Quellen-Tabelle

Halliburton wurde am 21.08.2024 Opfer eines Cyberangriffs, woraufhin das Unternehmen vorsorglich mehrere IT-Systeme abschaltete. Es meldete den Vorfall am 23.08.2024 bei der SEC. Technische Analysen einer gefundenen Schadsoftware ordneten den Angriff der seit Februar 2024 aktiven Gruppe RansomHub zu. Bei der Quartalsergebnispräsentation am 08.11.2024 bezifferte Halliburton die Kosten auf rund 35 Millionen Dollar, Rechnungsstellung und Zahlungseinzug waren zeitweise gestört.

Der Erstzugriffsweg und eine etwaige Lösegeldzahlung sind nicht öffentlich bestätigt. Halliburton nennt in seinen SEC-Meldungen weder die Tätergruppe noch das Wort Ransomware. Die 35-Millionen-Dollar-Angabe deckt nur im dritten Quartal 2024 verbuchte Kosten ab.

Am 01.03.2024 ging eine Bitcoin-Zahlung von rund 22 Millionen Dollar an eine Wallet der Gruppe ALPHV/BlackCat, ausgelöst durch deren Angriff auf Change Healthcare. Ein Affiliate namens Notchy beschwerte sich, seinen Anteil nicht erhalten zu haben. Die Leak-Website der Gruppe zeigte daraufhin ein vermutlich gefälschtes Beschlagnahmungsbanner, die Infrastruktur ging offline. Notchy gab eine Kopie der Daten an die Gruppe RansomHub weiter, die Change Healthcare erneut erpresste; UnitedHealth-CEO Andrew Witty bestätigte die Zahlung am 01.05.2024 vor dem Senat.

Ob das Beschlagnahmungsbanner echt oder von der ALPHV-Führung selbst inszeniert war, ist nicht offiziell bestätigt, das FBI äußerte sich dazu nicht. Die reale Identität von Notchy ist nicht bekannt. Ob RansomHub organisatorisch mit ALPHV verbunden ist, wird unterschiedlich eingeschätzt.

Am 12.02.2024 verschafften sich Angreifer der Gruppe ALPHV/BlackCat mit kompromittierten Zugangsdaten Zugang zu einem Citrix-Fernzugriffsportal von Change Healthcare, das keine Multi-Faktor-Authentifizierung besaß. Die Angreifer bewegten sich rund neun Tage lang lateral durch die Systeme, bevor am 21.02.2024 die Ransomware ausgelöst wurde. Change Healthcare bedient mehr als 30.000 Apotheken in den USA, die Störung betraf Abrechnung und Zahlungsabwicklung über Monate. UnitedHealth Group bezifferte die finanziellen Kosten im ersten Quartal 2024 auf 872 Millionen US-Dollar.

Die hier genannten Fakten stammen größtenteils aus der Kongressaussage von UnitedHealth-CEO Andrew Witty vom 01.05.2024 und wurden nicht unabhängig durch forensische Berichte Dritter bestätigt. Die genaue Menge der exfiltrierten Daten, teils mit rund 6 Terabyte beziffert, sowie die Zahl von etwa 190 Millionen betroffenen Personen basieren auf späteren HHS-Meldungen und können sich noch ändern. Die Höhe der an ALPHV/BlackCat gezahlten Lösegeldsumme wurde von UnitedHealth nie offiziell bestätigt.

Am 06.10.2021 veröffentlichte ein anonymer Angreifer einen 125 Gigabyte großen Torrent mit internen Twitch-Daten auf 4chan. Enthalten waren der komplette Quellcode der Plattform, Code aus fast 6.000 internen GitHub-Repositories und Auszahlungsberichte von 2019 für knapp 2,4 Millionen Streamer. Zusätzlich wurden Client-Software und ein unveröffentlichter Steam-Konkurrent von Amazon Game Studios geleakt. Twitch bestätigte den Vorfall am selben Tag, Ursache war eine Fehlkonfiguration eines Servers. Der Angreifer kündigte an, die Veröffentlichung sei nur Teil eins.

