Quellen-Tabelle

Der Marktführer für Identitätsmanagement Okta gab am 21.10.2023 einen Sicherheitsvorfall in seinem Kundensupportsystem bekannt. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten Zugriff auf das Support-Case-Management-System von Okta; das Sicherheitsteam von BeyondTrust hatte bereits am 02.10.2023 einen Einbruchsversuch in ein internes Okta-Administratorkonto entdeckt und blockiert, bei dem ein aus dem Okta-Support-System gestohlenes Cookie verwendet wurde. Der Angreifer lud einen Bericht mit Details aller Nutzer des Okta-Kundensupportsystems herunter; am häufigsten entwendet wurden vollständige Namen und E-Mail-Adressen, in selteneren Fällen auch Telefonnummern, Benutzernamen und Positionsangaben. Die Support-Dateien enthielten zusätzlich Kunden-Cookies und Session-Tokens, über die Angreifer potenziell auf Kundenkonten zugreifen konnten. Zu den betroffenen Kunden gehörten unter anderem die Sicherheitsfirmen BeyondTrust und Cloudflare.

Da Okta zentrale Authentifizierungsdienste für zahlreiche andere Unternehmen bereitstellt, ist das Ausmaß der Folgeschäden bei Kunden, die die gestohlenen Session-Tokens tatsächlich zur weiteren Kompromittierung nutzten, aus dieser Quelle nicht vollständig beziffert.

Ab dem 29.04.2023 über rund fünf Monate hinweg testete ein Angreifer bei 23andMe systematisch Kombinationen aus Nutzernamen und Passwörtern, die zuvor bei anderen Datenlecks erbeutet worden waren (Credential Stuffing), gegen die Login-Seite von 23andMe, da viele Menschen dieselben Passwörter auf mehreren Diensten wiederverwenden. Direkt kompromittiert wurden dadurch rund 14.000 Konten, weniger als 0,1 Prozent der etwa 14 Millionen 23andMe-Kunden. Weil 23andMe jedoch die Opt-in-Funktion 'DNA Relatives' anbietet, über die Nutzer Profilinformationen mit genetisch verwandten Nutzern teilen, konnte der Angreifer über die miteinander verknüpften Profile und Stammbaum-Tools von den 14.000 direkt kompromittierten Konten aus auf Daten von insgesamt 6,9 Millionen Menschen zugreifen, die 23andMe im Oktober 2023 entsprechend benachrichtigte.

Der Fall zeigt exemplarisch, wie eine relativ kleine Zahl kompromittierter Konten (0,1 Prozent) durch eine Datenverknüpfungsfunktion einen weit größeren Personenkreis betreffen kann; die genaue Art der bei den 6,9 Millionen Betroffenen tatsächlich offengelegten Datenfelder wird in dieser Quelle nicht vollständig differenziert.

Im Herbst 2022 führte Twitter unter der neuen Führung von Elon Musk rasche Kündigungen und Massenentlassungen durch, die erheblich die Teams betrafen, die für den Schutz von Nutzerdaten zuständig waren; zentrale Datenschutz- und Sicherheitsverantwortliche verließen das Unternehmen, darunter der Chief Privacy Officer, der Chief Information Officer und der Chief Compliance Officer. 2022 wies Musk Mitarbeiter an, einer externen dritten Person 'vollständigen Zugriff auf alles bei Twitter' mit erweiterten Rechten über die eines durchschnittlichen Mitarbeiters hinaus zu gewähren; Informationssicherheits-Mitarbeiter griffen ein und implementierten Schutzmaßnahmen, um eine mögliche Offenlegung nicht-öffentlicher Nutzerdaten unter Verstoß gegen eine bestehende FTC-Anordnung zu verhindern. Die Federal Trade Commission untersuchte Musks Massenentlassungen bei Twitter und verlangte Einsicht in seine interne Kommunikation im Rahmen ihrer Aufsicht über die Datenschutz- und Cybersicherheitspraktiken des Unternehmens; das US-Justizministerium erklärte, Musk könne gegen eine 2022 verhängte FTC-Anordnung zu Datenschutz- und Sicherheitspraktiken bei Twitter verstoßen haben.

Der Ausgang der FTC-Untersuchung gegen Musk und Twitter/X ist aus dieser Quelle nicht belegt.

