Quellen-Tabelle

Im November/Dezember 2013 stahlen Cyberkriminelle bei der US-Einzelhandelskette Target rund 40 Millionen Kredit- und Debitkartennummern sowie zusätzlich persönliche Daten wie Namen, Adressen, Telefonnummern und E-Mail-Adressen von bis zu 70 Millionen Kunden; die Gesamtkosten des Vorfalls beliefen sich für Target auf 248 Millionen US-Dollar. Bei der Baumarktkette Home Depot entwendeten Angreifer zwischen April und September 2014 mithilfe eigens entwickelter Schadsoftware schätzungsweise 56 Millionen Debit- und Kreditkartennummern; die Angreifer verschafften sich Zugang über gestohlene Zugangsdaten eines Drittanbieters und installierten anschließend Malware auf den Kassensystemen in 2.200 Filialen. Die verwendete Methode (RAM-Scraping-Malware über gestohlene Drittanbieter-Zugangsdaten) ähnelte stark der beim Target-Hack eingesetzten Technik; Home Depot zahlte in der Folge 179 Millionen US-Dollar für Vergleiche.

Dass beide Angriffe eine sehr ähnliche technische Methode nutzten, deutet auf eine mögliche Verbindung oder Nachahmung hin; ein direkter Zusammenhang oder dieselben Täter werden in dieser Quelle jedoch nicht behauptet.

Nachdem bekannt wurde, dass bei einem Cyberangriff 2014 Daten aus über 500 Millionen Yahoo-Nutzerkonten gestohlen worden waren, darunter Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwörter, verlangte Verizon-CEO Lowell McAdam von Yahoo-Direktor Tom McInerney im Februar 2017 einen Preisnachlass von bis zu 925 Millionen US-Dollar für die geplante Übernahme. Am Ende einigten sich beide Seiten auf einen Abschlag von rund 350 Millionen US-Dollar; Verizon zahlte damit letztlich 4,48 Milliarden US-Dollar für Yahoos Kerngeschäft im Internet, statt der ursprünglich vereinbarten Summe.

Der Fall zeigt konkret in Zahlen, was ein Datenleck für den Unternehmenswert bedeuten kann; ob Yahoo-Aktionäre über die reine Kaufpreisminderung hinaus für den Vertrauensschaden entschädigt wurden, ist aus dieser Quelle nicht belegt.

Zwischen Juni und September 2018 leiteten Angreifer den Nutzerverkehr der British-Airways-Website auf eine betrügerische Seite um und griffen dabei personenbezogene Daten von Kunden ab, darunter Namen, E-Mail-Adressen und Kreditkarteninformationen samt CVV-Sicherheitscodes. British Airways meldete das Datenleck am 06.09.2018, gab zunächst aber nur rund 380.000 betroffene Kunden an; die Untersuchung der britischen Datenschutzbehörde ICO ergab später, dass deutlich mehr Kunden betroffen waren, rund 500.000, und dass zahlreiche Sicherheitsvorkehrungen in den IT-Systemen von British Airways unzureichend waren und nicht den DSGVO-Anforderungen entsprachen. Die ICO kündigte daraufhin eine Rekordstrafe von umgerechnet rund 204 Millionen Euro (183 Millionen Pfund) an, die erste von der ICO unter der DSGVO ausgesprochene Geldbuße überhaupt.

Die tatsächlich final gezahlte Bußgeldsumme kann von der ursprünglich angekündigten Höhe abweichen, wenn im weiteren Verfahren Einwände oder Reduzierungen erfolgten; dies ist aus dieser Quelle nicht belegt.

Die irische Datenschutzbehörde (DPC) verhängte nach einer verbindlichen Streitbeilegungsentscheidung des Europäischen Datenschutzausschusses (EDPB) gegen Meta Platforms Ireland Limited ein Bußgeld von 1,2 Milliarden Euro, das bis dahin höchste jemals auf Basis der DSGVO verhängte Bußgeld. Grund war die unrechtmäßige Übermittlung von Nutzerdaten europäischer Facebook-Nutzer an Empfänger in den USA, die laut Behörde nicht ausreichend vor dem Zugriff durch US-Sicherheitsbehörden geschützt waren und damit Risiken für Grundrechte und -freiheiten der Betroffenen darstellten. Bei der Bußgeldbemessung wurde unter anderem die enorme Anzahl der tatsächlich erfolgten Datenübermittlungen in die USA zugrunde gelegt. Die Behörde untersagte Meta zusätzlich die weitere Datenübertragung in die USA auf der bisherigen Rechtsgrundlage.