Nicht dokumentiert ist, ob Nutzerpasswörter, Adressen oder Bankdaten im Leak enthalten waren. Die Identität des Angreifers wurde nie offiziell bestätigt. Ob der angekündigte zweite Teil des Datensatzes jemals veröffentlicht wurde, ist nicht abschließend geklärt. Die genaue Dauer des unbefugten Zugriffs wurde von Twitch nicht im Detail offengelegt.

Am 02.07.2021 nutzte die Ransomware-Gruppe REvil eine Zero-Day-Schwachstelle in der Software Kaseya VSA aus, die von Managed Service Providern zur Fernwartung genutzt wird. Über rund 60 direkt betroffene Kaseya-Kunden wurden schätzungsweise 800 bis 1.500 nachgelagerte Unternehmen weltweit infiziert. REvil forderte zunächst 70 Millionen US-Dollar in Bitcoin, senkte die Forderung später auf 50 Millionen. Am 23.07.2021 gab Kaseya bekannt, von einem nicht näher benannten Dritten einen Generalschlüssel erhalten zu haben, ohne Lösegeld gezahlt zu haben.

Nicht offiziell bestätigt ist die genaue Zahl der betroffenen Endkunden, Schätzungen schwanken zwischen 800 und über 2.000 Organisationen. Unklar bleibt, wer der von Kaseya genannte Dritte war, der den Generalschlüssel lieferte. Berichte über eine mögliche FBI-Zahlung wurden nie offiziell bestätigt.

LastPass wurde 2022 in zwei zusammenhängenden Vorfällen kompromittiert. Am 08.08.2022 drangen Angreifer über den Firmenlaptop eines Softwareentwicklers in die Entwicklungsumgebung ein und entwendeten Quellcode. In einem zweiten Vorfall nutzten die Angreifer diese Informationen, um mittels Keylogger auf dem privaten Heimcomputer eines DevOps-Ingenieurs dessen Zugangsdaten abzugreifen und auf AWS-S3-Speicher mit Kundendaten-Backups zuzugreifen. Am 22.12.2022 bestätigte LastPass, dass die Angreifer eine Cloud-Sicherung der Kundentresore mit verschlüsselten Passwörtern kopiert hatten.

Nicht öffentlich dokumentiert ist die exakte Zahl der betroffenen Nutzerkonten, LastPass nannte nie eine offizielle Gesamtzahl. Umstritten ist, wie viele Master-Passwörter tatsächlich durch nachfolgendes Brute-Forcing entschlüsselt wurden. Die genaue Zahl der aus den gestohlenen Tresoren für Kryptowährungsdiebstähle genutzten Zugangsdaten ist nicht offiziell verifiziert.

Am 03.10.2017 gab Yahoo, zu diesem Zeitpunkt Teil der Verizon-Tochtergesellschaft Oath, bekannt, dass der bereits 2016 gemeldete Angriff von August 2013 tatsächlich alle 3 Milliarden Nutzerkonten betraf statt der zuvor genannten 1 Milliarde. Die Korrektur erfolgte im Rahmen einer forensischen Nachuntersuchung nach der Verizon-Übernahme. Verizon senkte deshalb den Kaufpreis für Yahoo im Februar 2017 um 350 Millionen US-Dollar. Die SEC verhängte später gegen die Nachfolgegesellschaft Altaba eine Strafe von 35 Millionen US-Dollar wegen irreführender Anlegerinformation.

Nicht abschließend geklärt ist, welche konkreten Daten bei allen 3 Milliarden Konten tatsächlich ausgelesen wurden. Die Zahl von 3 Milliarden basiert auf einer internen Neubewertung durch Verizon und wurde nicht durch eine unabhängige externe Prüfung öffentlich verifiziert. In einem separaten Verfahren wurden 2017 vier Personen angeklagt, darunter zwei mutmaßliche russische Geheimdienstmitarbeiter, deren Zusammenhang mit dem 3-Milliarden-Ausmaß nicht im Detail dokumentiert ist.

