Quellen-Tabelle

Mutmaßlich staatliche Hacker schleusten die Schadsoftware Sunburst in reguläre Updates der Netzwerkmanagement-Software Orion von SolarWinds ein. Die betroffenen Versionen wurden zwischen März und Juni 2020 an rund 18.000 Kunden verteilt, darunter US-Ministerien, das Pentagon, das Außenministerium sowie zahlreiche Fortune-500-Unternehmen. Die Sicherheitsfirma FireEye deckte den Angriff auf und dokumentierte die Kampagne unter dem Namen UNC2452.

Wie die Angreifer genau in das interne Netzwerk von SolarWinds eindrangen und den Quellcode manipulierten, ist öffentlich nicht abschließend geklärt. Offen bleibt auch, ob ein einfaches Software-Update zur vollständigen Bereinigung betroffener Systeme ausreicht. Das genaue Ausmaß der Datenabflüsse bei den einzelnen betroffenen Behörden und Unternehmen ist nicht vollständig öffentlich dokumentiert.

Am 2. Juli 2021 nutzte die Gruppe REvil eine Schwachstelle (CVE-2021-30116) in der Kaseya-VSA-Software aus, um über ein manipuliertes Update Ransomware an IT-Dienstleister und deren Kunden zu verteilen. CISA und FBI bestätigten den Vorfall offiziell und Kaseya selbst gab an, dass bis zu etwa 60 direkte Kunden und in der Folge bis zu 1500 nachgelagerte Unternehmen betroffen waren. REvil forderte öffentlich 70 Millionen US-Dollar Lösegeld, und Kaseya erhielt am 23. Juli 2021 von einer nicht näher benannten Quelle einen universellen Entschlüsselungscode, ohne nach eigenen Angaben zu zahlen.

Offen bleibt, wie genau der universelle Entschlüsselungscode zustande kam und ob im Hintergrund doch eine Zahlung floss, da Kaseya dies nur allgemein dementierte. Die genaue Gesamtzahl der tatsächlich verschlüsselten Endkunden weltweit wurde nie abschließend verifiziert. Auch die exakte Schadenssumme bei den betroffenen Unternehmen wurde nicht offiziell beziffert.

Der weltgrößte Fleischverarbeiter JBS wurde am 30./31. Mai 2021 Opfer eines Ransomware-Angriffs, der die Produktion an Standorten in den USA, Kanada und Australien für mehrere Tage lahmlegte. JBS USA bestätigte am 9. Juni 2021, den Angreifern rund 11 Millionen US-Dollar gezahlt zu haben, um mögliche Risiken für Kunden und einen Datenabfluss zu vermeiden. Das FBI attribuierte den Angriff der russischsprachigen Gruppe REvil (Sodinokibi).

Nicht abschließend belegt ist, in welcher Zahlungsform das Lösegeld genau übermittelt wurde und ob tatsächlich Daten exfiltriert wurden. Offen bleibt zudem der genaue technische Einstiegsvektor der Angreifer sowie ob und in welchem Umfang Mitglieder der REvil-Gruppe strafrechtlich belangt wurden.

Capital One bestätigte am 29. Juli 2019 offiziell, dass am 22. und 23. März 2019 eine Außenstehende eine falsch konfigurierte Firewall einer Cloud-Infrastruktur ausnutzte und Daten von rund 100 Millionen US-Kunden sowie 6 Millionen kanadischen Kunden erlangte, darunter Namen, Adressen, Geburtsdaten, Kreditwerte sowie etwa 140.000 Sozialversicherungsnummern und 80.000 Bankverbindungen. Die vom FBI festgenommene Täterin, die ehemalige AWS-Mitarbeiterin Paige Thompson, wurde im Juni 2022 von einer Jury wegen Wire Fraud und unbefugten Zugriffs auf geschützte Computer für schuldig befunden.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Die britische Datenschutzbehörde ICO stellte fest, dass British Airways bei einem Cyberangriff im Juni bis September 2018 personenbezogene Daten von mehr als 400.000 Kunden nicht ausreichend gegen unbefugten Zugriff geschützt hatte, ein Verstoß gegen Art. 5(1)(f) und Art. 32 DSGVO. Die ICO verhängte deswegen am 16. Oktober 2020 ein Bußgeld von 20 Millionen Pfund gegen British Airways, nachdem der ursprünglich angekündigte Betrag von 183,39 Millionen Pfund im Verfahren deutlich reduziert worden war.

