalen" des russischen Militärgeheimdienstes GRU.

Die genaue Auftragslage ist öffentlich nicht im Detail belegt, da Ermittlungsunterlagen der PST vertraulich bleiben.