Im Juli 2019 wurde bekannt, dass die ehemalige AWS-Mitarbeiterin Paige Thompson durch Ausnutzung einer Server-Side-Request-Forgery-Schwachstelle in einer fehlkonfigurierten Firewall in die Cloud-Infrastruktur von Capital One eindrang. Betroffen waren Daten von mehr als 100 Millionen Kunden, darunter mehr als 100.000 Sozialversicherungsnummern. Thompson wurde am 20.06.2022 wegen Drahtbetrugs und fünffacher unbefugter Zugriffe schuldig gesprochen, aber von Identitätsdiebstahl freigesprochen. Capital One musste 80 Millionen US-Dollar Bußgeld sowie 190 Millionen US-Dollar für Vergleiche zahlen.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Symantec begann am 13.07.2010 mit der Analyse der Schadsoftware W32.Stuxnet und veröffentlichte im Februar 2011 das vollständige Stuxnet-Dossier. Die Malware zielte gezielt auf Siemens-Step7-Industriesteuerungssysteme ab, wie sie in der iranischen Urananreicherungsanlage Natanz eingesetzt wurden. Da die Steuerungssysteme nicht mit dem Internet verbunden waren, verbreitete sich Stuxnet über infizierte USB-Wechseldatenträger. Laut Analysen des Institute for Science and International Security wurden Ende 2009 oder Anfang 2010 rund 1.000 IR-1-Zentrifugen in Natanz ausgetauscht, ein Ausfall über der normalen Ausfallrate.

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Marcus Hutchins, bekannt als MalwareTech, hatte im Mai 2017 durch Registrierung einer Domain einen Kill Switch aktiviert und damit die Ausbreitung von WannaCry gestoppt. Im August 2017 wurde er in Las Vegas verhaftet und wegen Entwicklung und Verkaufs der Banking-Trojaner Kronos und UPAS Kit angeklagt. Am 19.04.2019 bekannte er sich schuldig, die Taten fanden zwischen Juli 2012 und September 2015 statt, vor seiner Zeit als Sicherheitsforscher. Am 26.07.2019 verurteilte das Gericht ihn zu bereits verbüßter Haft plus einem Jahr Bewährung.

Nicht öffentlich beziffert ist der konkrete finanzielle Schaden durch Kronos. Die Staatsanwaltschaft konnte nicht belegen, in welchem Umfang die Malware tatsächlich eingesetzt wurde, was die milde Strafe mitbeeinflusste. Offen bleibt das Ausmaß der Beteiligung eines mutmaßlichen Mitangeklagten.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, 14 mutmaßliche Mitglieder der Ransomware-Gruppe REvil festgenommen zu haben. Bei Razzien in 25 Wohnungen in Moskau und St. Petersburg wurden umgerechnet rund 426 Millionen Rubel, 600.000 US-Dollar und 20 Fahrzeuge beschlagnahmt. Die FSB erklärte, die Operation sei auf Ersuchen der US-Behörden durchgeführt worden. Den Verdächtigen wurden Straftaten wegen illegalen Umgangs mit Zahlungsmitteln vorgeworfen, nicht wegen Ransomware-Erpressung.

Nicht belegt ist, ob die Festgenommenen tatsächlich für die großen REvil-Angriffe auf Colonial Pipeline oder Kaseya verantwortlich waren. Unklar bleibt, ob eine Auslieferung oder strafrechtliche Verfolgung in den USA möglich war, da Russland eigene Staatsbürger nicht ausliefert.