Offen bleibt in der öffentlichen ICO-Dokumentation, welche einzelnen technischen Schwachstellen die Angreifer konkret ausnutzten und wer die Täter waren. Ebenso nicht abschließend belegt ist, in welchem Umfang Kunden durch die Datenweitergabe tatsächlich finanziellen Schaden erlitten, etwa durch Kreditkartenmissbrauch.

Die britische Datenschutzbehörde ICO stellte fest, dass Angreifer ab Februar 2018 über ein auf der Zahlungsseite von Ticketmaster eingebundenes Chatbot-Skript eines Drittanbieters Schadcode der Magecart-Gruppe einschleusten und so Zahlungskartendaten von Kunden abgriffen. Betroffen waren bis zu 9,4 Millionen Kunden europaweit, davon 1,5 Millionen in Großbritannien. Die ICO verhängte am 13.11.2020 eine Geldbuße von 1,25 Millionen Pfund, nachdem Ticketmaster erst rund neun Wochen nach ersten Betrugsmeldungen von Banken reagierte.

Offen bzw. strittig blieb, wer die Verantwortung für die Sicherheitslücke im Chatbot-Code trug. Ticketmaster machte den Drittanbieter Inbenta verantwortlich, während Inbenta erklärte, Ticketmaster habe den Code entgegen den Vorgaben eingesetzt. Die genaue technische Angriffskette der Magecart-Täter sowie deren Identität wurden nicht öffentlich im Detail rekonstruiert.

Ein Angreifer kaufte das kompromittierte Passwort eines externen Uber-Vertragspartners im Darknet und erzwang per MFA-Fatigue-Angriff sowie einer als IT-Support getarnten WhatsApp-Nachricht die Freigabe eines Zwei-Faktor-Logins. Damit erlangte er Zugriff auf interne Systeme wie Slack, G-Suite, das Finanz-Tool und HackerOne-Berichte und postete eine Nachricht im firmenweiten Slack-Kanal. Uber bestätigte die Zuordnung zur Gruppe Lapsus$ sowie den Zugriff auf interne Kommunikation und Finanzdaten, erklärte aber, dass Produktivsysteme, Nutzerkonten, Kreditkarten- und Fahrtdaten sowie AWS-S3-Speicher nicht betroffen waren.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Rockstar Games bestätigte am 19.09.2022 offiziell einen Netzwerkeinbruch, bei dem ein Unbekannter vertrauliche Daten herunterlud, darunter frühe Entwicklungsaufnahmen zum nächsten Grand Theft Auto. Ein Nutzer hatte zuvor rund 90 Videoclips im Forum GTAForums veröffentlicht und erklärt, sich per Social Engineering Zugang zum Slack-Konto eines Rockstar-Mitarbeiters verschafft zu haben. Der Täter wurde später mit der Gruppe Lapsus$ in Verbindung gebracht; ein Gericht in London stellte 2023 fest, dass der britische Teenager Arion Kurtaj dafür verantwortlich war.

Ob GTA 6 zum Leckzeitpunkt offiziell in Entwicklung war, hatte Rockstar zuvor nicht öffentlich bestätigt. Der genaue Umfang der entwendeten Daten, etwa ob wie vom Hacker behauptet auch Quellcode betroffen war, ist aus Rockstars eigener Stellungnahme nicht abschließend belegt.

Die US-Handelsaufsicht FTC einigte sich am 19. Dezember 2022 mit Epic Games, dem Hersteller von Fortnite, auf Zahlungen von insgesamt 520 Millionen US-Dollar. Davon entfielen 275 Millionen Dollar auf ein Bußgeld wegen Verstößen gegen das Kinderschutzgesetz COPPA, da Fortnite Daten von Kindern unter 13 Jahren ohne überprüfbare Elterneinwilligung sammelte und Text- sowie Sprachchat standardmäßig aktiviert waren. Weitere 245 Millionen Dollar musste Epic als Rückerstattung an Nutzer zahlen, die durch irreführende Bedienelemente zu ungewollten Käufen verleitet wurden.