Am 18.09.2022 leakte ein britischer Teenager namens Arion Kurtaj, damals noch minderjährig, rund 90 Dateien mit Gameplay-Material des noch unangekündigten 'Grand Theft Auto VI' im Forum GTAForums, nachdem er sich über einen internen Slack-Chat Zugang zum Entwicklerstudio Rockstar Games verschafft hatte, einer der größten Datenlecks in der Geschichte der Videospielbranche. Der Leak bestätigte vorzeitig Vice City als Schauplatz sowie eine weibliche Hauptfigur und zwei spielbare Charaktere. Kurtaj war Mitglied der Hackergruppe Lapsus$, die zuvor auch Nvidia und Samsung angriff, und wurde später gefasst und zu einer lebenslangen Unterbringung in einer psychiatrischen Klinik verurteilt. Rockstar Games bezifferte den durch den Vorfall verursachten Schaden auf 5 Millionen US-Dollar sowie tausende Arbeitsstunden für die Aufarbeitung.

Die genaue technische Schwachstelle, über die Kurtaj Zugang zum internen Slack-Kanal erlangte, ist aus dieser Quelle nicht im Detail beschrieben.

Im September 2023 griff die Hackergruppe Scattered Spider (UNC3944) sowohl Caesars Entertainment (07.09.2023, Social-Engineering-Angriff auf einen IT-Drittanbieter) als auch MGM Resorts International (11.09.2023) an, Teil einer Angriffswelle gegen schätzungsweise 100 Organisationen. Die Angreifer identifizierten über LinkedIn einen MGM-Mitarbeiter, gaben sich als diese Person aus und riefen in einem zehnminütigen Telefonat beim IT-Helpdesk von MGM an, um sich Zugang zu dessen Konto zu verschaffen; dadurch erlangten sie Administratorrechte in MGMs Okta-Umgebung und nutzten schwache Mehr-Faktor-Authentifizierung aus, um die Kontrolle über den Azure-Active-Directory-Domänencontroller zu übernehmen. Am 14.09.2023 gaben die Angreifer an, 6 Terabyte Daten von beiden Unternehmen exfiltriert und anschließend BlackCat/ALPHV-Ransomware eingesetzt zu haben, was Online-Reservierungssysteme, digitale Zimmerschlüssel, Spielautomaten und Websites lahmlegte. Caesars zahlte Berichten zufolge 15 Millionen US-Dollar Lösegeld, während MGM sich stattdessen für eine Zusammenarbeit mit Strafverfolgungsbehörden entschied; der Vorfall dauerte bei MGM rund zehn Tage und verursachte für das dritte Quartal 2023 einen geschätzten Verlust von 100 Millionen US-Dollar.

Ob Caesars' Lösegeldzahlung MGM als weiteres Ziel derselben Angreifer erst attraktiv machte, wird in manchen Analysen vermutet, ist aus dieser Quelle aber nicht als gesicherter Kausalzusammenhang belegt.

Nachdem Change Healthcare Berichten zufolge 22 Millionen US-Dollar Lösegeld an die Ransomware-Gruppe ALPHV/BlackCat gezahlt hatte, um nach dem am 21.02.2024 bekanntgewordenen Angriff wieder Zugriff auf seine Systeme zu erhalten, meldete sich am 08.04.2024 eine zweite Gruppe namens RansomHub und behauptete, im Besitz derselben bereits erpressten Daten zu sein. RansomHub gab an, über 4 Terabyte sensibler Daten aus dem Netzwerk des Unternehmens erbeutet zu haben, darunter personenbezogene Daten aktiver US-Militärangehöriger und anderer Patienten, medizinische Unterlagen, Versicherungsdaten, Zahlungsinformationen sowie über 3.000 Quellcode-Dateien von Change-Healthcare-Software, und drohte mit Veröffentlichung, sollte keine weitere Zahlung erfolgen. Es kursieren drei Theorien zur Identität von RansomHub: ein Rebranding von ALPHV mit tatsächlichem Zugriff auf die Daten, ein ehemaliges ALPHV-Mitglied mit Zugriff, oder ein bluffender Akteur ohne echten Datenzugriff.