Nachdem die Conti-Ransomware-Gruppe am 25.02.2022 öffentlich ihre Unterstützung für die russische Invasion in der Ukraine erklärt hatte, leakte ein pro-ukrainischer Insider ab dem 27.02.2022 interne Chatprotokolle. Der Datensatz umfasst 393 JSON-Dateien mit 60.094 Nachrichten aus dem Zeitraum 21.01.2021 bis 27.02.2022. Zusätzlich wurden Quellcode-Bestandteile der TrickBot-Malware veröffentlicht. Die Chats zeigen, dass Conti in Scrum-artigen Sprints organisiert war.

Die Identität des Leakers ist bis heute nicht offiziell bestätigt. Die genaue Zahl von 60.094 Nachrichten stammt aus der Auswertung durch Sicherheitsforscher, nicht aus einer amtlichen forensischen Bestätigung. Unklar bleibt, wie vollständig der Leak das Kommunikationsvolumen der Gruppe abbildet.

Im November 2019 griff die Maze-Ransomware-Gruppe das US-Sicherheitsunternehmen Allied Universal an und forderte 300 Bitcoin. Als das Unternehmen nicht zahlte, veröffentlichten die Angreifer rund 700 MB gestohlener Daten als Drohmittel. Dieser Fall gilt als eine der ersten dokumentierten Anwendungen der Taktik Double Extortion, die in der Folge von Gruppen wie REvil und Clop übernommen wurde.

Nicht belegt ist die tatsächliche Gesamtmenge der gestohlenen Daten, die Behauptung von nur 10 Prozent Veröffentlichung stammt allein von den Tätern. Ob Allied Universal letztlich zahlte, ist nicht dokumentiert. Die Identität der Maze-Betreiber wurde nie offiziell festgestellt.

Western Digital identifizierte am 26.03.2023 einen Sicherheitsvorfall mit Zugriff auf mehrere Unternehmenssysteme, darunter My Cloud. Am 08.05.2023 bestätigte das Unternehmen den Diebstahl von Kundendaten, darunter Namen, Adressen und teilweise Kreditkartennummern. Die Angreifergruppe drohte am 28.04.2023 mit wöchentlichen Datenveröffentlichungen und forderte laut Medienberichten ein Lösegeld im achtstelligen Bereich, mit Drohung der Veröffentlichung auf der Leak-Seite der Ransomware-Gruppe Alphv.

Die Angreifer behaupteten, rund 10 Terabyte erbeutet zu haben, unabhängig nicht bestätigt. Western Digital nannte keine genaue Zahl betroffener Kunden. Ob ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Am 25. und 26.01.2023 wurde ein 44,7 GB großes Archiv mit internem Yandex-Quellcode auf BreachForums veröffentlicht, angeblich bereits im Juli 2022 entwendet. Das Paket enthielt Teile des Suchalgorithmus mit rund 1.922 dokumentierten Ranking-Faktoren. Yandex bestätigte den Vorfall, erklärte aber, nicht gehackt worden zu sein, sondern verwies auf einen ehemaligen Mitarbeiter als Quelle. Keine Nutzerdaten seien betroffen gewesen.

Nicht zweifelsfrei dokumentiert ist, ob es sich tatsächlich um einen Innentäter-Diebstahl handelte, dies beruht allein auf der Darstellung von Yandex. Die genaue Zahl der Ranking-Faktoren ist umstritten, verschiedene Analysten kamen auf Werte zwischen 1.922 und über 17.000.

Sicherheitsforscher von RedHunt Labs entdeckten Anfang Januar 2024 einen öffentlich zugänglichen GitHub-Token eines Mercedes-Benz-Mitarbeiters, der seit dem 29.09.2023 in einem öffentlichen Repository lag und unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server ermöglichte, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS sowie SSO-Passwörter. Mercedes-Benz widerrief den Token am 24.01.2024 und fand keine Hinweise auf Missbrauch.

Ein separat kolportierter Vorfall eines Systemprompt-Lecks bei einem Mercedes-Benz-Chatbot 2024 ließ sich in der Recherche nicht bestätigen und wird häufig mit einem unabhängigen Fall eines Chevrolet-Händlers in Kalifornien verwechselt. Wie lange der Token vor der Entdeckung tatsächlich ausgenutzt wurde, ist nicht dokumentiert.

