Quellen-Tabelle

Am 12.09.2013 gab Vodafone Deutschland bekannt, dass bei einem Cyberangriff persönliche Daten und Kontoinformationen von zwei Millionen Kunden gestohlen wurden. Der Angriff erfolgte laut Vodafone mit hoher krimineller Energie und mutmaßlichem Insiderwissen tief in der IT-Infrastruktur des Unternehmens; gestohlen wurden Namen, Adressen, Geburtsdaten, Geschlecht sowie Bankkontonummern und Bankleitzahlen, jedoch keine Passwörter oder PINs. Vodafone entdeckte den Angriff selbst und konnte ihn stoppen; die Behörden identifizierten einen Verdächtigen und durchsuchten dessen Wohnung, woraufhin Vodafone die zwei Millionen Betroffenen per Brief informierte.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.

Am 10. Januar 2023 wurde der britische Postdienst Royal Mail Ziel eines Ransomware-Angriffs mit der Schadsoftware LockBit Black, der Drucksysteme fuer Zoll- und Versandetiketten am internationalen Verteilzentrum in Langley bei Heathrow sowie an weiteren Standorten verschluesselte. In der Folge kam der internationale Post- und Paketversand praktisch zum Erliegen, Kunden konnten wochenlang keine Sendungen ins Ausland aufgeben. Die Angreifer forderten zunaechst 80 Millionen US-Dollar Loesegeld, was nach ihrer eigenen Berechnung 0,5 Prozent des Jahresumsatzes von Royal Mail entsprach, und senkten die Forderung am 1. Februar 2023 auf 70 Millionen US-Dollar. Royal Mail bezeichnete die Forderung als absurd, zahlte kein Loesegeld und folgte damit dem Rat der Ermittlungsbehoerden. LockBit veroeffentlichte daraufhin im Februar 2023 Verhandlungsprotokolle sowie gestohlene Unternehmensdaten. Ab dem 19. Januar 2023 nahm Royal Mail eingeschraenkte internationale Dienste ueber Notloesungen wieder auf, vollstaendig wiederhergestellt war der Auslandsversand erst Ende Februar 2023. National Cyber Security Centre und National Crime Agency ermittelten gemeinsam zu dem Vorfall. Der Inlandsversand in Grossbritannien war von dem Angriff nicht betroffen. Nach eigenen Angaben kostete die Bewaeltigung des Vorfalls Royal Mail mehr als 10 Millionen britische Pfund.

Aus der zitierten Quelle nicht abschliessend belegt sind die genaue Anzahl und Art der tatsaechlich von LockBit abgeflossenen Datensaetze sowie die interne Verantwortlichkeit innerhalb der LockBit-Struktur, da die Gruppe selbst zeitweise bestritt, hinter dem Angriff zu stehen.

Der australische Krankenversicherer Medibank, mit rund 9,7 Millionen Kunden das groesste Unternehmen seiner Art im Land, meldete am 13.10.2022 einen Cyberangriff. Die Angreifer erlangten Zugang ueber gestohlene Zugangsdaten eines Drittanbieters, dessen Systeme keine Mehrfaktor-Authentifizierung nutzten, und exfiltrierten laut Ermittlungen rund 200 Gigabyte an Daten. Betroffen waren Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, teils Medicare- und Passnummern sowie Gesundheits- und Behandlungsdaten der Versicherten, darunter Diagnosecodes zu Abtreibungen, Suchtbehandlungen, HIV-Infektionen und psychischen Erkrankungen. Die mutmasslich mit der russischsprachigen Ransomware-Gruppe REvil verbundenen Taeter forderten ein Loesegeld von rund 10 Millionen US-Dollar, umgerechnet etwa einem US-Dollar pro betroffenem Kunden. Medibank lehnte die Zahlung Anfang November 2022 unter Verweis auf die australische Regierung ab. Daraufhin veroeffentlichten die Angreifer ab dem 9. und 10.11.2022 gestohlene Datensaetze im Darknet, darunter eine als "abortions.csv" bezeichnete Datei sowie eine Liste mit Daten zu Drogen-, Alkohol- und psychischen Erkrankungen. Die australische Datenschutzbehoerde OAIC reichte spaeter Klage gegen Medibank ein und wirft dem Unternehmen vor, von Maerz 2021 bis Oktober 2022 keine angemessenen Schutzmassnahmen fuer die Daten von 9,7 Millionen Australiern getroffen zu haben. Medibank bezifferte die Gesamtkosten des Vorfalls bis Mitte 2025 auf mehr als 125 Millionen australische Dollar.

Aus dieser Quelle nicht belegt: der genaue Ausgang des laufenden Zivilverfahrens der OAIC gegen Medibank sowie eine abschliessend bestaetigte Hoehe der verhaengten Strafzahlung, da das Verfahren zum Zeitpunkt der Recherche noch nicht rechtskraeftig abgeschlossen war.

Marriott International teilte am 31.03.2020 mit, dass Unbekannte zwischen Mitte Januar 2020 und Ende Februar 2020 auf Gästedaten von schätzungsweise 5,2 Millionen Personen zugreifen konnten. Die Angreifer nutzten dabei die Login-Daten von zwei Mitarbeitern eines Franchise-Hotels der Kette, um sich Zugang zu einer Anwendung zu verschaffen, mit der Marriott-Franchisenehmer Gästeservices verwalten. Marriott entdeckte den unautorisierten Zugriff Ende Februar 2020 und deaktivierte daraufhin die betroffenen Zugangsdaten. Zu den kompromittierten Daten gehörten Namen, Geschlecht, Geburtstag und -monat, Adressen, Telefonnummern, E-Mail-Adressen, Arbeitgeberangaben, Treueprogramm-Informationen einschließlich verknüpfter Fluggesellschaftskonten sowie Präferenzen zum Hotelaufenthalt. Nach Angaben des Unternehmens waren Zahlungskartendaten, Passwörter und PINs der Bonvoy-Konten, Passnummern sowie nationale Ausweis- und Führerscheinnummern nicht betroffen. Marriott setzte anschließend die Passwörter aller Bonvoy-Mitglieder zurück, informierte die betroffenen Gäste per E-Mail, richtete ein Online-Portal zur Überprüfung des eigenen Betroffenenstatus ein und bot ein Jahr kostenloses Identitätsüberwachungs-Monitoring durch Experian IdentityWorks an. Es handelte sich um den zweiten großen Datenschutzvorfall bei Marriott nach dem Starwood-Leck von 2018 mit rund 339 Millionen betroffenen Datensätzen weltweit.