Ob und wie Meta die Datenübermittlung nach dem Verbot tatsächlich vollständig einstellte oder über eine neue Rechtsgrundlage (etwa das spätere EU-US Data Privacy Framework) fortsetzte, ist aus dieser Quelle nicht belegt.

2019 bestätigte die US-Bank Capital One den unbefugten Zugriff auf Kundendaten, darunter Zahlungshistorie, Kontaktdaten, Kreditscores, über 100.000 Sozialversicherungsnummern und knapp 80.000 verknüpfte Bankkontonummern. Die ehemalige AWS-Ingenieurin Paige Thompson, alias 'erratic', nutzte eine fehlkonfigurierte Web Application Firewall in Capital Ones AWS-Cloud-Umgebung mittels Server-Side Request Forgery aus, um Zugangsdaten zu erlangen und Daten aus S3-Speichern mit 106 Millionen Kreditkarten-Antragsdatensätzen herunterzuladen. Thompson hatte während ihrer früheren Anstellung bei Amazon ein Tool entwickelt, mit dem sie AWS-Cloud-Konten auf Fehlkonfigurationen scannen und darüber bei mehr als 30 Organisationen, darunter Capital One, Daten abgreifen konnte. Eine Jury in Seattle sprach Thompson wegen Überweisungsbetrugs und unbefugten Zugriffs auf geschützte Computer schuldig. Capital One wurde mit 80 Millionen US-Dollar Bußgeld belegt und zahlte zusätzlich 190 Millionen US-Dollar zur Beilegung von Kundenklagen.

Ob Amazon selbst für die zugrunde liegende AWS-Sicherheitsarchitektur mitverantwortlich gemacht wurde, ist aus dieser Quelle nicht belegt; die strafrechtliche Verantwortung wurde ausschließlich Thompson als Einzeltäterin zugeschrieben.

Der Marktführer für Identitätsmanagement Okta gab am 21.10.2023 einen Sicherheitsvorfall in seinem Kundensupportsystem bekannt. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten Zugriff auf das Support-Case-Management-System von Okta; das Sicherheitsteam von BeyondTrust hatte bereits am 02.10.2023 einen Einbruchsversuch in ein internes Okta-Administratorkonto entdeckt und blockiert, bei dem ein aus dem Okta-Support-System gestohlenes Cookie verwendet wurde. Der Angreifer lud einen Bericht mit Details aller Nutzer des Okta-Kundensupportsystems herunter; am häufigsten entwendet wurden vollständige Namen und E-Mail-Adressen, in selteneren Fällen auch Telefonnummern, Benutzernamen und Positionsangaben. Die Support-Dateien enthielten zusätzlich Kunden-Cookies und Session-Tokens, über die Angreifer potenziell auf Kundenkonten zugreifen konnten. Zu den betroffenen Kunden gehörten unter anderem die Sicherheitsfirmen BeyondTrust und Cloudflare.

Da Okta zentrale Authentifizierungsdienste für zahlreiche andere Unternehmen bereitstellt, ist das Ausmaß der Folgeschäden bei Kunden, die die gestohlenen Session-Tokens tatsächlich zur weiteren Kompromittierung nutzten, aus dieser Quelle nicht vollständig beziffert.

Ab dem 29.04.2023 über rund fünf Monate hinweg testete ein Angreifer bei 23andMe systematisch Kombinationen aus Nutzernamen und Passwörtern, die zuvor bei anderen Datenlecks erbeutet worden waren (Credential Stuffing), gegen die Login-Seite von 23andMe, da viele Menschen dieselben Passwörter auf mehreren Diensten wiederverwenden. Direkt kompromittiert wurden dadurch rund 14.000 Konten, weniger als 0,1 Prozent der etwa 14 Millionen 23andMe-Kunden. Weil 23andMe jedoch die Opt-in-Funktion 'DNA Relatives' anbietet, über die Nutzer Profilinformationen mit genetisch verwandten Nutzern teilen, konnte der Angreifer über die miteinander verknüpften Profile und Stammbaum-Tools von den 14.000 direkt kompromittierten Konten aus auf Daten von insgesamt 6,9 Millionen Menschen zugreifen, die 23andMe im Oktober 2023 entsprechend benachrichtigte.