Ab dem 17.04.2022 griff die Ransomware-Gruppe Conti mehrere costa-ricanische Ministerien an, darunter Finanzen, Arbeit und Wissenschaft. Präsident Rodrigo Chaves erklärte am 08.05.2022 als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand. Conti forderte zunächst 10 Millionen US-Dollar, später bis zu 20 Millionen, Costa Rica zahlte nicht. Der Zoll- und Steuerbetrieb war wochenlang gestört, kurz darauf griff die verwandte Gruppe HIVE zusätzlich das Gesundheitssystem CCSS an.

Die genaue Gesamtzahl der kompromittierten Behördensysteme wurde nie vollständig veröffentlicht. Unklar bleibt, ob und wie viele costa-ricanische Institutionen doch inoffizielle Zahlungen leisteten. Der wirtschaftliche Gesamtschaden ist nicht abschließend beziffert, Schätzungen bewegen sich im Bereich mehrerer hundert Millionen US-Dollar.

Am 15.09.2022 verschaffte sich ein mit der Gruppe Lapsus\$ verbundener Angreifer per Social Engineering und MFA-Fatigue Zugriff auf einen Uber-Mitarbeiter-Account und darüber auf interne Systeme wie Slack, AWS, Google Workspace und den HackerOne-Bug-Bounty-Bereich. Der Angreifer postierte eine Nachricht im firmeninternen Slack-Kanal und veränderte die Startseite interner Tools. Uber bestätigte den Vorfall am 16.09.2022 offiziell.

Nicht abschließend belegt ist, in welchem Umfang Kundendaten tatsächlich eingesehen wurden, Uber erklärte, keine sensiblen Nutzerdaten seien exfiltriert worden, eine unabhängige vollständige Bestätigung dafür liegt öffentlich nicht vor. Ein separater Vorwurf, frühere Uber-Führungskräfte hätten einen Vorgängervorfall 2016 vertuscht, ist Gegenstand eines eigenen, hier nicht behandelten Verfahrens.

LastPass meldete am 25.08.2022 einen Einbruch in seine Entwicklungsumgebung, bei dem Quellcode und ein verschlüsselter Schlüssel für Kunden-Backups entwendet wurden. In einem zweiten Vorfall im September 2022 kompromittierte der Angreifer per Keylogger den Rechner eines DevOps-Ingenieurs und erlangte Zugriff auf eine Backup-Datenbank mit Kundentresordaten. Laut US-Ermittlern wurden die Daten für Offline-Angriffe genutzt, die mit einem Kryptowährungsdiebstahl von rund 150 Millionen US-Dollar in Verbindung gebracht werden. LastPass einigte sich 2025 auf eine Sammelklagenzahlung von 24,5 Millionen US-Dollar.

Nicht dokumentiert ist, wie viele Tresore tatsächlich entschlüsselt wurden, da dies von der Stärke der Master-Passwörter abhing. Die Verbindung zum 150-Millionen-Dollar-Diebstahl stützt sich auf Ermittlungsdokumente, eine lückenlose Beweiskette für jeden Einzelfall ist nicht öffentlich einsehbar.

Die Forscher Chris Demchak und Yuval Shavit veröffentlichten Ende Oktober 2018 eine Studie über systematische BGP-Routing-Manipulationen durch den chinesischen Staatskonzern China Telecom. Dokumentiert wurde unter anderem eine rund zweieinhalbjährige Fehlleitung von Verizon-APAC-Routen über China Telecom zwischen Ende 2015 und Mitte 2018. Doug Madory von Oracle Internet Intelligence bestätigte die Befunde anhand eigener Messdaten.

Nicht bewiesen ist eine gezielte staatliche Anordnung zum Abhören von Verkehr im Einzelfall. China Telecom wies die Vorwürfe als technische Fehlkonfigurationen zurück. Das Ausmaß eines möglichen Datenzugriffs während der Umleitungen bleibt unklar.