Welche der drei Theorien zur Identität von RansomHub zutrifft und ob eine zweite Zahlung tatsächlich erfolgte, ist aus dieser Quelle nicht abschließend geklärt.

Am 12.05.2017 legte die Ransomware WannaCry den britischen Gesundheitsdienst NHS für mehrere Tage lahm und betraf Krankenhäuser und Arztpraxen in ganz England und Schottland, wodurch tausende Termine und Operationen abgesagt werden mussten; über 80 Krankenhäuser waren direkt betroffen. Weltweit infizierte WannaCry an einem einzigen Tag rund 230.000 Computer, insgesamt über 200.000 Systeme in 150 Ländern, mit geschätzten Gesamtschäden von rund 4 Milliarden US-Dollar. WannaCry zielte nicht gezielt auf den NHS, doch veraltete Sicherheitsmaßnahmen begünstigten die Ausbreitung: Viele Computer britischer Krankenhäuser liefen auf ungepatchten Windows-7-Versionen. Die Schadsoftware nutzte die SMBv1-Sicherheitslücke in Windows aus, um Dateien zu verschlüsseln und Bitcoin-Lösegeld zu fordern. NHS England und die National Crime Agency bestätigten, dass keine NHS-Organisation Lösegeld zahlte; der Sicherheitsforscher Marcus Hutchins entdeckte rund sieben Stunden nach Beginn des Angriffs einen im Code eingebauten Kill-Switch und registrierte die zugehörige Domain, wodurch die weitere Ausbreitung gestoppt wurde.

Der Kill-Switch stoppte die weitere Ausbreitung, konnte aber bereits verschlüsselte Systeme nicht wiederherstellen; wie viele der betroffenen NHS-Systeme letztlich ohne Lösegeldzahlung wiederhergestellt wurden, ist aus dieser Quelle nicht beziffert.

Am 27.06.2017 kompromittierten staatlich gelenkte Akteure des russischen Militärgeheimdienstes GRU ein Update der ukrainischen Steuersoftware M.E.Doc mit der als Ransomware getarnten, tatsächlich datenzerstörenden Schadsoftware NotPetya, um die Ukraine zu treffen. Über die Windows-Schwachstelle EternalBlue verbreitete sich die Malware jedoch unkontrolliert lateral über verbundene Netzwerke weltweit und verursachte geschätzte Gesamtschäden von über 10 Milliarden US-Dollar. Die Reederei Maersk erlitt einen kompletter IT-Ausfall über mehrere Kontinente, der den Hafenbetrieb störte, mit finanziellen Verlusten zwischen 200 und 300 Millionen US-Dollar. Der Pharmakonzern Merck schätzte seinen Schaden auf 870 Millionen US-Dollar, einen der teuersten Cyberangriffe auf ein einzelnes Unternehmen in der Geschichte; die Produktion mehrerer Medikamente, darunter der HPV-Impfstoff Gardasil 9, wurde unterbrochen, sodass Merck Impfdosen aus dem Vorrat der US-Gesundheitsbehörde CDC entleihen musste. Weitere weltweit betroffene Unternehmen waren FedEx, der Lebensmittelkonzern Mondelez und der Baukonzern Saint-Gobain.

NotPetya war primär gegen ukrainische Ziele gerichtet; die massiven Kollateralschäden bei internationalen Konzernen waren laut Analysen eine unbeabsichtigte Folge der unkontrollierten Ausbreitungsmechanik, kein ursprüngliches Angriffsziel.

Ab Anfang 2015, entdeckt im Mai 2015, wurden bei einem Hackerangriff auf das IT-System des Deutschen Bundestags rund 16 Gigabyte Daten entwendet, darunter zahlreiche E-Mails von Abgeordneten. Die Angreifer nutzten eine Phishing-E-Mail mit dem Betreff 'Ukraine conflict with Russia leaves economy in ruins' und einer gefälschten Absenderadresse mit der Endung '@un.org', um einen vermeintlichen UN-Bericht vorzutäuschen; darüber installierte Schadsoftware ermöglichte den Angreifern, Passwörter abzugreifen, Administratorkonten zu übernehmen und weitere Daten zu stehlen. Die entdeckte IP-Adresse lieferte den stärksten Hinweis auf die mutmaßlichen Täter, die Hackergruppe 'Sofacy', auch bekannt als 'Fancy Bear', 'APT28' oder 'Operation Pawn Storm'. Die Bundesregierung ordnete den Angriff einer vom russischen Staat gelenkten Operation zu; im Mai 2020 erließ die Bundesanwaltschaft Haftbefehl gegen den russischen Staatsbürger Dmitri Badin, der als APT28-Mitglied gilt.

