Quellen-Tabelle

Nintendo bestätigte am 24.04.2020 zunächst rund 160.000 kompromittierte Nintendo Network IDs durch unbefugte Anmeldungen und korrigierte die Zahl am 09.06.2020 auf insgesamt rund 300.000 betroffene Konten. Zugangsdaten wurden nach Nintendos eigener Darstellung nicht aus den eigenen Systemen, sondern anderweitig erlangt und für Fremdanmeldungen genutzt, was auf Credential Stuffing hindeutet. Bei weniger als einem Prozent der betroffenen Konten kam es zu betrügerischen Käufen, Nintendo schaltete die NNID-Anmeldemöglichkeit dauerhaft ab und erstattete betroffenen Nutzern die Kosten.

Nintendo hat den genauen Angriffsweg nie im Detail offengelegt. Ob es sich eindeutig um Credential Stuffing, Phishing oder Brute-Force-Angriffe handelte, ist nicht offiziell bestätigt, sondern beruht auf Einschätzungen von Sicherheitsjournalisten.

Das ICIJ veröffentlichte am 19.01.2020 die Luanda Leaks, basierend auf mehr als 715.000 geleakten Dokumenten zur früheren Sonangol-Chefin Isabel dos Santos, Tochter des langjährigen angolanischen Präsidenten. An der Auswertung waren 36 Medienpartner und mehr als 120 Journalisten aus rund 20 Ländern beteiligt. Die Dokumente zeigten ein Netzwerk von mehr als 400 Firmen in 41 Ländern, über das öffentliche Gelder aus Angola abgeflossen sein sollen. Als Folge fror die Schweiz im August 2020 Vermögenswerte von rund 900 Millionen US-Dollar ein, Angola erhob im Januar 2024 in zwölf Anklagepunkten Vorwürfe gegen dos Santos, Großbritannien verhängte im November 2024 Sanktionen.

Isabel dos Santos bestreitet über ihre Anwälte jegliches Fehlverhalten. Gegen sie liegt seit 2022 eine Interpol-Red-Notice vor, eine tatsächliche Festnahme oder Auslieferung aus den Vereinigten Arabischen Emiraten ist bislang nicht erfolgt.

Das ICIJ veröffentlichte am 05.11.2017 die Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien überwiegend von der Offshore-Kanzlei Appleby mit Sitz in Bermuda, ergänzt um Unterlagen des Dienstleisters Asiaciti Trust und Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dateien zuerst und teilte sie mit dem ICIJ und 95 Medienpartnern weltweit. Die Auswertung deckte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs sowie Steuerplanung von rund 100 multinationalen Konzernen auf.

Wie die Süddeutsche Zeitung ursprünglich Zugang zu den Appleby-Dateien erhielt, ist nicht öffentlich dokumentiert. Nicht alle genannten Politiker und Unternehmen wurden individuell strafrechtlich verfolgt, die Nennung in den Papieren allein belegt keine Rechtswidrigkeit der jeweiligen Offshore-Strukturen.

Die New York Times berichtete am 01.06.2012 unter Berufung auf zahlreiche Regierungsvertreter über ein gemeinsames US-israelisches Cybersabotage-Programm gegen die iranische Urananreicherungsanlage Natanz mit dem Codenamen Olympic Games. Im Sommer 2010 entkam ein Teil der eingesetzten Schadsoftware durch einen Programmierfehler aus der Anlage und verbreitete sich weltweit im Internet, Sicherheitsforscher benannten den Wurm Stuxnet. Die letzte im Artikel beschriebene Angriffswelle legte vorübergehend fast 1.000 der rund 5.000 zu diesem Zeitpunkt in Natanz laufenden Zentrifugen lahm.

Der Bericht stützt sich auf anonyme Insider-Quellen, eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor. Wie viele Zentrifugen dauerhaft zerstört statt nur vorübergehend gestoppt wurden, bleibt unter Experten umstritten.

Das US-Office of Personnel Management gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff Datensätze von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller für Sicherheitsüberprüfungen. Erbeutet wurden Sozialversicherungsnummern, Wohnsitz- und Ausbildungsdaten sowie Gesundheits-, Straf- und Finanzdaten aus den Sicherheitsüberprüfungsformularen SF-86, SF-85 und SF-85P. Zusätzlich waren zunächst 1,1 Millionen Fingerabdruck-Datensätze betroffen, diese Zahl wurde im September 2015 auf 5,6 Millionen korrigiert. US-Geheimdienstdirektor James Clapper bezeichnete China als leading suspect für den Angriff, China wies eine Beteiligung zurück.