Der Fall zeigt exemplarisch, wie eine relativ kleine Zahl kompromittierter Konten (0,1 Prozent) durch eine Datenverknüpfungsfunktion einen weit größeren Personenkreis betreffen kann; die genaue Art der bei den 6,9 Millionen Betroffenen tatsächlich offengelegten Datenfelder wird in dieser Quelle nicht vollständig differenziert.

Am 18.09.2022 leakte ein britischer Teenager namens Arion Kurtaj, damals noch minderjährig, rund 90 Dateien mit Gameplay-Material des noch unangekündigten 'Grand Theft Auto VI' im Forum GTAForums, nachdem er sich über einen internen Slack-Chat Zugang zum Entwicklerstudio Rockstar Games verschafft hatte, einer der größten Datenlecks in der Geschichte der Videospielbranche. Der Leak bestätigte vorzeitig Vice City als Schauplatz sowie eine weibliche Hauptfigur und zwei spielbare Charaktere. Kurtaj war Mitglied der Hackergruppe Lapsus$, die zuvor auch Nvidia und Samsung angriff, und wurde später gefasst und zu einer lebenslangen Unterbringung in einer psychiatrischen Klinik verurteilt. Rockstar Games bezifferte den durch den Vorfall verursachten Schaden auf 5 Millionen US-Dollar sowie tausende Arbeitsstunden für die Aufarbeitung.

Die genaue technische Schwachstelle, über die Kurtaj Zugang zum internen Slack-Kanal erlangte, ist aus dieser Quelle nicht im Detail beschrieben.

Im September 2023 griff die Hackergruppe Scattered Spider (UNC3944) sowohl Caesars Entertainment (07.09.2023, Social-Engineering-Angriff auf einen IT-Drittanbieter) als auch MGM Resorts International (11.09.2023) an, Teil einer Angriffswelle gegen schätzungsweise 100 Organisationen. Die Angreifer identifizierten über LinkedIn einen MGM-Mitarbeiter, gaben sich als diese Person aus und riefen in einem zehnminütigen Telefonat beim IT-Helpdesk von MGM an, um sich Zugang zu dessen Konto zu verschaffen; dadurch erlangten sie Administratorrechte in MGMs Okta-Umgebung und nutzten schwache Mehr-Faktor-Authentifizierung aus, um die Kontrolle über den Azure-Active-Directory-Domänencontroller zu übernehmen. Am 14.09.2023 gaben die Angreifer an, 6 Terabyte Daten von beiden Unternehmen exfiltriert und anschließend BlackCat/ALPHV-Ransomware eingesetzt zu haben, was Online-Reservierungssysteme, digitale Zimmerschlüssel, Spielautomaten und Websites lahmlegte. Caesars zahlte Berichten zufolge 15 Millionen US-Dollar Lösegeld, während MGM sich stattdessen für eine Zusammenarbeit mit Strafverfolgungsbehörden entschied; der Vorfall dauerte bei MGM rund zehn Tage und verursachte für das dritte Quartal 2023 einen geschätzten Verlust von 100 Millionen US-Dollar.

Ob Caesars' Lösegeldzahlung MGM als weiteres Ziel derselben Angreifer erst attraktiv machte, wird in manchen Analysen vermutet, ist aus dieser Quelle aber nicht als gesicherter Kausalzusammenhang belegt.

Am 12.05.2017 legte die Ransomware WannaCry den britischen Gesundheitsdienst NHS für mehrere Tage lahm und betraf Krankenhäuser und Arztpraxen in ganz England und Schottland, wodurch tausende Termine und Operationen abgesagt werden mussten; über 80 Krankenhäuser waren direkt betroffen. Weltweit infizierte WannaCry an einem einzigen Tag rund 230.000 Computer, insgesamt über 200.000 Systeme in 150 Ländern, mit geschätzten Gesamtschäden von rund 4 Milliarden US-Dollar. WannaCry zielte nicht gezielt auf den NHS, doch veraltete Sicherheitsmaßnahmen begünstigten die Ausbreitung: Viele Computer britischer Krankenhäuser liefen auf ungepatchten Windows-7-Versionen. Die Schadsoftware nutzte die SMBv1-Sicherheitslücke in Windows aus, um Dateien zu verschlüsseln und Bitcoin-Lösegeld zu fordern. NHS England und die National Crime Agency bestätigten, dass keine NHS-Organisation Lösegeld zahlte; der Sicherheitsforscher Marcus Hutchins entdeckte rund sieben Stunden nach Beginn des Angriffs einen im Code eingebauten Kill-Switch und registrierte die zugehörige Domain, wodurch die weitere Ausbreitung gestoppt wurde.