Aus dieser Quelle nicht belegt sind der genaue Name des betroffenen Franchise-Hotels sowie die exakte Zahl und Identität der involvierten Täter; auch etwaige Bußgelder oder rechtliche Konsequenzen speziell für diesen 2020er-Vorfall werden hier nicht dokumentiert.

Am 20.02.2024 gab die britische National Crime Agency (NCA) gemeinsam mit dem FBI, Europol, Eurojust und Strafverfolgungsbehörden aus insgesamt zehn Ländern die Zerschlagung der Ransomware-Gruppe LockBit im Rahmen der "Operation Cronos" bekannt. Die Ermittler übernahmen die Kontrolle über die Darknet-Infrastruktur von LockBit, darunter die Leak-Website, und ersetzten sie durch eigene Mitteilungen. Insgesamt wurden 34 Server in den Niederlanden, Deutschland, Finnland, Frankreich, der Schweiz, Australien, den USA und Großbritannien beschlagnahmt. Von den beschlagnahmten Servern sicherten die Ermittler mehr als 1.000 Entschlüsselungsschlüssel, mit denen Opfer ihre verschlüsselten Daten wiederherstellen können. Zudem wurden mehr als 14.000 für den Betrieb von LockBit genutzte Nutzerkonten identifiziert und mehr als 200 Kryptowährungskonten eingefroren. Zwei mutmaßliche LockBit-Mitglieder wurden in Polen und der Ukraine festgenommen, an der Operation waren unter anderem auch das deutsche Bundeskriminalamt (BKA) und das LKA Schleswig-Holstein beteiligt. LockBit galt zu diesem Zeitpunkt als eine der aktivsten Ransomware-Gruppen weltweit mit mehreren tausend Opfern seit 2019.

Aus dieser Quelle nicht belegt sind die genaue Gesamtsumme der von LockBit erpressten Zahlungen sowie die vollständige Identität des Hauptbetreibers, der erst Monate später (Mai 2024) namentlich benannt wurde; auch der langfristige Erfolg der Zerschlagung ist unklar, da LockBit nach der Operation Teile seiner Aktivitäten wiederaufnahm.

Am 15.09.2022 wurde der Fahrdienstvermittler Uber Ziel eines schwerwiegenden Cyberangriffs auf seine internen Systeme. Ein Angreifer verschaffte sich per Social Engineering Zugang zum Uber-Konto eines externen Vertragspartners, dessen Zugangsdaten vermutlich zuvor im Darknet erworben worden waren, und überflutete ihn anschließend mit wiederholten Multi-Faktor-Authentifizierungsanfragen, bis dieser eine Anmeldung bestätigte (MFA-Fatigue-Angriff). Über den so erlangten VPN-Zugang fand der Angreifer in einem internen Netzwerkverzeichnis ein PowerShell-Skript mit hinterlegten Administrator-Zugangsdaten und weitete damit seine Rechte deutlich aus. Mit diesen erhöhten Rechten übernahm er unter anderem Ubers Slack-Arbeitsbereich, Google-Workspace-Konten, AWS- und Google-Cloud-Umgebungen sowie den HackerOne-Verwaltungsbereich und interne Mitarbeiter-Dashboards. Uber-Mitarbeiter bemerkten den Vorfall, als im firmenweiten Slack-Kanal eine Nachricht erschien, in der sich der Angreifer als Hacker zu erkennen gab und eine Datenschutzverletzung ankündigte. Uber und mehrere Medien ordneten den Angriff einem angeblich 18-jährigen Mitglied der Hackergruppe Lapsus$ zu, das später als Brite Arion Kurtaj identifiziert wurde. Uber erklärte, dass keine sensiblen Nutzerdaten wie Zahlungs- oder Bankdaten sowie keine Fahrtinformationen abgeflossen und der Quellcode nicht verändert worden seien; FBI und US-Justizministerium wurden in die Ermittlungen eingebunden. Im August 2023 wurde Kurtaj in London wegen mehrerer Straftaten im Zusammenhang mit den Uber- und Rockstar-Games-Hacks schuldig gesprochen und im Dezember 2023 zu unbefristeter Unterbringung in einer psychiatrischen Einrichtung verurteilt.

Aus der Quelle nicht unabhängig verifizierbar ist, ob Ubers Zusicherung, dass keine sensiblen Kunden- und Zahlungsdaten abgeflossen sind, extern geprüft wurde oder allein auf der eigenen internen Untersuchung des Unternehmens beruht. Auch die exakte Zuordnung des Angriffs zu genau einer Einzelperson statt zu mehreren Beteiligten der Lapsus$-Gruppe war zum Zeitpunkt der ersten Berichterstattung noch nicht gerichtsfest geklärt.

Der US-Telekommunikationskonzern AT&T bestätigte am 12.07.2024, dass Angreifer zwischen dem 14.04.2024 und dem 25.04.2024 unbefugt auf seinen Arbeitsbereich beim Cloud-Anbieter Snowflake zugegriffen und Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 bis 110 Millionen Mobilfunkkunden von AT&T sowie Kunden angeschlossener Mobilfunkanbieter entwendet haben. Betroffen waren Verbindungsdaten aus dem Zeitraum vom 01.05.2022 bis zum 31.10.2022 sowie für einen kleineren Teil der Kunden vom 02.01.2023, darunter Telefonnummern, Häufigkeit und Dauer der Kontakte sowie teilweise Kennungen von Mobilfunkmasten zur Standortnäherung. Nicht betroffen waren laut AT&T die Inhalte von Anrufen und Kurznachrichten sowie Namen, Sozialversicherungsnummern oder Geburtsdaten. Wie heise online berichtete, zahlte AT&T Mitte Mai 2024 umgerechnet rund 370.000 US-Dollar in Bitcoin an einen Hacker der Gruppe ShinyHunters, der über einen Mittelsmann verhandelte, damit die gestohlenen Daten gelöscht wurden; als Nachweis erhielt AT&T ein Video der Löschung. Ursprünglich hatte der Angreifer eine Million Dollar gefordert. Als ursprünglicher Datendieb gilt der US-Bürger John Erin Binns, der zu dieser Zeit in der Türkei lebte und bereits mit dem T-Mobile-Hack von 2021 in Verbindung gebracht worden war. Der Zugriffspunkt bei Snowflake wurde nach Angaben von AT&T inzwischen abgesichert, betroffene Kunden wurden informiert.