Aus der Quelle geht nicht hervor, wie viele der betroffenen Kinder und Jugendlichen die zugesagten Rückerstattungen tatsächlich erhalten haben. Epic Games räumte im Vergleich kein rechtswidriges Verhalten ein, sondern einigte sich ohne Schuldeingeständnis mit der Behörde.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp E-Mail-Adressen, IP-Adressen und Antworten aus Gesundheitsfragebögen seiner Nutzer an Facebook, Snapchat, Criteo und Pinterest zu Werbezwecken weitergab, obwohl das Unternehmen in seiner Datenschutzerklärung Vertraulichkeit zugesichert hatte. Am 2. März 2023 wurde eine Einigung bekanntgegeben, die die FTC am 14. Juli 2023 endgültig bestätigte. BetterHelp muss 7,8 Millionen US-Dollar zur Rückerstattung an betroffene Nutzer zahlen und darf Nutzerdaten künftig nicht mehr für zielgerichtete Werbung an Dritte weitergeben.

Offen bleibt, wie viele Nutzer konkret betroffen waren und in welchem Umfang die weitergegebenen Daten von den Werbeplattformen tatsächlich für individuelle Zielgruppenansprache genutzt wurden. BetterHelp räumte im Rahmen der Einigung kein Fehlverhalten ein, ein gerichtliches Urteil zur Schuldfrage liegt nicht vor.

Die FTC einigte sich am 19.12.2023 mit der US-Drogeriekette Rite Aid darauf, dass diese für fünf Jahre keine Gesichtserkennung zur Ladenüberwachung einsetzen darf. Laut FTC-Beschwerde nutzte Rite Aid die Technik von 2012 bis 2020 in hunderten Filialen, wobei Mitarbeitende tausende Fehlalarme erhielten und Kunden fälschlich des Ladendiebstahls beschuldigt wurden. Die Fehlerquote war in Stadtteilen mit überwiegend Schwarzer, asiatischer und lateinamerikanischer Bevölkerung nachweislich höher als in mehrheitlich weißen Gegenden.

Offen bleibt die genaue Zahl der fälschlich beschuldigten Personen sowie individuelle Schadensersatzforderungen, da die Vereinbarung eine zivilrechtliche Einigung ohne Schuldeingeständnis ist. Rite Aid bestritt die Vorwürfe und verwies darauf, das System bereits Jahre vor der FTC-Untersuchung eingestellt zu haben.

T-Mobile bestätigte offiziell, dass bei einem Cyberangriff im August 2021 Daten von rund 40 Millionen ehemaligen und potenziellen Kunden sowie 7,8 Millionen bestehenden Postpaid-Kunden gestohlen wurden. Erbeutet wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- beziehungsweise ID-Daten, jedoch nach Unternehmensangaben keine Finanz- oder Kreditkartendaten. Insgesamt waren nach T-Mobiles eigener Zählung Datensätze von fast 50 Millionen Personen betroffen.

Zum Zeitpunkt der Veröffentlichung war die Untersuchung noch nicht abgeschlossen, sodass der genaue Gesamtumfang offenblieb. Nicht dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für konkreten Identitätsdiebstahl oder Kreditbetrug missbraucht wurden.

Am 24.09.2014 wurde die von Stephane Chazelas entdeckte Sicherheitslücke Shellshock in der Unix-Shell Bash öffentlich bekannt und als CVE-2014-6271 registriert, vom NIST mit dem höchsten Schweregrad CVSS 10 von 10 eingestuft. Die Lücke betraf fast alle Linux-Distributionen und Mac OS und erlaubte durch fehlerhafte Verarbeitung von Funktionsdefinitionen in Umgebungsvariablen die Ausführung von Schadcode aus der Ferne, besonders gefährlich für Webserver mit CGI-Skripten und OpenSSH-Zugriffe. Ubuntu, Red Hat, Debian, Fedora und openSUSE veröffentlichten Patches, wobei der erste Patch weitere Schwachstellen wie CVE-2014-7169 offenließ.

Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.

Die Große Kammer des Europäischen Gerichtshofs für Menschenrechte urteilte am 14.02.2023 mit 12 zu 5 Stimmen, dass die strafrechtliche Verurteilung des LuxLeaks-Whistleblowers Raphaël Halet gegen die Meinungsfreiheit nach Artikel 10 EMRK verstieß. Halet hatte als PwC-Mitarbeiter Steuerdokumente weitergegeben, die 2014 im Rahmen der LuxLeaks-Enthüllungen des ICIJ Geheimabsprachen Luxemburgs mit Konzernen wie Amazon, Apple und IKEA offenlegten. Luxemburg musste ihm 15.000 Euro Entschädigung und 40.000 Euro Kostenerstattung zahlen.