Der Kill-Switch stoppte die weitere Ausbreitung, konnte aber bereits verschlüsselte Systeme nicht wiederherstellen; wie viele der betroffenen NHS-Systeme letztlich ohne Lösegeldzahlung wiederhergestellt wurden, ist aus dieser Quelle nicht beziffert.

Am 27.06.2017 kompromittierten staatlich gelenkte Akteure des russischen Militärgeheimdienstes GRU ein Update der ukrainischen Steuersoftware M.E.Doc mit der als Ransomware getarnten, tatsächlich datenzerstörenden Schadsoftware NotPetya, um die Ukraine zu treffen. Über die Windows-Schwachstelle EternalBlue verbreitete sich die Malware jedoch unkontrolliert lateral über verbundene Netzwerke weltweit und verursachte geschätzte Gesamtschäden von über 10 Milliarden US-Dollar. Die Reederei Maersk erlitt einen kompletter IT-Ausfall über mehrere Kontinente, der den Hafenbetrieb störte, mit finanziellen Verlusten zwischen 200 und 300 Millionen US-Dollar. Der Pharmakonzern Merck schätzte seinen Schaden auf 870 Millionen US-Dollar, einen der teuersten Cyberangriffe auf ein einzelnes Unternehmen in der Geschichte; die Produktion mehrerer Medikamente, darunter der HPV-Impfstoff Gardasil 9, wurde unterbrochen, sodass Merck Impfdosen aus dem Vorrat der US-Gesundheitsbehörde CDC entleihen musste. Weitere weltweit betroffene Unternehmen waren FedEx, der Lebensmittelkonzern Mondelez und der Baukonzern Saint-Gobain.

NotPetya war primär gegen ukrainische Ziele gerichtet; die massiven Kollateralschäden bei internationalen Konzernen waren laut Analysen eine unbeabsichtigte Folge der unkontrollierten Ausbreitungsmechanik, kein ursprüngliches Angriffsziel.

Ab Anfang 2015, entdeckt im Mai 2015, wurden bei einem Hackerangriff auf das IT-System des Deutschen Bundestags rund 16 Gigabyte Daten entwendet, darunter zahlreiche E-Mails von Abgeordneten. Die Angreifer nutzten eine Phishing-E-Mail mit dem Betreff 'Ukraine conflict with Russia leaves economy in ruins' und einer gefälschten Absenderadresse mit der Endung '@un.org', um einen vermeintlichen UN-Bericht vorzutäuschen; darüber installierte Schadsoftware ermöglichte den Angreifern, Passwörter abzugreifen, Administratorkonten zu übernehmen und weitere Daten zu stehlen. Die entdeckte IP-Adresse lieferte den stärksten Hinweis auf die mutmaßlichen Täter, die Hackergruppe 'Sofacy', auch bekannt als 'Fancy Bear', 'APT28' oder 'Operation Pawn Storm'. Die Bundesregierung ordnete den Angriff einer vom russischen Staat gelenkten Operation zu; im Mai 2020 erließ die Bundesanwaltschaft Haftbefehl gegen den russischen Staatsbürger Dmitri Badin, der als APT28-Mitglied gilt.

Ob Badin jemals tatsächlich gefasst und vor ein deutsches Gericht gestellt wurde, ist aus dieser Quelle nicht belegt; ein Haftbefehl bedeutet keine erfolgte Festnahme.

Im Dezember 2020 wurde bekannt, dass Angreifer eine manipulierte Software-Aktualisierung der IT-Management-Software Orion des Herstellers SolarWinds als Einfallstor nutzten, um in Netzwerke tausender US-Unternehmen und wichtiger Regierungsbehörden einzudringen. Mehr als 18.000 SolarWinds-Kunden installierten die kompromittierten Updates; das eigentliche Zielobjekt der Angreifer umfasste laut Weißem Haus jedoch nur rund 100 Unternehmen und mindestens neun US-Bundesbehörden, die gezielt weiter kompromittiert wurden. US-Behörden ordneten den Angriff im Januar öffentlich der russischen Cyberspionage-Gruppe APT29 ('Cozy Bear') zu, nach Berichten mit Verbindungen zum russischen Auslandsgeheimdienst SWR. Als Reaktion schnitt die Biden-Regierung Russlands Staatsanleihenmarkt vom US-Bankensystem ab und leiteten US-Geheimdienste eine umfassende Überprüfung von Lieferkettenrisiken durch russische Software ein.