Ob Badin jemals tatsächlich gefasst und vor ein deutsches Gericht gestellt wurde, ist aus dieser Quelle nicht belegt; ein Haftbefehl bedeutet keine erfolgte Festnahme.

Im Dezember 2020 wurde bekannt, dass Angreifer eine manipulierte Software-Aktualisierung der IT-Management-Software Orion des Herstellers SolarWinds als Einfallstor nutzten, um in Netzwerke tausender US-Unternehmen und wichtiger Regierungsbehörden einzudringen. Mehr als 18.000 SolarWinds-Kunden installierten die kompromittierten Updates; das eigentliche Zielobjekt der Angreifer umfasste laut Weißem Haus jedoch nur rund 100 Unternehmen und mindestens neun US-Bundesbehörden, die gezielt weiter kompromittiert wurden. US-Behörden ordneten den Angriff im Januar öffentlich der russischen Cyberspionage-Gruppe APT29 ('Cozy Bear') zu, nach Berichten mit Verbindungen zum russischen Auslandsgeheimdienst SWR. Als Reaktion schnitt die Biden-Regierung Russlands Staatsanleihenmarkt vom US-Bankensystem ab und leiteten US-Geheimdienste eine umfassende Überprüfung von Lieferkettenrisiken durch russische Software ein.

Welche konkreten Daten aus den neun betroffenen US-Bundesbehörden tatsächlich abflossen, ist aus dieser Quelle nicht im Detail beziffert.

Mitte Dezember 2021 wurde in der weit verbreiteten Java-Bibliothek Log4j die kritische Schwachstelle CVE-2021-44228 ('Log4Shell') entdeckt, auf der CVSS-Skala mit dem Höchstwert 10 eingestuft. Da Systemadministratoren und Entwickler weltweit die Bibliothek wegen ihrer Funktionalität in Rechenzentren, Unternehmensservern, Netzwerktechnik und Systemkomponenten einsetzen, waren potenziell mehrere Milliarden Computersysteme weltweit verwundbar. Besonders gefährlich machte die Lücke, dass keine speziellen Berechtigungen zur Ausnutzung nötig waren: Angreifer konnten Schadcode bereits über einfache Eingabefelder wie Chatboxen oder Login-Formulare einschleusen. Das BSI stufte die Bedrohungslage auf Warnstufe Rot ein; internationale Beobachtungen zeigten aktive Ausnutzung mit den USA, Großbritannien, Deutschland, der Türkei und den Niederlanden als am häufigsten angegriffenen Regionen.

Eine belastbare Gesamtzahl tatsächlich erfolgreich kompromittierter Systeme (im Unterschied zu theoretisch verwundbaren) ist aus dieser Quelle nicht beziffert.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 02.07.2021 verbreitete die Ransomware-Gruppe REvil über ein gefälschtes Software-Update der Fernwartungssoftware Kaseya VSA Schadsoftware an die IT-Dienstleister (Managed Service Provider), die Kaseya nutzten, und von dort weiter an deren nachgelagerte Kunden. Kaseya meldete am 05.07.2021, der Angriff habe weniger als 60 direkte Kunden betroffen, jedoch bis zu 1.500 von deren Kunden betreute Unternehmen in 17 Ländern, darunter die schwedische Supermarktkette Coop, die 800 Filialen schließen musste, weil deren Kassensysteme über einen Kaseya-nutzenden IT-Dienstleister verwaltet wurden. Die Angreifer nutzten eine bekannte Schwachstelle in Kaseya VSA aus, während der Hersteller noch an einem Patch arbeitete. Kaseya veröffentlichte am 11.07.2021 Sicherheitsupdates und erhielt am 21.07.2021 einen universellen Entschlüsselungsschlüssel.

Auf welchem Weg Kaseya den universellen Entschlüsselungsschlüssel erhielt (Zahlung, Behördenoperation gegen REvil oder anderer Weg) ist aus dieser Quelle nicht belegt.