Am 05.01.2025 wurde das slowakische Amt für Geodäsie, Kartographie und Kataster (UGKK) Ziel eines Ransomware-Angriffs, der zum landesweiten Ausfall aller Dienste des Immobilien- und Grundregisters führte. Alle Katasterämter mussten schließen, laufende Verfahren zu Immobilien wurden ausgesetzt. Landwirtschaftsminister Richard Ťaťar bezeichnete den Angriff als den bislang größten Cyberangriff in der Geschichte der Slowakei und sprach von Hinweisen auf einen Ursprung in der Ukraine.

Die Identität der Angreifer ist nicht belegt, die Angaben zu einem Ursprung in der Ukraine stammen von einem Minister ohne öffentlich vorgelegte technische Beweise. Ob und in welcher Höhe ein Lösegeld gezahlt wurde, bleibt unklar.

Der belgische Föderalstaatsanwalt bestätigte im Februar 2025 eine im November 2023 eingeleitete Ermittlung wegen eines mutmaßlichen chinesischen Cyberangriffs auf den Inlandsgeheimdienst VSSE. Die Angreifer nutzten eine Schwachstelle in Barracuda-Networks-Software, um zwischen 2021 und 2023 rund 10 Prozent des E-Mail-Verkehrs der Behörde abzugreifen. Cybersicherheitsforscher ordnen den Angriff der Gruppe UNC4841 zu.

Die Urheberschaft Chinas ist nicht offiziell bestätigt, die Zuordnung stammt von privaten Sicherheitsforschern. Der genaue Umfang der abgeflossenen Daten bleibt unklar.

Die Mailänder Staatsanwaltschaft deckte im Oktober 2024 auf, dass die private Ermittlungsfirma Equalize über Jahre illegal auf italienische Behördendatenbanken zugriff, darunter das Polizeisystem SDI und die Zentralbank. Vier Personen wurden unter Hausarrest gestellt. Daten zu bis zu 800.000 Personen wurden abgefragt, betroffen waren unter anderem Präsident Sergio Mattarella und Ex-Premier Matteo Renzi.

Die Zahl von 800.000 abgefragten Personen stammt aus Staatsanwaltschaftsaussagen und ist nicht rechtskräftig bestätigt. Wie viele Amtsträger wissentlich kooperierten, ist nicht gerichtlich festgestellt.

Am 02.12.2024 kündigte die Gruppe Trinity im Darkweb einen Angriff auf die spanische Steuerbehörde AEAT an, mit der Behauptung, über 560 Gigabyte vertrauliche Daten erbeutet zu haben. Spanische Medien berichteten von einer geforderten Lösegeldsumme von 36 Millionen Euro. Die AEAT bestätigte den Vorfall nicht offiziell und erklärte, es gebe keine Hinweise auf verschlüsselte Geräte oder tatsächliche Datenlecks.

Ob der Angriff tatsächlich stattfand, ist unklar, da die AEAT ihn nicht bestätigte. Die genannte Lösegeldsumme und Datenmenge stammen ausschließlich aus der Ankündigung der Tätergruppe und wurden von Sicherheitsexperten angezweifelt.

Am 08.06.2024 griff die vermutlich russisch verbundene Gruppe BlackSuit den japanischen Medienkonzern Kadokawa und die Videoplattform Niconico an. Die Angreifer drohten mit Veröffentlichung von 1,5 Terabyte Daten. Am 12.12.2024 zahlte Kadokawa umgerechnet 2,9 Millionen US-Dollar in Kryptowährung. Daten von 254.241 Personen wurden geleakt, Niconico blieb rund zwei Monate offline.

Der genaue Erstzugangsweg ist nicht offiziell bestätigt, vermutet wird Phishing. Ob die Angreifer trotz Zahlung alle Daten löschten, lässt sich nicht verifizieren.