Die Zahlung von rund 370.000 US-Dollar stützt sich auf Aussagen eines an der Übergabe beteiligten Mittelsmanns gegenüber Journalisten sowie auf ein vorgelegtes Bitcoin-Transaktionsprotokoll; AT&T selbst hat die Zahlung öffentlich nicht bestätigt, und ob wirklich alle Kopien der Daten gelöscht wurden, bleibt laut Mittelsmann unsicher. Die oft im Zusammenhang genannte Zahl von 73 Millionen betroffenen Kunden bezieht sich auf ein separates, im März 2024 bekanntgewordenes Datenleck aus rund 2019 und nicht auf die hier beschriebenen Anruf- und SMS-Metadaten von rund 109 bis 110 Millionen Kunden.

Am 26.02.2022 entdeckte der japanische Toyota-Zulieferer Kojima Industries Corporation, Hersteller von Kunststoff- und Elektronikteilen, nach einem Fehler auf einem Dateiserver eine Virusinfektion samt englischsprachiger Drohbotschaft. Toyota Motor Corporation kündigte daraufhin an, wegen des dadurch ausgelösten Systemausfalls bei Kojima am 01.03.2022 alle 28 Fertigungslinien an allen 14 inländischen Werken in Japan für beide Schichten auszusetzen. Der eintägige Produktionsstopp kostete nach Reuters-Berechnungen rund 13.000 Fahrzeuge und betraf über gemeinsame Zulieferteile auch die mit Toyota verbundenen Marken Daihatsu und Hino. Zeitgleich meldete auch der Wasserpumpenhersteller GMB Corp, ein weiterer Toyota-Zulieferer, technische Probleme. Bereits am 02.03.2022 nahm Toyota die Produktion in der ersten Schicht wieder auf, nachdem der Datenaustausch zwischen Kojima und Toyota über ein Backup-Netzwerk wiederhergestellt worden war. Toyota rechnete zu diesem Zeitpunkt damit, dass die vollständige Systemwiederherstellung noch ein bis zwei Wochen dauern werde. Toyota-Präsident Akio Toyoda besuchte die Kojima-Zentrale rund vier Tage nach dem Vorfall. Mehrere Medien bezifferten den wirtschaftlichen Schaden aus dem eintägigen Produktionsausfall auf eine grobe Schätzung von etwa 375 Millionen US-Dollar auf Basis von Umsatz- und Absatzdaten.

Wer für den Angriff verantwortlich war und ob es sich tatsächlich um Ransomware oder einen Emotet-Bezug handelte, war laut Reuters-Bericht zum Zeitpunkt der Berichterstattung nicht bestätigt; die kolportierte Schadenssumme von rund 375 Mio. US-Dollar beruht auf einer externen Hochrechnung, nicht auf einer offiziellen Toyota-Angabe.

Der US-Kosmetikkonzern Estée Lauder wurde im Juli 2023 von zwei rivalisierenden Ransomware-Gruppen gleichzeitig angegriffen. Die Gruppe BlackCat/ALPHV gab an, erstmals am 15.07.2023 Kontakt zur Unternehmensleitung aufgenommen zu haben, und drohte mit der Veröffentlichung von mehr als 130 Gigabyte gestohlener Daten, ohne dabei das Firmennetzwerk zu verschlüsseln. Parallel dazu listete die Gruppe Clop Estée Lauder auf ihrer Leak-Seite und beanspruchte den Diebstahl von mehr als 131 Gigabyte an Daten. Clop erlangte den Zugriff nach eigenen Angaben über eine Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer von Progress Software, die seit Ende Mai 2023 als Zero-Day-Lücke ausgenutzt wurde. Estée Lauder bestätigte den Vorfall am 18.07.2023 in einer Pflichtmitteilung (Form 8-K) an die US-Börsenaufsicht SEC. Der Konzern schaltete vorsorglich Teile seiner IT-Systeme ab, um eine weitere Ausbreitung im Netzwerk zu verhindern, und beauftragte externe Cybersicherheitsexperten sowie Strafverfolgungsbehörden mit der Untersuchung. Laut SEC-Mitteilung führte der Vorfall zu Störungen in Teilen des Geschäftsbetriebs, die auch über die Veröffentlichung hinaus andauern sollten. Eine konkrete Lösegeldforderung wurde von BlackCat nicht öffentlich beziffert, die Gruppe drohte jedoch mit weiterer Datenveröffentlichung bei ausbleibender Verhandlungsbereitschaft.

Aus dieser Quelle ist nicht belegt, welche konkreten Datenkategorien wie Kunden- oder Mitarbeiterdaten tatsächlich betroffen waren, ob ein Lösegeld gezahlt wurde und wie der Vorfall rechtlich oder finanziell für Estée Lauder letztlich ausging.

Die Ransomware-Gruppe LockBit listete den US-Flugzeughersteller Boeing am 27.10.2023 auf ihrer Darknet-Leak-Seite als Opfer und drohte mit der Veröffentlichung gestohlener Unternehmensdaten, falls Boeing nicht bis zum 02.11.2023 Kontakt aufnehme. Boeing bestätigte einen Cybervorfall, der nach eigenen Angaben Teile des Ersatzteil- und Distributionsgeschäfts betraf, jedoch keine Auswirkungen auf die Flugsicherheit gehabt habe. Nachdem Verhandlungen offenbar gescheitert waren, veröffentlichte LockBit die Daten bereits am 10.11.2023, früher als die zunächst angekündigte Frist vom 13.11.2023. Sicherheitsforscher bezifferten das veröffentlichte Datenpaket auf rund 40 bis 50 Gigabyte, es enthielt unter anderem Backup-Dateien, Konfigurationen von Software-Management-Systemen sowie Protokolle aus Citrix- und Telefonsystemen. Als möglicher Einfallsvektor wird die im Oktober 2023 bekannt gewordene Citrix-Bleed-Sicherheitslücke CVE-2023-4966 in Citrix-NetScaler-Systemen vermutet, eine offizielle Bestätigung durch Boeing dafür gibt es nicht. Boeing erklärte, Strafverfolgungs- und Aufsichtsbehörden informiert zu haben und den Vorfall zu untersuchen. Im Mai 2024 wurde im Zuge einer Anklage des US-Justizministeriums gegen den mutmaßlichen LockBit-Administrator Dmitry Khoroshev bekannt, dass die Angreifer ursprünglich 200 Millionen US-Dollar Lösegeld gefordert hatten, was Boeing bestätigte. Boeing zahlte das geforderte Lösegeld nicht.