Offen bleibt, welche konkreten Steuerausfälle den einzelnen EU-Staaten durch die rund 340 in LuxLeaks genannten Konzerne tatsächlich entstanden sind. Die vollständige juristische Aufarbeitung aller rund 28.000 geleakten PwC-Dokumente sowie mögliche weitere Konsequenzen für beteiligte Unternehmen sind aus dieser Quelle nicht ersichtlich.

Die schwedische Finanzaufsicht Finansinspektionen verhängte am 19.03.2020 gegen die Swedbank AB eine Verwarnung und eine Bußgeldstrafe von 4 Milliarden SEK wegen schwerer Mängel bei der Geldwäscheprävention in den baltischen Tochtergesellschaften. Untersucht wurden die Konzernsteuerung von 2015 bis Anfang 2019 sowie die schwedischen Aktivitäten von April bis November 2018. Parallel stellte die estnische Aufsicht fest, dass die estnische Tochter Hochrisikokunden ohne funktionierende Geldwäsche-Kontrollsysteme bediente.

Offen bleibt, in welcher Gesamthöhe tatsächlich Geld gewaschen wurde; die vielzitierte Zahl von rund 20 Milliarden Euro Jahresvolumen aus Hochrisiko-Nichtresidentenkunden stammt aus einer Recherche des schwedischen Senders SVT und nicht aus dem Bußgeldbescheid selbst. Individuelle Straftäter oder konkrete kriminelle Herkunft der Gelder wurden von der Aufsichtsbehörde nicht benannt, da es sich um ein aufsichtsrechtliches, kein strafrechtliches Verfahren handelte.

Das Landgericht München I verurteilte am 05.09.2024 drei ehemalige Wirecard-Vorstandsmitglieder, darunter den früheren Vorstandsvorsitzenden Markus Braun, im Zivilverfahren zur Zahlung von insgesamt 140 Millionen Euro Schadensersatz plus 5 Prozentpunkten Zinsen an den Insolvenzverwalter. Das Gericht sah eine Pflichtverletzung durch die Vergabe eines unbesicherten Darlehens über 100 Millionen Euro an einen finanzschwachen Vertragspartner sowie durch die Zeichnung von Schuldverschreibungen über weitere 100 Millionen Euro ohne vorherige Financial Due Diligence. Ein viertes Mitglied wurde mangels nachgewiesener Kausalität von der Haftung freigesprochen.

Das Urteil war laut Pressemitteilung des Gerichts nicht rechtskräftig, Berufungen wurden erwartet, sodass der endgültige Ausgang offenblieb. Ob und in welcher Höhe die Verurteilten die Summe tatsächlich zahlen konnten, ist aus dieser Quelle nicht ersichtlich. Der separate Strafprozess gegen Markus Braun war zum Zeitpunkt dieser Zivilentscheidung weiterhin nicht abgeschlossen.

Das US-Justizministerium bestätigte offiziell, dass sich die malaysische Goldman-Sachs-Tochter wegen Verschwörung zur Bestechung ausländischer Amtsträger schuldig bekannte. Die Bank zahlte weltweit über 2,9 Milliarden US-Dollar Strafe, weil sie mehr als eine Milliarde Dollar Bestechungsgelder an malaysische und Abu-Dhabi-Beamte zahlte, um Anleihegeschäfte für den Staatsfonds 1MDB zu gewinnen. Laut DOJ wurden insgesamt rund 4,5 Milliarden US-Dollar aus dem Fonds veruntreut.

Der mutmaßliche Drahtzieher Jho Low blieb zum Zeitpunkt der Mitteilung flüchtig und wurde nie persönlich strafrechtlich verurteilt. Wie viel der veruntreuten Gelder tatsächlich zurückgeholt werden kann, war zum Zeitpunkt der Mitteilung nicht abschließend geklärt. Weitere Gerichtsverfahren gegen beteiligte Personen liefen zu diesem Zeitpunkt noch parallel weiter.