Eine formelle, namentliche Zurechnung des Angriffs zu chinesischen Regierungsstellen wurde von der US-Regierung nie mit Beweisführung veröffentlicht. Wie viele der 21,5 Millionen Betroffenen mit den 4,2 Millionen Betroffenen der ersten, separaten OPM-Datenpanne identisch sind, wird in Berichten unterschiedlich beziffert.

Ende Mai 2016 bot ein Hacker namens Peace auf einem Darknet-Marktplatz einen Datensatz mit rund 360 Millionen MySpace-E-Mail-Adressen und 427 Millionen Passwörtern für umgerechnet rund 2.800 US-Dollar zum Verkauf an. Der zugrunde liegende Einbruch wird von Have I Been Pwned auf etwa 2008 datiert, betroffen waren E-Mail-Adressen, Nutzernamen und unsalted SHA1-Passwort-Hashes. MySpace bestätigte 2016 lediglich, von dem Vorfall erfahren zu haben, und setzte Passwörter alter Konten zurück.

Wann genau und auf welchem technischen Weg die Daten ursprünglich bei MySpace entwendet wurden, ist bis heute nicht geklärt. Auch die tatsächliche Identität des Verkäufers Peace ist öffentlich nicht zweifelsfrei belegt.

Am 21.10.2016 wurde die DNS-Infrastruktur des US-Anbieters Dyn durch eine mehrwellige DDoS-Attacke gestört, wodurch Twitter, Spotify, Reddit, SoundCloud und weitere Websites auf der US-Ostküste zeitweise nicht erreichbar waren. Die Sicherheitsfirma Flashpoint identifizierte Hinweise auf ein Mirai-basiertes Botnetz aus gekaperten IoT-Geräten wie Sicherheitskameras und Routern als Angriffsquelle. Der Mirai-Quellcode war im September 2016 öffentlich veröffentlicht worden, kurz zuvor hatte dasselbe Botnetz bereits KrebsOnSecurity mit rund 620 Gbit/s angegriffen.

Dieser zeitnahe Bericht nennt weder die genaue Zahl der beteiligten Geräte noch eine exakte Spitzenbandbreite oder gesicherte Täterschaft. Die spätere strafrechtliche Aufarbeitung mit den Schuldbekenntnissen der Mirai-Miturheber im Dezember 2017 ist nicht Gegenstand dieser Quelle.

Beim Target-Datenleck im Weihnachtsgeschäft 2013 verschafften sich Angreifer ab dem 15.11.2013 mit gestohlenen Netzwerk-Zugangsdaten der HLK-Firma Fazio Mechanical Services aus Pennsylvania Zugang zu Target-Systemen. Fazio Mechanical hatte Fernzugriff auf administrative Target-Systeme für Rechnungsstellung und Projektmanagement. Über diesen Zugang installierten die Angreifer RAM-scrapende Malware auf Kassensystemen und erbeuteten zwischen dem 27.11. und 15.12.2013 Daten von rund 40 Millionen Kredit- und Debitkarten.

Wie genau die Zugangsdaten von Fazio Mechanical ursprünglich erbeutet wurden, ist nicht abschließend öffentlich dokumentiert. Fazio Mechanical erklärte, keine Fernüberwachung von HLK-Anlagen bei Target durchgeführt zu haben, ihr Zugang habe sich auf administrative Funktionen beschränkt.

Angreifer erlangten zwischen Ende Februar und Anfang März 2014 eine kleine Zahl von Mitarbeiter-Zugangsdaten und verschafften sich damit Zugriff auf eBays Firmennetzwerk und eine Kundendatenbank mit Namen, verschlüsselten Passwörtern, E-Mail-Adressen, Anschriften und Geburtsdaten. eBay informierte am 21.05.2014 öffentlich und forderte alle rund 145 Millionen aktiven Nutzerkonten zur Passwortänderung auf. Finanz- oder Kreditkartendaten waren laut Unternehmen nicht betroffen, da diese getrennt bei PayPal gespeichert waren.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

JPMorgan Chase teilte am 02.10.2014 der US-Börsenaufsicht SEC mit, dass ein im Sommer 2014 entdeckter Cyberangriff Kontaktdaten von rund 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen kompromittiert hat, zusammen etwa 83 Millionen betroffene Kunden. Erbeutet wurden Namen, Adressen, Telefonnummern und E-Mail-Adressen. Nach Angaben von JPMorgan waren Kontonummern, Passwörter, Geburtsdaten und Sozialversicherungsnummern nicht betroffen.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware NotPetya ausgehend von einem kompromittierten Update der ukrainischen Steuersoftware M.E.Doc weltweit zu verbreiten. Die Malware nutzte den NSA-Exploit EternalBlue und traf neben ukrainischen Zielen unter anderem die Reederei Maersk, den Pharmakonzern Merck und den FedEx-Ableger TNT Express. Der weltweite Gesamtschaden wird auf mehr als 10 Milliarden US-Dollar geschätzt, das Weiße Haus ordnete den Angriff am 15.02.2018 offiziell dem russischen Militär (GRU-Einheit Sandworm) zu.