Die genaue Menge und der Inhalt der veröffentlichten Daten sind nicht abschließend geklärt, Quellen nennen unterschiedliche Größenangaben zwischen rund 40 und 50 Gigabyte. Der technische Einfallsvektor (vermutlich Citrix Bleed) sowie die Identität der konkret verantwortlichen LockBit-Mitglieder wurden von Boeing nie offiziell bestätigt.

Equifax, eines der drei großen US-amerikanischen Kreditauskunftsunternehmen, gab am 07.09.2017 bekannt, dass Angreifer zwischen Mai und Ende Juli 2017 unbefugt auf seine Systeme zugegriffen hatten. Die Täter nutzten eine bekannte Sicherheitslücke in der Webanwendungs-Software Apache Struts (CVE-2017-5638) aus, für die bereits seit dem 07.03.2017 ein Patch verfügbar war, den Equifax jedoch nicht rechtzeitig installierte. Entdeckt wurde der Einbruch erst am 29.07.2017, als IT-Mitarbeiter ein abgelaufenes SSL-Zertifikat erneuerten und dabei verdächtigen Datenverkehr bemerkten. Betroffen waren die persönlichen Daten von rund 147,9 Millionen US-Bürgern (Namen, Sozialversicherungsnummern, Geburtsdaten, Adressen, teils Führerschein- und Kreditkartennummern) sowie zusätzlich etwa 15,2 Millionen Britinnen und Briten und rund 19.670 Kanadierinnen und Kanadier. CEO Richard Smith trat am 26.09.2017 zurück, nachdem am 15.09.2017 bereits der Chief Information Officer und der Chief Security Officer das Unternehmen verlassen hatten. Der Fall führte zu mehreren Anhörungen vor Ausschüssen des US-Kongresses, bei denen Smith menschliches Versagen und mangelnde interne Kommunikation als Ursachen für die verpasste Patch-Installation nannte. Am 22.07.2019 einigte sich Equifax mit der FTC, dem CFPB sowie 48 US-Bundesstaaten auf eine Vergleichszahlung von mindestens 575 Millionen US-Dollar, die bei hoher Zahl an Entschädigungsanträgen auf bis zu 700 Millionen US-Dollar steigen konnte. Zudem wurde bekannt, dass CFO John Gamble vor der öffentlichen Bekanntgabe Firmenaktien verkauft hatte, was separate Ermittlungen wegen möglichen Insiderhandels nach sich zog.

Aus dieser Quelle nicht abschließend belegt ist, wie viele der 147,9 Millionen Betroffenen tatsächlich Entschädigungszahlungen aus dem Vergleichsfonds erhielten. Die strafrechtliche Verantwortung bleibt teilweise offen: 2020 klagte das US-Justizministerium vier mutmaßliche chinesische Militärangehörige an, eine Verurteilung ist bislang nicht erfolgt.

Die US-Behörde Office of Personnel Management (OPM), zuständig für die Personalverwaltung der Bundesregierung, wurde Opfer zweier miteinander verknüpfter Cyberangriffe, die zwischen 2014 und Anfang 2015 liefen. Ein erster Einbruch, entdeckt am 20.03.2014, betraf Personalakten von rund 4,2 Millionen aktuellen und ehemaligen Regierungsangestellten. Ein zweiter, schwerwiegenderer Einbruch wurde am 15.04.2015 bemerkt; dabei wurden Daten aus Sicherheitsüberprüfungsformularen (Standard Form 86) von 21,5 Millionen Personen entwendet, darunter Bewerber für Sicherheitsfreigaben sowie deren Angehörige und Kontaktpersonen. Erbeutet wurden unter anderem Sozialversicherungsnummern, Wohnorts- und Beschäftigungshistorien, Finanz- und Strafregisterdaten sowie 5,6 Millionen Fingerabdrücke. OPM bestätigte das Ausmaß der zweiten Datenpanne öffentlich am 09.07.2015. Als mutmaßlicher Urheber gilt eine staatlich gelenkte Angreifergruppe aus China, offizielle Beweise wurden von der US-Regierung jedoch nicht veröffentlicht. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 unter politischem Druck zurück. Als Folge des Vorfalls bot die US-Regierung den Betroffenen kostenlose Kreditüberwachung und Identitätsschutzdienste an.

Eine offizielle strafrechtliche Anklage oder ein rechtsverbindlicher Beweis für die chinesische Urheberschaft wurde nie veröffentlicht, die Zuordnung beruht auf Einschätzungen von US-Ermittlern und Sicherheitsforschern. Auch die genaue Zahl der tatsächlich missbrauchten Identitäten sowie etwaige finanzielle Schäden bei Betroffenen sind nicht abschließend beziffert.

Am 03.04.2016 veröffentlichten die Süddeutsche Zeitung und das International Consortium of Investigative Journalists (ICIJ) die Panama Papers, ein Datenleck von 11,5 Millionen Dokumenten mit rund 2,6 Terabyte aus der panamaischen Anwaltskanzlei Mossack Fonseca. Ein anonymer Informant unter dem Pseudonym John Doe hatte die Unterlagen 2015 dem SZ-Journalisten Bastian Obermayer zugespielt, der sie mit dem ICIJ teilte. Mehr als 350 Journalisten aus rund 80 Ländern und über 100 Medienorganisationen werteten das Material rund ein Jahr lang gemeinsam aus, bevor die Ergebnisse zeitgleich veröffentlicht wurden. Die Dokumente belegten mehr als 214.000 Offshore-Firmen und nannten 12 amtierende oder ehemalige Staats- und Regierungschefs sowie rund 140 weitere Politiker. Islands Ministerpräsident Sigmundur David Gunnlaugsson trat am 05.04.2016 wegen unversteuerter Offshore-Vermögen zurück, Pakistans Ministerpräsident Nawaz Sharif wurde 2017 vom Obersten Gerichtshof des Landes seines Amtes enthoben. Die Mossack-Fonseca-Gründer wurden im Februar 2017 in Panama wegen Geldwäsche festgenommen, die Kanzlei stellte im März 2018 ihren Geschäftsbetrieb ein. Laut ICIJ hatten Staaten bis 2021 weltweit mehr als 1,36 Milliarden US-Dollar an Steuernachzahlungen und Bußgeldern infolge der Enthüllungen eingetrieben.