Welche konkreten Daten aus den neun betroffenen US-Bundesbehörden tatsächlich abflossen, ist aus dieser Quelle nicht im Detail beziffert.

Mitte Dezember 2021 wurde in der weit verbreiteten Java-Bibliothek Log4j die kritische Schwachstelle CVE-2021-44228 ('Log4Shell') entdeckt, auf der CVSS-Skala mit dem Höchstwert 10 eingestuft. Da Systemadministratoren und Entwickler weltweit die Bibliothek wegen ihrer Funktionalität in Rechenzentren, Unternehmensservern, Netzwerktechnik und Systemkomponenten einsetzen, waren potenziell mehrere Milliarden Computersysteme weltweit verwundbar. Besonders gefährlich machte die Lücke, dass keine speziellen Berechtigungen zur Ausnutzung nötig waren: Angreifer konnten Schadcode bereits über einfache Eingabefelder wie Chatboxen oder Login-Formulare einschleusen. Das BSI stufte die Bedrohungslage auf Warnstufe Rot ein; internationale Beobachtungen zeigten aktive Ausnutzung mit den USA, Großbritannien, Deutschland, der Türkei und den Niederlanden als am häufigsten angegriffenen Regionen.

Eine belastbare Gesamtzahl tatsächlich erfolgreich kompromittierter Systeme (im Unterschied zu theoretisch verwundbaren) ist aus dieser Quelle nicht beziffert.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 02.07.2021 verbreitete die Ransomware-Gruppe REvil über ein gefälschtes Software-Update der Fernwartungssoftware Kaseya VSA Schadsoftware an die IT-Dienstleister (Managed Service Provider), die Kaseya nutzten, und von dort weiter an deren nachgelagerte Kunden. Kaseya meldete am 05.07.2021, der Angriff habe weniger als 60 direkte Kunden betroffen, jedoch bis zu 1.500 von deren Kunden betreute Unternehmen in 17 Ländern, darunter die schwedische Supermarktkette Coop, die 800 Filialen schließen musste, weil deren Kassensysteme über einen Kaseya-nutzenden IT-Dienstleister verwaltet wurden. Die Angreifer nutzten eine bekannte Schwachstelle in Kaseya VSA aus, während der Hersteller noch an einem Patch arbeitete. Kaseya veröffentlichte am 11.07.2021 Sicherheitsupdates und erhielt am 21.07.2021 einen universellen Entschlüsselungsschlüssel.

Auf welchem Weg Kaseya den universellen Entschlüsselungsschlüssel erhielt (Zahlung, Behördenoperation gegen REvil oder anderer Weg) ist aus dieser Quelle nicht belegt.

Am 30.05.2021 wurde ein Ransomware-Angriff auf den weltgrößten Fleischverarbeiter JBS Foods entdeckt, der Server der nordamerikanischen und australischen IT-Systeme des Konzerns betraf und zur zeitweisen Stilllegung von fünf der größten US-Fleischfabriken führte. Die US-Tochter von JBS zahlte den Erpressern 11 Millionen US-Dollar in Bitcoin, nachdem diese ursprünglich 22,5 Millionen Dollar gefordert hatten. Das FBI identifizierte die russische Cyberkriminalitätsgruppe REvil, dieselbe Gruppe, die kurz darauf auch den Kaseya-Angriff verübte, als Verantwortliche. JBS USA begründete die Zahlung mit einer Abwägung in Absprache mit internen und externen IT-Sicherheitsexperten, um mögliche Risiken für Kunden zu verhindern und unvorhersehbare Folgeprobleme des Angriffs zu vermeiden.

Ob und wie die gezahlten 11 Millionen US-Dollar später ganz oder teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im Oktober 2015 wurden bei einem Hack des britischen Telekommunikationsanbieters TalkTalk personenbezogene Daten von rund 157.000 Kunden gestohlen, darunter Bankkontonummern, Bankleitzahlen und Geburtsdaten; TalkTalk bezifferte den Gesamtschaden auf 60 Millionen Pfund. Ein 17-jähriger Jugendlicher bekannte sich vor dem Norwich Youth Court in sieben Anklagepunkten nach dem britischen Computer Misuse Act schuldig, zwei davon im Zusammenhang mit dem TalkTalk-Datenleck; er erklärte gegenüber den Richtern, er habe nicht an die Konsequenzen gedacht und lediglich vor Freunden angeben wollen. Der Jugendliche erhielt eine Bewährungsauflage und musste sein iPhone abgeben; das Gericht signalisierte, ihn trotz weiterer notwendiger Berichte von einer Haftstrafe verschonen zu wollen. Er hatte zuvor auch die Websites der Universitätsbibliotheken von Manchester und Cambridge angegriffen. Ein weiterer, älterer Beteiligter, Daniel Kelley, wurde später zu vier Jahren Haft verurteilt.