Die genaue Zahl weltweit betroffener Systeme ist nicht abschließend beziffert. Eine strafrechtliche Verurteilung konkreter russischer Verantwortlicher ist öffentlich nicht bekannt, die Zuordnung stützt sich auf Geheimdienstbewertungen, nicht auf ein Gerichtsurteil.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und zeitgleich die New York Times auf Basis des Whistleblowers Christopher Wylie eine Enthüllung über die britische Firma Cambridge Analytica. Wylie beschrieb, wie Cambridge Analytica über die App This Is Your Digital Life des Datenwissenschaftlers Aleksandr Kogan Facebook-Daten von bis zu 87 Millionen Nutzerprofilen ohne informierte Einwilligung abgriff. Die Daten wurden für politisches Microtargeting genutzt, unter anderem für die Kampagnen von Ted Cruz und Donald Trump 2016. Facebook hatte die Datenabschöpfung bereits Ende 2015 festgestellt, Nutzer aber nicht informiert.

Diese Quelle behandelt ausschließlich die journalistische Erstenthüllung vom März 2018, nicht die späteren behördlichen Verfahren wie das Bußgeld der britischen Datenschutzbehörde ICO gegen Facebook, die bereits gesondert dokumentiert sind. In welchem Umfang die Daten tatsächlich für vollständige psychografische Profilbildung genutzt wurden, wie Cambridge Analytica selbst behauptete, wurde von unabhängiger Seite angezweifelt.

Die kanadische Finanzgenossenschaft Desjardins Group bestätigte am 01.11.2019, dass der im Juni 2019 bekannt gewordene Datendiebstahl durch einen Mitarbeiter tatsächlich alle 4,2 Millionen Einzelmitglieder in Quebec und Ontario betraf. Der Mitarbeiter hatte unbefugt auf geschützte Kundendaten zugegriffen und diese widerrechtlich an Dritte weitergegeben. Betroffen waren Sozialversicherungsnummern, Adressen und Angaben zu Bankgewohnheiten, nicht jedoch Passwörter oder Kontostände.

Die kanadische Datenschutzbehörde OPC korrigierte die Gesamtzahl der Betroffenen im Dezember 2020 auf rund 9,7 Millionen Personen nach oben. Ein mutmaßlicher Haupttäter wurde erst 2024 verhaftet, das Strafverfahren war noch nicht rechtskräftig abgeschlossen.

Im März 2021 wurde bei der Parkraum-App ParkMobile ein Datenleck bekannt, das persönliche Daten von rund 21 Millionen Nutzern betraf. Ursache war laut ParkMobile eine Sicherheitslücke in Software eines Drittanbieters. Betroffen waren E-Mail-Adressen, Telefonnummern, Kennzeichennummern, Geburtsdaten und mit bcrypt gehashte Passwörter, Zahlungsdaten waren verschlüsselt und nicht betroffen.

Welche konkrete Drittanbieter-Software und Schwachstelle die Angreifer ausnutzten, blieb offen. ParkMobile informierte betroffene Nutzer nicht aktiv, viele erfuhren erst durch Medienberichte davon.

Am 19.03.2019 wurde der norwegische Aluminiumkonzern Norsk Hydro von der Ransomware LockerGoga getroffen. Der Angriff betraf alle rund 35.000 Mitarbeitenden in 40 Ländern und zwang mehrere Werke zu manuellem Betrieb, Produktionsausfälle dauerten teils fast eine Woche. Das Unternehmen zahlte kein Lösegeld, stellte Systeme aus Backups wieder her und kommunizierte öffentlich ungewöhnlich offen mit täglichen Pressekonferenzen.

Eine zweifelsfrei bestätigte Zuordnung des Angriffs zu einer bestimmten Tätergruppe liegt öffentlich nicht vor. Die konkrete finanzielle Gesamtschadenshöhe schwankt je nach Quelle zwischen rund 50 und über 70 Millionen US-Dollar.