Die Identität des Informanten John Doe ist bis heute nicht bekannt. Die strafrechtlichen Verfahren gegen die Kanzleigründer endeten 2024 in Panama mit Freisprüchen vom Vorwurf der Geldwäsche, was aus der zitierten ICIJ-Quelle allein nicht hervorgeht.

Die Fluggesellschaft Cathay Pacific mit Sitz in Hongkong gab am 24.10.2018 bekannt, dass unbefugte Dritte zwischen dem 14.10.2014 und Mai 2018 Zugriff auf ihre IT-Systeme hatten. Betroffen waren die persönlichen Daten von rund 9,4 Millionen Passagieren weltweit, darunter 111.578 Personen aus Großbritannien. Offengelegt wurden Namen, Nationalitäten, Geburtsdaten, Telefonnummern, E-Mail- und Postadressen, etwa 860.000 Passnummern, rund 245.000 Nummern von Hongkonger Personalausweisen sowie Vielfliegernummern und Reisehistorien. Die Angreifer drangen über einen mit dem Internet verbundenen Server ein und installierten Schadsoftware zum Abgreifen der Daten. Die britische Datenschutzbehörde ICO stellte in ihrer Untersuchung mehrere grundlegende Sicherheitsmängel fest, darunter ungeschützte Backup-Dateien, ungepatchte Server, veraltete Betriebssysteme und unzureichenden Virenschutz. Am 04.03.2020 verhängte das ICO gegen Cathay Pacific eine Geldbuße von 500.000 britischen Pfund, den zu diesem Zeitpunkt gesetzlichen Höchstbetrag nach dem alten Data Protection Act 1998. Diese Regelung galt, weil die Sicherheitslücke bereits im Mai 2018 und damit kurz vor Inkrafttreten der DSGVO am 25.05.2018 geschlossen wurde. Unter der DSGVO hätte eine Strafe von bis zu 4 Prozent des weltweiten Jahresumsatzes gedroht, was Berichten zufolge rund 470 Millionen Pfund entsprochen hätte.

Aus der Quelle geht nicht hervor, wer genau die Angreifer waren oder ob die entwendeten Daten tatsächlich für Identitätsbetrug oder finanziellen Schaden bei den Betroffenen genutzt wurden; die exakte Aufschlüsselung, wie viele der 9,4 Millionen Datensätze welche Datenkategorien enthielten, bleibt unklar.

Am 23.03.2020 wurde bekannt, dass in einem Untergrundforum ein Datensatz mit persönlichen Informationen von 538 Millionen Nutzerkonten der chinesischen Social-Media-Plattform Sina Weibo zum Kauf angeboten wurde. Der Datensatz umfasste echte Namen, Weibo-Nutzernamen, Geschlecht und Standortangaben, bei 172 Millionen der betroffenen Konten zusätzlich Mobiltelefonnummern; Passwörter waren nicht enthalten. Der Anbieter verlangte für den kompletten Datensatz 0,177 Bitcoin, zum damaligen Kurs umgerechnet rund 1.032 US-Dollar. Weibos Sicherheitsdirektorin Luo Shiyao erklärte, die Telefonnummern seien 2019 durch einen Brute-Force-Abgleich von Kontaktlisten über die Nutzersuchfunktion der Plattform gewonnen worden, weitere Profildaten seien durch automatisiertes Auslesen öffentlicher Seiten gesammelt worden; der zugrunde liegende Vorfall soll bis 2018 zurückreichen. Das Unternehmen erklärte, die genutzte Sicherheitslücke geschlossen und die Polizei eingeschaltet zu haben. Chinas Ministerium für Industrie und Informationstechnologie zitierte Weibo-Vertreter am 25.03.2020 vor und ordnete verbesserte Datenschutz- und Sicherheitsmaßnahmen sowie künftige Meldepflichten bei Sicherheitsvorfällen an. Weibo zählte zu diesem Zeitpunkt rund 516 Millionen monatlich aktive Nutzer.

Die von Weibo genannte Ursachenkombination aus Brute-Force-Abgleich und Web-Scraping wurde von unabhängigen Sicherheitsforschern nicht bestätigt und teils als unvollständige Erklärung für den Umfang der Daten kritisiert. Ob chinesische Behörden gegen Weibo Bußgelder oder weitere Sanktionen verhängt haben, ist aus dieser Quelle nicht belegt.

Zwischen Ende Februar und Anfang März 2014 verschafften sich Angreifer mit gestohlenen Zugangsdaten mehrerer eBay-Mitarbeiter Zugriff auf das Firmennetzwerk und in der Folge auf die zentrale Kundendatenbank. eBay entdeckte den Einbruch erst rund zwei Wochen vor der öffentlichen Bekanntgabe am 21.05.2014. Betroffen waren die Datensätze von etwa 145 Millionen Nutzerkonten, praktisch die gesamte damalige Nutzerbasis des Unternehmens. Kopiert wurden Namen, Benutzernamen, E-Mail-Adressen, Postadressen, Telefonnummern, Geburtsdaten sowie gehashte und gesalzene Passwörter. Zahlungsdaten wie Kreditkarteninformationen lagen laut eBay in einer getrennten Datenbank und waren nicht betroffen. eBay forderte daraufhin alle Nutzer weltweit auf, ihr Passwort zu ändern, und zog die IT-Forensikfirma Mandiant sowie Strafverfolgungsbehörden zur Untersuchung hinzu. Im Juli 2014 reichte ein Nutzer in den USA eine Sammelklage wegen unzureichender Sicherheitsvorkehrungen ein, die ein Bundesrichter später mangels Nachweis eines konkreten Schadens abwies. Eine Geldstrafe einer US-Aufsichtsbehörde wie der FTC im Zusammenhang mit dem Vorfall ist nicht bekannt.

Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.