Die stark unterschiedlichen Strafmaße (Bewährung für den 17-Jährigen gegenüber vierjähriger Haft für Daniel Kelley) verdeutlichen, wie das Alter des Täters bei vergleichbaren Straftaten die Sanktion beeinflusst, ohne dass die Quelle den unterschiedlichen Tatbeitrag beider im Detail vergleicht.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Die kanadische Finanzgenossenschaft Desjardins Group gab am 20. Juni 2019 bekannt, dass ein Mitarbeiter über rund 26 Monate unbefugt persönliche Daten von Kundinnen und Kunden entwendet hatte. Nach ergänzenden Untersuchungen bezifferte Desjardins das Ausmaß 2020 auf etwa 9,7 Millionen betroffene Personen in Kanada und im Ausland, den bis dahin größten Datendiebstahl in der Geschichte des kanadischen Finanzsektors. Betroffen waren Vor- und Nachnamen, Geburtsdaten, Sozialversicherungsnummern, Adressen, Telefonnummern, E-Mail-Adressen und Transaktionshistorien. Der Täter, ein Mitarbeiter der Marketingabteilung, nutzte aus, dass Kolleginnen und Kollegen vertrauliche Kundendaten entgegen den internen Richtlinien aus geschützten Systemen auf ein für das gesamte Marketingteam zugängliches gemeinsames Laufwerk kopiert hatten. Er übertrug die Daten auf USB-Sticks und verkaufte sie über mehrere Monate hinweg an Dritte. Desjardins entdeckte den Diebstahl nicht selbst, sondern wurde Ende 2018 durch die Polizei im Rahmen einer anderen Ermittlung darauf aufmerksam. Die Bundesdatenschutzbehörde OPC und die Quebecer Aufsichtsbehörde CAI stellten in einem gemeinsamen Bericht vom November 2020 fest, dass Desjardins bekannte Sicherheitsmängel bei Zugriffskontrolle und Überwachung nicht rechtzeitig behoben hatte, und verpflichteten das Unternehmen zu externen Sicherheitsaudits sowie verbesserten Kontrollen. Im Dezember 2021 erhielt eine Sammelklage-Einigung im Umfang von bis zu rund 200 Millionen kanadischen Dollar für Entschädigung und Kreditüberwachung der Betroffenen die gerichtliche Genehmigung.

Die genaue Opferzahl wurde von Desjardins im Zeitverlauf mehrfach nach oben korrigiert (zunächst rund 2,7 bis 2,9 Millionen, später 9,7 Millionen), und das Strafverfahren gegen den 2024 verhafteten mutmaßlichen Haupttäter war zum Zeitpunkt der Recherche noch nicht rechtskräftig abgeschlossen.

Am 04.02.2015 gab der US-Krankenversicherer Anthem Inc. bekannt, Opfer eines Cyberangriffs auf seine IT-Systeme geworden zu sein. Die Angreifer hatten sich laut Unternehmensangaben bereits im Dezember 2014 Zugang zu den Systemen verschafft, ein Mitarbeiter entdeckte den unbefugten Zugriff am 27.01.2015. Betroffen waren die Daten von 78,8 Millionen aktuellen und ehemaligen Versicherten, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Adressen, E-Mail-Adressen sowie Beschäftigungs- und Einkommensangaben. Medizinische Behandlungsdaten und Zahlungsdaten wurden nach Unternehmensangaben nicht kompromittiert. Die Angreifer verschafften sich laut Ermittlungen des US-Justizministeriums über Spear-Phishing-E-Mails Zugang zum Netzwerk und wurden einer China-basierten Hackergruppe zugeordnet, gegen deren mutmaßliches Mitglied Fujie Wang im Mai 2019 Anklage erhoben wurde. Anthem einigte sich 2017 in einer Sammelklage auf eine Entschädigungssumme von 115 Millionen US-Dollar, zu diesem Zeitpunkt der größte Vergleich in einem Datenschutzfall in den USA. Zusätzlich zahlte Anthem 16 Millionen US-Dollar an das US-Gesundheitsministerium wegen HIPAA-Verstößen, die bis dahin höchste HIPAA-Strafzahlung. Der Fall gilt als der bis heute größte bekannt gewordene Datendiebstahl im US-Gesundheitswesen.