Die Sicherheitsfirma Group-IB dokumentierte im Sommer 2022 eine SMS-Phishing-Kampagne gegen mehr als 130 Unternehmen, bekannt als 0ktapus beziehungsweise Scatter Swine. Am 27.07., 02.08. und 07.08.2022 fielen mindestens vier Twilio-Mitarbeiter auf gefälschte Okta-Login-Seiten herein, eingegebene Zugangsdaten wurden per Telegram-Bot in Echtzeit an die Angreifer weitergeleitet. In der Folge wurden auch Telefonnummern von 1.900 Nutzern des Messengers Signal offengelegt, da Twilio dessen SMS-Verifizierung bereitstellt.

Welche Person, Gruppe oder Nation hinter der Kampagne steckt, ist nicht öffentlich belegt. Die Gesamtzahl betroffener Organisationen wird je nach Quelle zwischen rund 130 und über 160 beziffert.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, die Ransomware-Gruppe REvil alias Sodinokibi zerschlagen zu haben. Bei Razzien an 25 Adressen in Russland wurden 14 mutmaßliche Mitglieder festgenommen und mehr als 426 Millionen Rubel, 600.000 US-Dollar und 20 Luxusfahrzeuge beschlagnahmt. Laut FSB erfolgte die Aktion auf Ersuchen der US-Behörden, die Hinweise zum Anführer der Gruppe geliefert hatten.

Ob alle 14 Festgenommenen tatsächlich zum Kern von REvil gehörten, ist nicht öffentlich dokumentiert. Spätere Berichte deuten darauf hin, dass mehrere Festgenommene nur wegen geringerer Vorwürfe verurteilt oder wieder freigelassen wurden, eine umfassende strafrechtliche Aufarbeitung ist nicht belegt.

Ab dem 27.02.2022 veröffentlichte ein anonymer Account namens ContiLeaks über mehrere Tage Archive mit internen Chatnachrichten und Quellcode der Ransomware-Gruppe Conti. Die Daten stammten von einem ukrainischen Sicherheitsforscher, geleakt wurden 393 JSON-Dateien mit rund 60.000 internen Nachrichten aus dem Zeitraum Januar 2021 bis Februar 2022. Auslöser war eine öffentliche Erklärung der Conti-Gruppe, sich nach dem russischen Angriff auf die Ukraine auf die Seite Russlands zu stellen.

Die genaue Identität des Sicherheitsforschers hinter ContiLeaks wurde nie offiziell bestätigt. Wie lange der Zugriff auf die internen Systeme bereits vor der Veröffentlichung bestand, bleibt unklar.

Ende Juli 2021, rund zwei Monate nach der Einstellung von DarkSide im Zuge des Colonial-Pipeline-Angriffs, tauchte die neue Ransomware-Gruppe BlackMatter auf. Ein Sicherheitsforscher stellte fest, dass die Verschlüsselungsroutinen des BlackMatter-Entschlüsselers eine zuvor nur bei DarkSide bekannte benutzerdefinierte Matrix enthielten. Sicherheitsfirmen wie Recorded Future stuften BlackMatter als direkten Nachfolger von DarkSide ein, ein BlackMatter-Vertreter bestritt, dieselbe Gruppe zu sein, räumte aber eine frühere Zusammenarbeit mit DarkSide-Leuten ein.

Ob BlackMatter tatsächlich von denselben Kernpersonen wie DarkSide betrieben wurde, ist nicht abschließend bewiesen und wird von Sicherheitsfirmen unterschiedlich bewertet. Die genauen Gründe für das plötzliche Verschwinden von DarkSide im Mai 2021 sind unklar.

Zynga bestätigte am 12.09.2019, dass Unbefugte auf Nutzerkontodaten zugegriffen hatten. Der Hacker Gnosticplayers erbeutete Datensätze von Nutzern der Spiele Words With Friends, Draw Something und OMGPOP. Have I Been Pwned bestätigte im Dezember 2019 rund 173 Millionen betroffene Datensätze mit E-Mail-Adressen, Nutzernamen und gesalzenen SHA-1-Passwort-Hashes, Zynga erklärte, es gebe keine Hinweise auf den Abfluss von Finanzdaten.

Die genaue Zahl der betroffenen Personen ist nicht abschließend geklärt, der Hacker behauptete ursprünglich rund 218 Millionen Konten. Die Identität des als Gnosticplayers bekannten Angreifers ist nicht gerichtsfest belegt.