Die New Yorker Finanzaufsichtsbehörde NYDFS verhängte am 7. Juli 2020 eine Strafe von 150 Millionen US-Dollar gegen die Deutsche Bank wegen unzureichender Geldwäsche-Kontrollen. Betroffen waren mehr als 40 Konten für Jeffrey Epstein zwischen 2013 und 2018 sowie mangelhaft überwachte Korrespondenzbankbeziehungen zur estnischen Danske-Bank-Filiale und zur FBME Bank mit hunderten verdächtigen Transaktionen. Es war die erste behördliche Sanktion gegen ein Finanzinstitut wegen seiner Geschäftsbeziehung zu Epstein.

Offen bleibt, ob einzelne Deutsche-Bank-Mitarbeiter persönlich zur Verantwortung gezogen wurden, die Strafe traf nur die Bank als Institution. Nicht belegt ist, wie viel die Bank tatsächlich über Epsteins mutmaßliche Straftaten wusste. Zivilklagen von Epstein-Opfern gegen die Bank wurden erst Jahre später und in separaten Verfahren verhandelt.

Am 20. Februar 2022 veröffentlichten die Süddeutsche Zeitung und das OCCRP mit einem Netzwerk von mehr als 150 Journalisten aus über 50 Medien die Recherche Suisse Secrets zu einem anonym zugespielten Datensatz mit Informationen zu mehr als 18.000 Konten der Credit Suisse. Die Konten waren zwischen den 1940er Jahren und der jüngeren Vergangenheit eröffnet worden und hielten laut Auswertung Vermögen von zusammen über 100 Milliarden Franken, darunter Konten mutmaßlicher Autokraten, sanktionierter Personen und krimineller Akteure. Credit Suisse wies die Vorwürfe öffentlich zurück.

Wer die Daten zuspielte und deren genaue Motivation blieben unbekannt, da die Person anonym blieb. Nicht öffentlich dokumentiert ist, für wie viele der 18.000 Konten tatsächlich Fehlverhalten im juristischen Sinne nachgewiesen wurde, da Credit Suisse die Vorwürfe größtenteils bestritt. Offen blieb auch der genaue rechtliche Umgang der Schweizer Behörden mit der undichten Stelle.

Im Dezember 2017 entdeckten deutsche Sicherheitsbehörden Schadsoftware im Regierungsnetz IVBB, das Kanzleramt, Ministerien und Sicherheitsbehörden verbindet. Zunächst wurde die russische Gruppe APT28 verdächtigt, spätere Ermittlungen deuteten stattdessen auf die seit 2005 aktive Gruppe Snake (auch Turla oder Uroburos genannt) hin, die weltweit Regierungsstellen angreift. Laut Ermittlern erbeuteten die Angreifer eine einstellige Anzahl von Dokumenten aus dem Referat für Russland und Osteuropa des Auswärtigen Amts.

Wie lange die Angreifer tatsächlich Zugriff hatten, wird unterschiedlich geschätzt und reicht bis zu einem Jahr, eine belastbare Zahl fehlt. Der genaue Inhalt der entwendeten Dokumente wurde nie öffentlich gemacht und eine gerichtsfeste Zuordnung zu einem russischen Staatsauftrag gab es nicht.

Angreifer drangen über einen gehackten Webserver der Bundesakademie für öffentliche Verwaltung in das Regierungsnetz IVBB ein und kompromittierten mit einem dort platzierten Trojaner 17 Rechner im Auswärtigen Amt. Ein ausländischer Geheimdienst hatte die Bundesregierung am 19. Dezember 2017 gewarnt, das BSI fand die Kompromittierung Anfang Januar 2018, öffentlich bekannt wurde der Vorfall am 28. Februar 2018. Die Bundesregierung ordnete den Angriff der Gruppe Snake/Turla zu.

Wie genau die Angreifer letztlich Administratorrechte im Auswärtigen Amt erlangten, blieb offen. Der genaue Umfang der abgeflossenen Daten wurde nie vollständig öffentlich gemacht, laut Presseberichten sollen unter anderem sechs Dokumente mit Russland-, Ukraine- und Belarus-Bezug betroffen gewesen sein. Eine gerichtsfeste, offizielle Zuordnung zu einem staatlichen Auftraggeber erfolgte nicht.