Aus dieser Quelle nicht abschließend belegt ist die exakte staatliche Urheberschaft: Ermittler stuften den Angriff als vermutlich staatlich gelenkt ein, ohne den Auftraggeber offiziell zu benennen, und der 2019 angeklagte Fujie Wang wurde bislang weder festgenommen noch verurteilt.

Am 14.05.2021 wurde der irische staatliche Gesundheitsdienst Health Service Executive (HSE) Ziel eines Ransomware-Angriffs der Gruppe Conti, der zur Abschaltung nahezu aller IT-Systeme im ganzen Land führte. Das irische National Cyber Security Centre (NCSC) hatte bereits am Vortag verdächtige Aktivität im Netzwerk des Gesundheitsministeriums festgestellt und dabei Cobalt-Strike-Beacons entdeckt, die typischerweise der lateralen Bewegung vor einem Ransomware-Einsatz dienen. Gegen 07:00 Uhr am 14.05.2021 meldete das NCSC den Angriff auf die HSE-Systeme, woraufhin die HSE vorsorglich sämtliche IT-Systeme landesweit abschaltete. Ein zeitgleicher Angriffsversuch auf das Gesundheitsministerium selbst wurde durch Antivirensoftware gestoppt. Laut dem im Dezember 2021 von PwC im Auftrag der HSE veröffentlichten Untersuchungsbericht erfolgte der erste Zugriff der Angreifer bereits am 18.03.2021 über eine mit Schadsoftware präparierte Excel-Datei aus einer Phishing-Mail, danach blieben die Angreifer rund acht Wochen unentdeckt im Netzwerk. Mehr als 80 Prozent der HSE-IT-Landschaft waren betroffen, 31 von 54 Akutkrankenhäusern mussten Operationen und Termine absagen und auf Papierdokumentation umstellen. Die Angreifer forderten späteren Berichten zufolge ein Lösegeld von rund 19.999.000 US-Dollar, das die irische Regierung nach eigener Aussage nicht zahlte. Am 20.05.2021 stellte die Conti-Gruppe dennoch kostenlos einen Entschlüsselungsschlüssel bereit. Bis September 2021 waren nach HSE-Angaben mehr als 95 Prozent der Server und Endgeräte wiederhergestellt.

Die zitierte NCSC-Meldung dokumentiert nur die ersten Tage des Angriffs. Lösegeldforderung, Gesamtkosten und der spätere Wiederherstellungsverlauf stammen aus nachfolgenden Berichten und schwanken je nach Quelle, etwa bei den geschätzten Gesamtkosten, die zwischen zig Millionen und über 100 Millionen Euro liegen.

Am 24.05.2019 wurde bekannt, dass die australische Design-Plattform Canva Ziel eines Datendiebstahls geworden war, bei dem ein Angreifer unter dem Pseudonym GnosticPlayers Zugriff auf eine Nutzerdatenbank erlangte. Laut der Sicherheits-Datenbank Have I Been Pwned waren rund 137,3 Millionen Konten betroffen, der Angreifer selbst nannte gegenüber dem Journalisten Catalin Cimpanu von ZDNet eine Zahl von etwa 139 Millionen. Erbeutet wurden Nutzernamen, echte Namen, E-Mail-Adressen sowie Angaben zu Wohnort und Land der Nutzer. Bei einem Teil der Konten, die sich nicht per Google- oder Facebook-Login angemeldet hatten, waren zusätzlich mit bcrypt gesalzene und gehashte Passwörter betroffen, nach Angaben aus der Berichterstattung rund 61 Millionen. Der Angreifer erklärte, alle Daten bis zum 17.05.2019 heruntergeladen zu haben, bevor Canva den unbefugten Zugriff bemerkte und den betroffenen Datenbankserver abschaltete. Canva bestätigte den Vorfall öffentlich, informierte betroffene Nutzer per E-Mail und forderte zum Zurücksetzen der Passwörter auf. Im Januar 2020 wurden Medienberichten zufolge rund 4 Millionen der ursprünglich gehashten Passwörter entschlüsselt und weiterverbreitet, woraufhin Canva die Passwörter aller Nutzer zurücksetzte, die ihr Passwort seit Mai 2019 nicht geändert hatten. Der Vorfall war Teil einer größeren Angriffsserie des Hackers beziehungsweise der Hackergruppe GnosticPlayers, die 2019 gestohlene Daten aus mehreren Dutzend Online-Diensten zum Verkauf anbot.