Im September 2019 wurde bekannt, dass eine Sammlung mehrerer Datenbanken mit mehr als 419 Millionen Datensätzen von Facebook-Nutzern ungeschützt auf einem MongoDB-Server erreichbar war. Die Datensätze enthielten Facebook-Nutzer-IDs und zugehörige Telefonnummern, darunter rund 133 Millionen US-Konten. Entdeckt wurde die Datenbank vom Sicherheitsforscher Sanyam Jain, der Hosting-Anbieter nahm den Server anschließend vom Netz.

Wer die Datenbank betrieben und die Daten zusammengetragen hat, ist nicht geklärt. Facebook erklärte, die Daten stammten aus Scraping vor 2018, nicht aus einem Hack der eigenen Systeme. Dieser Fall ist vom separaten, erst 2021 bekannt gewordenen Facebook-Scraping-Datenleck zu unterscheiden.

Quora teilte am 03.12.2018 mit, dass ein unbefugter Dritter Zugriff auf interne Systeme erlangt und Daten von bis zu 100 Millionen Nutzerkonten kopiert hatte. Betroffen waren Namen, E-Mail-Adressen, verschlüsselte Passwörter sowie öffentliche und nicht öffentliche Aktivitäten wie Fragen, Antworten und private Nachrichten. Quora meldete alle betroffenen Nutzer automatisch ab und setzte ihre Passwörter zurück.

Wer die Angreifer waren und auf welchem technischen Weg sie Zugang erlangten, geht aus den verfügbaren Quellen nicht hervor. Spätere behördliche Bußgelder infolge des Vorfalls sind nicht dokumentiert.

Im Juli 2020 wurden in einem Darknet-Hackerforum persönliche Daten von 142.479.937 Gästen der Hotelkette MGM Resorts zum Kauf angeboten. Die Daten stammen aus einem unbefugten Zugriff auf einen falsch konfigurierten Cloud-Server im Sommer 2019, den MGM Resorts im Februar 2020 zunächst nur mit einem Umfang von 10,6 Millionen betroffenen Gästen öffentlich gemacht hatte. Enthalten waren Namen, Postadressen, E-Mail-Adressen und Geburtsdaten, jedoch keine Zahlungsdaten.

Ob die im Juli 2020 angebotenen 142 Millionen Datensätze deckungsgleich mit der im Februar 2020 gemeldeten Menge von 10,6 Millionen sind, ist nicht abschließend geklärt. Eine offizielle, mit konkreten Zahlen unterlegte Stellungnahme liegt öffentlich nicht vor.

Die US-Kette Wawa teilte am 19.12.2019 mit, dass Kartendaten-Malware auf Zahlungssystemen und Zapfsäulen an potenziell allen rund 850 Filialen installiert war. Die Malware war bereits seit dem 04.03.2019 aktiv und wurde erst am 10.12.2019 entdeckt. Kriminelle boten ab Ende Januar 2020 im Untergrundmarktplatz Joker's Stash einen Datensatz mit rund 30 Millionen gestohlenen Kartendaten an, den Sicherheitsforscher der Wawa-Kompromittierung zuordneten.

Wer hinter dem Angriff steckt und mit welcher Schadsoftware-Variante die Systeme infiziert wurden, ist nicht öffentlich dokumentiert. Die Zahl von rund 30 Millionen Datensätzen stammt aus Analysen von Sicherheitsforschern, nicht aus einer offiziellen Bestätigung durch Wawa selbst.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine zuvor unbekannte SQL-Injection-Schwachstelle (CVE-2023-34362, CVSS 9.8) in der Managed-File-Transfer-Software MOVEit Transfer aus. Über einen eingeschleusten Webshell namens LEMURLOOT griff die Gruppe auf die MOVEit-Datenbanken zu und exfiltrierte Daten, ohne die Systeme zu verschlüsseln. CISA und das FBI veröffentlichten am 07.06.2023 die gemeinsame Warnung AA23-158A. Laut Emsisoft waren bis Ende 2023 rund 2.700 Organisationen und über 90 Millionen Einzelpersonen betroffen.

Die Gesamtzahl der betroffenen Organisationen beruht auf Zusammenstellungen einzelner Meldungen durch Sicherheitsfirmen, nicht auf einer amtlichen Gesamtstatistik. Dieser Fall betrifft ausschließlich die MOVEit-Transfer-Kampagne ab Mai 2023 und ist von der früheren, separaten GoAnywhere-MFT-Kampagne derselben Cl0p-Gruppe zu unterscheiden.