Im Februar 2016 erbeuteten Angreifer über gefälschte SWIFT-Zahlungsanweisungen 81 Millionen US-Dollar vom Konto der Bangladesh Bank bei der Federal Reserve Bank of New York. Die Täter nutzten zuvor per Spear-Phishing gestohlene SWIFT-Zugangsdaten und Schadsoftware, die den Transaktionsdrucker der Bank lahmlegte, um die Betrugsversuche zu verschleiern. Das Geld floss über Konten auf den Philippinen weiter in Casinos in Macau; 2018 klagten US-Behörden den Nordkoreaner Park Jin Hyok als Teil der Lazarus Group an.

Wer die endgültigen Nutznießer der über Macau gewaschenen Gelder waren, ist nicht abschließend dokumentiert, da die philippinischen Ermittlungen ins Stocken gerieten. Park Jin Hyok wurde nie festgenommen oder gerichtlich verurteilt. Von den insgesamt versuchten 951 Millionen US-Dollar wurde der größte Teil durch Zufall und Rechtschreibfehler in den Überweisungsaufträgen verhindert, und nur ein kleiner Teil der bereits ausgezahlten 81 Millionen US-Dollar konnte später zurückgeholt werden.

Die Ransomware-Gruppe DarkSide legte am 7. Mai 2021 mit einem Cyberangriff den Betrieb der Colonial Pipeline lahm, die etwa 45 Prozent des Treibstoffs für die US-Ostküste liefert und rund 8800 Kilometer lang ist. Colonial Pipeline zahlte ein Lösegeld von 75 Bitcoin, umgerechnet rund 4,4 Millionen US-Dollar. Das US-Justizministerium gab am 7. Juni 2021 bekannt, per gerichtlich genehmigtem Beschluss 63,7 Bitcoin (rund 2,3 Millionen US-Dollar) davon sichergestellt zu haben.

Offen bleibt, wer die einzelnen Mitglieder der DarkSide-Gruppe konkret sind und wie genau die Ermittler an den privaten Schlüssel der genutzten Bitcoin-Wallet gelangten. Unklar ist auch, ob der plötzliche Ausfall der DarkSide-Infrastruktur wenige Tage nach dem Angriff auf Behördenmaßnahmen oder auf einen freiwilligen Rückzug der Täter zurückgeht. Der Verbleib des nicht sichergestellten Teils des Lösegelds ist nicht dokumentiert.

Bei einem im Oktober 2016 über eine Local-File-Inclusion-Lücke ausgeführten Hack von FriendFinder Networks (AdultFriendFinder, Penthouse.com, Cams.com, Stripshow.com, iCams.com) wurden rund 412 Millionen Nutzerkonten kompromittiert. Der Sicherheitsdienst LeakedSource stellte den vollen Umfang am 13. November 2016 öffentlich fest. 99 Prozent der Passwörter waren im Klartext oder nur schwach mit SHA1 gehasht gespeichert und ließen sich knacken, betroffen waren auch Daten von Millionen bereits gelöschter Konten.

Offen bleibt, warum FriendFinder Networks weiterhin Kundendaten von Penthouse.com vorhielt, obwohl die Seite bereits im Februar 2016 verkauft worden war. Auch die genaue Bedeutung der als gelöscht markierten Konten sowie ob und wie vollständig alle betroffenen Nutzer benachrichtigt wurden, ist den Berichten zufolge unklar geblieben.

Am 9. August 2023 veröffentlichte der Google-Sicherheitsforscher Daniel Moghimi die Schwachstelle Downfall (CVE-2022-40982) in Intel-Prozessoren der 6. bis 11. Generation sowie Xeon-Scalable-Chips der 1. bis 4. Generation. Der Gather-Befehl zur beschleunigten Speicherabfrage leckt bei spekulativer Ausführung Inhalte von Vektorregistern und kann so Passwörter und kryptografische Schlüssel anderer Prozesse offenlegen, teils auch aus durch Intel SGX geschützten Bereichen. Moghimi meldete den Fehler bereits am 24. August 2022 vertraulich an Intel, das daraufhin ein Microcode-Update bereitstellte.

Aus der Quelle nicht belegt ist eine reale Ausnutzung der Lücke außerhalb kontrollierter Testumgebungen vor der Offenlegung. Moghimi zeigte nur Machbarkeitsnachweise wie das Auslesen von AES-Schlüsseln aus OpenSSL, ein Angriff über den Webbrowser blieb theoretisch. Die genaue weltweite Zahl betroffener Geräte bleibt offen, andere Quellen schätzen sie auf 1,5 bis 2 Milliarden Systeme.