Adobe entdeckte am 17.09.2013 einen unautorisierten Zugriff auf sein Netzwerk und informierte am 03.10.2013 erstmals öffentlich über den Vorfall. Die Angreifer waren über einen öffentlich zugänglichen Webserver eingedrungen und bewegten sich anschließend lateral durch Adobes interne Systeme. Dabei erbeuteten sie Quellcode zu Produkten wie Acrobat, ColdFusion und Photoshop sowie eine Kundendatenbank. Adobe bestätigte zunächst 2,9 Millionen betroffene Konten, korrigierte die Zahl aber wenige Wochen später auf rund 38 Millionen aktive Nutzerkonten mit gültigen verschlüsselten Passwörtern. Ende Oktober 2013 tauchte im Internet eine Datei mit mehr als 150 Millionen Benutzername-Passwort-Paaren aus der betroffenen Datenbank auf, weshalb häufig von rund 153 Millionen kompromittierten Datensätzen die Rede ist. Zusätzlich waren nach Adobes eigenen Angaben knapp 3 Millionen verschlüsselte Kredit- und Debitkartennummern samt Ablaufdatum betroffen. Adobe hatte die Passwörter nicht einzeln gehasht, sondern mit demselben 3DES-Schlüssel im ECB-Modus verschlüsselt, wodurch identische Passwörter identische Chiffretexte erzeugten und sich Muster erkennen ließen. Im Klartext gespeicherte Passworthinweise erleichterten Angreifern zusätzlich das Erraten vieler Passwörter. Adobe setzte daraufhin die Passwörter betroffener Konten zurück und bot Kunden mit betroffenen Kartendaten ein Jahr kostenlose Kreditüberwachung durch Experian an. Im November 2016 einigte sich Adobe mit Justizbehörden von 15 US-Bundesstaaten auf eine Zahlung von 1 Million US-Dollar sowie verbesserte Sicherheitsmaßnahmen.

Aus dieser Quelle geht nicht eindeutig hervor, wie viele der über 150 Millionen Datensätze tatsächlich aktive, echte Nutzerkonten betrafen, da Adobe einen erheblichen Teil als ungültige, doppelte oder zu Testzwecken angelegte Einträge bezeichnete. Ebenso bleibt offen, wer die Angreifer waren, da sie nie öffentlich identifiziert oder strafrechtlich belangt wurden.

Der Hongkonger Spielzeughersteller VTech wurde am 14.11.2015 Opfer eines Hackerangriffs auf die Datenbanken seines App-Stores Learning Lodge und des Nachrichtendienstes Kid Connect. Die Angreifer nutzten eine SQL-Injection-Schwachstelle aus, um unverschlüsselt gespeicherte Kundendaten zu entwenden, obwohl VTechs Datenschutzrichtlinie eine Verschlüsselung zugesichert hatte. Nach Unternehmensangaben waren weltweit 6,4 Millionen Kinderprofile mit Namen, Geschlecht und Geburtsdatum sowie 4,8 Millionen zugehörige Elternkonten mit E-Mail-Adressen, Postanschriften, IP-Adressen und Passwörtern betroffen, in Deutschland rund 509.000 Kinder und 391.000 Eltern. Bei einem Teil der Konten wurden zudem Kinderfotos und Chatverläufe aus der Kid-Connect-App kompromittiert. VTech informierte die Öffentlichkeit erstmals am 27.11.2015, das volle Ausmaß von 6,4 Millionen betroffenen Kindern wurde Anfang Dezember 2015 bekannt. Die britische South East Regional Organised Crime Unit nahm im Januar 2016 einen 21 Jahre alten Mann unter Verdacht der unbefugten Computernutzung fest. Die US-Handelsaufsicht FTC verhängte am 08.01.2018 eine Geldstrafe von 650.000 US-Dollar gegen VTech wegen Verstoßes gegen den Children's Online Privacy Protection Act (COPPA). Im Rahmen der Einigung musste VTech zudem für die folgenden 20 Jahre ein umfassendes, jährlich extern geprüftes Datensicherheitsprogramm einführen.

Die zitierte heise-Meldung selbst beschreibt weder den technischen Ablauf des Angriffs per SQL-Injection noch den genauen Umfang der kompromittierten Kinderfotos und Chatverläufe im Detail, und es bleibt offen, ob der 2016 in Großbritannien festgenommene Verdächtige später tatsächlich verurteilt wurde.

Der US-Krankenversicherer Premera Blue Cross gab am 17.03.2015 ein Datenleck bekannt, bei dem Angreifer über Monate unentdeckt Zugriff auf die Unternehmensnetzwerke hatten. Der initiale Einbruch erfolgte laut den beauftragten Ermittlern Mandiant und dem FBI bereits am 05.05.2014, entdeckt wurde er von Premera erst am 29.01.2015. Betroffen waren rund 11 Millionen aktuelle und ehemalige Kunden von Premera Blue Cross, Premera Blue Cross Blue Shield of Alaska sowie der Marken Vivacity und Connexion Insurance Solutions. Die Angreifer erlangten möglicherweise Zugriff auf Namen, Geburtsdaten, E-Mail-Adressen, Anschriften, Telefonnummern, Sozialversicherungsnummern, Mitgliedsnummern, Bankverbindungen sowie klinische Behandlungsdaten der Versicherten. Als Einfallstor diente vermutlich eine Phishing-Kampagne über die gefälschte Domain prennera.com, die der echten Domain premera.com mit doppeltem n ähnelte. Sicherheitsforscher brachten den Angriff mit chinesischen staatsnahen Hackergruppen in Verbindung, eine offizielle behördliche Zuordnung blieb jedoch aus. Premera bot den betroffenen Personen zwei Jahre kostenlose Kreditüberwachung durch Experian an. Am 25.09.2020 einigte sich Premera mit dem US-Gesundheitsministerium HHS auf eine Zahlung von 6,85 Millionen US-Dollar wegen Verstößen gegen die HIPAA-Datenschutzregeln, die zweithöchste derartige Strafe bis zu jenem Zeitpunkt. In einem separaten zivilrechtlichen Sammelklageverfahren zahlte Premera zusätzlich bis zu 74 Millionen US-Dollar an Betroffene.

Unklar bleibt, ob die gestohlenen Daten tatsächlich abgeflossen oder für Identitätsdiebstahl missbraucht wurden. Premera erklärte, keine Beweise für eine tatsächliche Ausleitung oder missbräuchliche Nutzung der Daten gefunden zu haben, und die vermutete Urheberschaft chinesischer Staatshacker wurde nie offiziell bestätigt.