Die genaue Zahl der betroffenen Konten schwankt je nach Quelle zwischen 137 und 139 Millionen, eine von Canva selbst bestätigte exakte Zahl liegt in den verfügbaren Quellen nicht vor. Ob Canva infolge des Vorfalls behördliche Bußgelder oder Entschädigungszahlungen leisten musste, ist aus den ausgewerteten Quellen nicht ersichtlich.

Die New York Times deckte am 11.03.2024 auf, dass General Motors über sein Telematiksystem OnStar und das Programm Smart Driver Fahrverhaltensdaten von Kunden sammelte und ohne klare Einwilligung an die Auskunfteien LexisNexis Risk Solutions und Verisk Analytics verkaufte. Erfasst wurden unter anderem Geschwindigkeit, Vollbremsungen, starke Beschleunigungen, Fahrtzeiten und gefahrene Strecken sowie teilweise Geodaten im Abstand von nur drei Sekunden. LexisNexis erstellte aus diesen Daten Risikoscores, die Versicherungsunternehmen bei der Festlegung von Prämien oder bei der Ablehnung von Kunden nutzten. Betroffen waren GM-Modelle der Marken Chevrolet, GMC, Cadillac und Buick ab Baujahr 2015. Nach dem öffentlichen Bekanntwerden stellte GM die Datenweitergabe an LexisNexis und Verisk am 20.03.2024 ein und beendete das Smart-Driver-Programm am 24.04.2024. Die Generalstaatsanwaltschaft von Texas verklagte GM im August 2024 wegen der Daten von mehr als 1,5 Millionen Fahrern im Bundesstaat. Die FTC einigte sich am 16.01.2025 mit GM auf einen Vergleich mit einem fünfjährigen Verbot der Weitergabe sensibler Standort- und Fahrverhaltensdaten an Auskunfteien sowie einer zwanzigjährigen Auflage zur Einholung ausdrücklicher Kundenzustimmung. Kalifornien schloss am 08.05.2026 einen eigenen Vergleich mit GM über eine Zivilstrafe von 12,75 Millionen US-Dollar.

Die genaue Gesamtzahl der betroffenen US-Fahrer ist nicht offiziell verifiziert; Sammelklagen sprechen von bis zu 16 Millionen Betroffenen, was durch die FTC-Dokumente nicht bestätigt wird. Ebenfalls nicht abschließend geklärt ist, in welchem Umfang einzelne Autohäuser Kunden aktiv zur Anmeldung bei Smart Driver gedrängt haben.

Am 27.02.2019 gab die US-amerikanische Federal Trade Commission (FTC) eine Einigung mit dem Unternehmen hinter der Video-App Musical.ly bekannt, die inzwischen mit TikTok fusioniert war. Musical.ly zahlte 5,7 Millionen Dollar Zivilstrafe wegen Verstößen gegen den Children's Online Privacy Protection Act (COPPA). Die FTC warf dem Unternehmen vor, keine elterliche Zustimmung eingeholt zu haben, bevor personenbezogene Daten von Nutzern unter 13 Jahren gesammelt wurden. Zur Registrierung mussten Nutzer E-Mail-Adresse, Telefonnummer, vollständigen Namen, Nutzernamen, ein Profilbild und eine kurze Biografie angeben. Laut FTC-Beschwerde war dem Unternehmen bekannt, dass ein erheblicher Anteil der Nutzer jünger als 13 Jahre war, zudem gingen tausende Elternbeschwerden über Konten minderjähriger Kinder ein. Die Strafe war zum Zeitpunkt der Verhängung die höchste jemals von der FTC in einem Kinderschutzfall erzielte Zivilstrafe. Die Einigung verpflichtete das Unternehmen, künftig COPPA einzuhalten und alle von Nutzern unter 13 Jahren erstellten Videos offline zu nehmen. Die App firmierte zum Zeitpunkt der Ankündigung bereits unter der Marke TikTok, nachdem ByteDance Musical.ly im August 2018 übernommen und integriert hatte.

Aus der Pressemitteilung geht nicht hervor, wie viele Kinderkonten oder Videos konkret betroffen waren, und die genaue Zahl der eingegangenen Elternbeschwerden wird nur als tausende beziffert, nicht exakt. Ebenfalls nicht belegt ist eine detaillierte Aufschlüsselung, welcher Anteil der Gesamtnutzerschaft unter 13 Jahre alt war.