Am 30.05.2021 wurde ein Ransomware-Angriff auf den weltgrößten Fleischverarbeiter JBS Foods entdeckt, der Server der nordamerikanischen und australischen IT-Systeme des Konzerns betraf und zur zeitweisen Stilllegung von fünf der größten US-Fleischfabriken führte. Die US-Tochter von JBS zahlte den Erpressern 11 Millionen US-Dollar in Bitcoin, nachdem diese ursprünglich 22,5 Millionen Dollar gefordert hatten. Das FBI identifizierte die russische Cyberkriminalitätsgruppe REvil, dieselbe Gruppe, die kurz darauf auch den Kaseya-Angriff verübte, als Verantwortliche. JBS USA begründete die Zahlung mit einer Abwägung in Absprache mit internen und externen IT-Sicherheitsexperten, um mögliche Risiken für Kunden zu verhindern und unvorhersehbare Folgeprobleme des Angriffs zu vermeiden.

Ob und wie die gezahlten 11 Millionen US-Dollar später ganz oder teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im Oktober 2015 wurden bei einem Hack des britischen Telekommunikationsanbieters TalkTalk personenbezogene Daten von rund 157.000 Kunden gestohlen, darunter Bankkontonummern, Bankleitzahlen und Geburtsdaten; TalkTalk bezifferte den Gesamtschaden auf 60 Millionen Pfund. Ein 17-jähriger Jugendlicher bekannte sich vor dem Norwich Youth Court in sieben Anklagepunkten nach dem britischen Computer Misuse Act schuldig, zwei davon im Zusammenhang mit dem TalkTalk-Datenleck; er erklärte gegenüber den Richtern, er habe nicht an die Konsequenzen gedacht und lediglich vor Freunden angeben wollen. Der Jugendliche erhielt eine Bewährungsauflage und musste sein iPhone abgeben; das Gericht signalisierte, ihn trotz weiterer notwendiger Berichte von einer Haftstrafe verschonen zu wollen. Er hatte zuvor auch die Websites der Universitätsbibliotheken von Manchester und Cambridge angegriffen. Ein weiterer, älterer Beteiligter, Daniel Kelley, wurde später zu vier Jahren Haft verurteilt.

Die stark unterschiedlichen Strafmaße (Bewährung für den 17-Jährigen gegenüber vierjähriger Haft für Daniel Kelley) verdeutlichen, wie das Alter des Täters bei vergleichbaren Straftaten die Sanktion beeinflusst, ohne dass die Quelle den unterschiedlichen Tatbeitrag beider im Detail vergleicht.

Am 12.09.2013 gab Vodafone Deutschland bekannt, dass bei einem Cyberangriff persönliche Daten und Kontoinformationen von zwei Millionen Kunden gestohlen wurden. Der Angriff erfolgte laut Vodafone mit hoher krimineller Energie und mutmaßlichem Insiderwissen tief in der IT-Infrastruktur des Unternehmens; gestohlen wurden Namen, Adressen, Geburtsdaten, Geschlecht sowie Bankkontonummern und Bankleitzahlen, jedoch keine Passwörter oder PINs. Vodafone entdeckte den Angriff selbst und konnte ihn stoppen; die Behörden identifizierten einen Verdächtigen und durchsuchten dessen Wohnung, woraufhin Vodafone die zwei Millionen Betroffenen per Brief informierte.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Am 10. Januar 2023 wurde der britische Postdienst Royal Mail Ziel eines Ransomware-Angriffs mit der Schadsoftware LockBit Black, der Drucksysteme fuer Zoll- und Versandetiketten am internationalen Verteilzentrum in Langley bei Heathrow sowie an weiteren Standorten verschluesselte. In der Folge kam der internationale Post- und Paketversand praktisch zum Erliegen, Kunden konnten wochenlang keine Sendungen ins Ausland aufgeben. Die Angreifer forderten zunaechst 80 Millionen US-Dollar Loesegeld, was nach ihrer eigenen Berechnung 0,5 Prozent des Jahresumsatzes von Royal Mail entsprach, und senkten die Forderung am 1. Februar 2023 auf 70 Millionen US-Dollar. Royal Mail bezeichnete die Forderung als absurd, zahlte kein Loesegeld und folgte damit dem Rat der Ermittlungsbehoerden. LockBit veroeffentlichte daraufhin im Februar 2023 Verhandlungsprotokolle sowie gestohlene Unternehmensdaten. Ab dem 19. Januar 2023 nahm Royal Mail eingeschraenkte internationale Dienste ueber Notloesungen wieder auf, vollstaendig wiederhergestellt war der Auslandsversand erst Ende Februar 2023. National Cyber Security Centre und National Crime Agency ermittelten gemeinsam zu dem Vorfall. Der Inlandsversand in Grossbritannien war von dem Angriff nicht betroffen. Nach eigenen Angaben kostete die Bewaeltigung des Vorfalls Royal Mail mehr als 10 Millionen britische Pfund.