Der US-Krankenhausbetreiber Community Health Systems (CHS) aus Franklin, Tennessee, meldete am 18.08.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC einen Datendiebstahl bei 4,5 Millionen Patienten. Die unbefugten Zugriffe auf das Firmennetzwerk fanden nach Angaben von CHS im April und Juni 2014 statt und wurden im Juli 2014 entdeckt. Betroffen waren Namen, Adressen, Geburtsdaten, Telefonnummern und Sozialversicherungsnummern von Personen, die in den vorangegangenen fünf Jahren von CHS angegliederten Ärzten behandelt oder überwiesen worden waren, medizinische Behandlungsdaten und Kreditkartendaten wurden nicht entwendet. Als Einfallstor diente laut der Sicherheitsfirma TrustedSec und der forensischen Untersuchung durch Mandiant ein Juniper-Netzwerkgerät, das trotz verfügbarer Patches weiterhin für die im April 2014 bekannt gewordene Heartbleed-Sicherheitslücke CVE-2014-0160 anfällig war; die Angreifer stahlen darüber VPN-Zugangsdaten aus dem Arbeitsspeicher des Geräts. Der Fall gilt als einer der ersten öffentlich dokumentierten Angriffe, bei denen Heartbleed aktiv zum Eindringen in ein Unternehmensnetzwerk ausgenutzt wurde. Mandiant ordnete den Angriff der aus China operierenden Gruppe APT18 zu, der Verbindungen zur chinesischen Regierung nachgesagt werden. CHS betrieb zum Zeitpunkt des Vorfalls rund 206 Krankenhäuser in 29 US-Bundesstaaten. Am 08.10.2020 einigte sich CHS mit den Generalstaatsanwälten von 28 US-Bundesstaaten auf eine Zahlung von 5 Millionen US-Dollar zur Beilegung der Untersuchung, ohne ein Fehlverhalten einzuräumen; die Behörden bezifferten die Zahl der betroffenen Patienten zu diesem Zeitpunkt auf 6,1 Millionen.

Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.

Am 24.11.2014 entdeckten Mitarbeiter von Sony Pictures Entertainment in Culver City, Kalifornien, dass ihre Computer von einer Gruppe namens Guardians of Peace (GOP) kompromittiert worden waren. Die Angreifer veröffentlichten in den folgenden Wochen interne E-Mails, Gehaltsdaten von Führungskräften, mehrere unveröffentlichte Spielfilme (darunter Annie, Fury und Still Alice) sowie nach Presseberichten vom 07.12.2014 rund 47.000 Sozialversicherungsnummern von Mitarbeitern und Prominenten. Die Angreifer selbst behaupteten, mehr als 100 Terabyte an Daten entwendet zu haben, diese Zahl wurde unabhängig nicht verifiziert. Die Guardians of Peace forderten die Absage des Kinostarts der Sony-Komödie The Interview, die eine fiktive Ermordung des nordkoreanischen Machthabers Kim Jong Un zeigt, und drohten mit Gewalt gegen Kinos. Sony sagte den geplanten Kinostart am 17.12.2014 ab, nachdem große Kettenbetreiber wie AMC, Regal, Cinemark und Carmike die Vorführungen zurückgezogen hatten; der Film erschien stattdessen ab dem 25.12.2014 online und in ausgewählten Kinos. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, gestützt unter anderem auf IP-Adressen und Schadsoftware-Überschneidungen mit früheren Nordkorea zugeschriebenen Angriffen. Die USA verhängten am 02.01.2015 zusätzliche Wirtschaftssanktionen gegen Nordkorea. Sony bezifferte die finanziellen Folgekosten auf rund 15 Millionen US-Dollar. Am 06.09.2018 klagte das US-Justizministerium den nordkoreanischen Staatsbürger Park Jin Hyok wegen Verschwörung zu Computerbetrug im Zusammenhang mit dem Sony-Hack sowie den Angriffen auf die Bangladesh Bank und WannaCry an.

Die von den Angreifern behauptete Datenmenge von über 100 Terabyte ist unabhängig nicht verifiziert, ebenso bleibt offen, ob Nordkorea den Angriff direkt über eigene Mitarbeiter oder ausschließlich über die mit dem Militärgeheimdienst RGB verbundene Lazarus Group ausführte. Der 2018 angeklagte Park Jin Hyok wurde nie vor ein US-Gericht gestellt, da er sich mutmaßlich in Nordkorea befindet, weshalb kein rechtskräftiges Urteil vorliegt.

Am 03.10.2021 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit über 600 Journalisten aus 150 Medienorganisationen in 117 Ländern die Pandora Papers, eine Sammlung von 11,9 Millionen vertraulichen Dokumenten mit einem Datenvolumen von 2,94 Terabyte. Die Unterlagen stammen aus internen Datenbanken von 14 Offshore-Dienstleistern und umfassen Verträge, E-Mails, Tabellenkalkulationen, Bilder und Präsentationen aus dem Zeitraum 1996 bis 2021. Die Auswertung deckte verdeckte Vermögen, Immobilien und Firmenbeteiligungen von 35 amtierenden oder ehemaligen Staats- und Regierungschefs sowie mehr als 330 weiteren Politikern und hohen Amtsträgern in 91 Ländern auf. Zu den genannten Personen zählten unter anderem Aserbaidschans Präsident Ilham Alijew, Jordaniens König Abdullah II. und der tschechische Premierminister Andrej Babiš. Zudem waren mehr als 130 Milliardäre aus der Forbes-Liste sowie Prominente und Sportfunktionäre in den Daten verzeichnet. Als Folge der Veröffentlichung kündigten mehrere Staaten steuerliche und strafrechtliche Ermittlungen an, in Frankreich wurde unter anderem gegen den libanesischen Zentralbankchef Riad Salameh wegen Geldwäsche ermittelt. Im Juni 2023 erwarb das Bundesland Hessen die Pandora-Papers-Daten zur Verfolgung von Steuerstraftaten in Deutschland. Die Recherche baute auf früheren ICIJ-Enthüllungen wie den Panama Papers von 2016 und den Paradise Papers von 2017 auf.

Aus der Quelle nicht abschließend belegt sind der strafrechtliche Ausgang der meisten angestoßenen Ermittlungen sowie eine vollständige, unabhängig verifizierte Liste aller in den Datensätzen genannten Personen, da die Rohdokumente nicht öffentlich einsehbar sind.

Am 20.09.2020 veröffentlichten BuzzFeed News und das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit 108 weiteren Medienpartnern aus 88 Ländern die Recherche FinCEN Files. Grundlage waren mehr als 2.100 vertrauliche Verdachtsmeldungen (Suspicious Activity Reports) an die US-Finanzaufsichtsbehörde FinCEN sowie tausende weitere Dokumente aus dem Zeitraum 1999 bis 2017. Die Unterlagen zeigen über 200.000 Transaktionen im Gesamtwert von mehr als 2 Billionen US-Dollar, die Banken selbst als mutmaßlich verdächtig einstuften, aber dennoch abwickelten. Namentlich genannt wurden unter anderem JPMorgan Chase mit rund 514 Milliarden US-Dollar und die Deutsche Bank mit etwa 1,3 Billionen US-Dollar sowie einem Anteil von rund 62 Prozent aller geleakten Meldungen, zudem HSBC, Barclays, Standard Chartered und Bank of New York Mellon. Quelle der Dokumente war die frühere FinCEN-Mitarbeiterin Natalie Mayflower Sours Edwards. Mehr als 400 Journalisten werteten das Material in einer rund 16-monatigen Recherche gemeinsam aus. FinCEN kündigte am 16.09.2020, kurz vor der Veröffentlichung, eine Reform seiner Prozesse zur Geldwäschebekämpfung an. Edwards bekannte sich im Januar 2020 schuldig der unbefugten Weitergabe vertraulicher Regierungsdokumente und wurde im Juni 2021 zu sechs Monaten Haft verurteilt. Die Recherche wurde 2021 als Finalistin für den Pulitzer-Preis in der Kategorie International Reporting ausgezeichnet.

Die Quelle trifft keine abschließende juristische Bewertung, ob die gemeldeten Transaktionen tatsächlich Geldwäsche darstellten, und außer der Verurteilung der Whistleblowerin sind keine strafrechtlichen Konsequenzen gegen die genannten Banken oder deren verantwortliche Mitarbeiter belegt.

Der US-amerikanische GPS- und Wearable-Hersteller Garmin wurde am 23.07.2020 Opfer eines Ransomware-Angriffs mit der Schadsoftware WastedLocker. Der Angriff legte weltweit zentrale Dienste lahm, darunter die Plattform Garmin Connect, den Flugnavigationsdienst flyGarmin, die Kundenhotline sowie interne Kommunikationssysteme. Millionen Nutzer von Fitness-Trackern, Smartwatches und Navigationsgeräten konnten mehrere Tage lang keine Daten mehr mit den Garmin-Servern synchronisieren. Als Verursacher gilt die russische Cyberkriminellen-Gruppe Evil Corp, die auch für die Schadsoftware Dridex verantwortlich gemacht wird und seit Dezember 2019 auf der Sanktionsliste des US-Finanzministeriums steht. Laut Medienberichten forderten die Angreifer ein Lösegeld von 10 Millionen US-Dollar für die Entschlüsselung der Systeme. Ab dem 01.08.2020 begann Garmin mit der schrittweisen Wiederherstellung der Dienste, nachdem das Unternehmen offenbar einen funktionierenden Entschlüsselungscode erhalten hatte. Am 27.07.2020 bestätigte Garmin in einer offiziellen Stellungnahme den Cyberangriff, äußerte sich jedoch nicht zu einer möglichen Lösegeldzahlung. Nach Unternehmensangaben wurden keine Kundendaten, einschließlich Zahlungsinformationen des Bezahldienstes Garmin Pay, entwendet oder verloren. Die Notfallfunktion inReach blieb von dem Ausfall unberührt.

Ob und in welcher Höhe Garmin tatsächlich ein Lösegeld gezahlt hat, ist von Garmin selbst nie offiziell bestätigt worden; Berichte über eine Zahlung von rund 10 Millionen US-Dollar über einen zwischengeschalteten Dienstleister stützen sich auf anonyme Quellen und Indizien wie den erhaltenen Entschlüsselungscode, nicht auf eine Bestätigung durch Garmin oder die Angreifer.

Der US-Versicherungskonzern CNA Financial Corp. mit Sitz in Chicago wurde im März 2021 Opfer eines Ransomware-Angriffs. Ein Mitarbeiter lud am 05.03.2021 nach dem Besuch einer legitimen Website ein gefälschtes Browser-Update herunter, wodurch sich die Angreifer Zugang zum Firmennetzwerk verschafften. Zwischen dem 05.03.2021 und dem 21.03.2021 bewegten sich die Täter unentdeckt im Netzwerk und kopierten Daten, bevor sie am 21.03.2021 die Ransomware Phoenix CryptoLocker auslösten und mehr als 15.000 Geräte verschlüsselten. Die Täter, eine Gruppe namens Phoenix mit mutmaßlichen Verbindungen zur Cybercrime-Organisation Evil Corp, forderten zunächst ein Lösegeld von 999 Bitcoin, umgerechnet rund 55 bis 60 Millionen US-Dollar. Nach Verhandlungen zahlte CNA Financial Ende März 2021 rund 40 Millionen US-Dollar in Bitcoin, um wieder Zugriff auf ihre Systeme zu erhalten. Laut einem am 20.05.2021 veröffentlichten Bloomberg-Bericht war dies zu diesem Zeitpunkt die höchste öffentlich bekannt gewordene Ransomware-Zahlung eines Unternehmens. Bei dem Angriff wurden zudem persönliche Daten von 75.349 Personen entwendet, überwiegend aktuelle und ehemalige Mitarbeiter, Vertragsarbeiter und deren Angehörige. CNA bot den Betroffenen 24 Monate kostenlose Kreditüberwachung durch Experian an.

Die genaue Zahlungshöhe von 40 Millionen US-Dollar sowie Details der Lösegeldverhandlung stammen aus anonymen, mit dem Vorgang vertrauten Quellen und wurden von CNA Financial nie offiziell in dieser Form bestätigt; auch das exakte Zahlungsdatum sowie eine gerichtsfeste Attribution der Tätergruppe Phoenix zu Evil Corp gelten als nicht abschließend belegt.