Aus der zitierten Quelle nicht abschliessend belegt sind die genaue Anzahl und Art der tatsaechlich von LockBit abgeflossenen Datensaetze sowie die interne Verantwortlichkeit innerhalb der LockBit-Struktur, da die Gruppe selbst zeitweise bestritt, hinter dem Angriff zu stehen.

Der australische Krankenversicherer Medibank, mit rund 9,7 Millionen Kunden das groesste Unternehmen seiner Art im Land, meldete am 13.10.2022 einen Cyberangriff. Die Angreifer erlangten Zugang ueber gestohlene Zugangsdaten eines Drittanbieters, dessen Systeme keine Mehrfaktor-Authentifizierung nutzten, und exfiltrierten laut Ermittlungen rund 200 Gigabyte an Daten. Betroffen waren Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, teils Medicare- und Passnummern sowie Gesundheits- und Behandlungsdaten der Versicherten, darunter Diagnosecodes zu Abtreibungen, Suchtbehandlungen, HIV-Infektionen und psychischen Erkrankungen. Die mutmasslich mit der russischsprachigen Ransomware-Gruppe REvil verbundenen Taeter forderten ein Loesegeld von rund 10 Millionen US-Dollar, umgerechnet etwa einem US-Dollar pro betroffenem Kunden. Medibank lehnte die Zahlung Anfang November 2022 unter Verweis auf die australische Regierung ab. Daraufhin veroeffentlichten die Angreifer ab dem 9. und 10.11.2022 gestohlene Datensaetze im Darknet, darunter eine als "abortions.csv" bezeichnete Datei sowie eine Liste mit Daten zu Drogen-, Alkohol- und psychischen Erkrankungen. Die australische Datenschutzbehoerde OAIC reichte spaeter Klage gegen Medibank ein und wirft dem Unternehmen vor, von Maerz 2021 bis Oktober 2022 keine angemessenen Schutzmassnahmen fuer die Daten von 9,7 Millionen Australiern getroffen zu haben. Medibank bezifferte die Gesamtkosten des Vorfalls bis Mitte 2025 auf mehr als 125 Millionen australische Dollar.

Aus dieser Quelle nicht belegt: der genaue Ausgang des laufenden Zivilverfahrens der OAIC gegen Medibank sowie eine abschliessend bestaetigte Hoehe der verhaengten Strafzahlung, da das Verfahren zum Zeitpunkt der Recherche noch nicht rechtskraeftig abgeschlossen war.

Die kanadische Finanzgenossenschaft Desjardins Group gab am 20. Juni 2019 bekannt, dass ein Mitarbeiter über rund 26 Monate unbefugt persönliche Daten von Kundinnen und Kunden entwendet hatte. Nach ergänzenden Untersuchungen bezifferte Desjardins das Ausmaß 2020 auf etwa 9,7 Millionen betroffene Personen in Kanada und im Ausland, den bis dahin größten Datendiebstahl in der Geschichte des kanadischen Finanzsektors. Betroffen waren Vor- und Nachnamen, Geburtsdaten, Sozialversicherungsnummern, Adressen, Telefonnummern, E-Mail-Adressen und Transaktionshistorien. Der Täter, ein Mitarbeiter der Marketingabteilung, nutzte aus, dass Kolleginnen und Kollegen vertrauliche Kundendaten entgegen den internen Richtlinien aus geschützten Systemen auf ein für das gesamte Marketingteam zugängliches gemeinsames Laufwerk kopiert hatten. Er übertrug die Daten auf USB-Sticks und verkaufte sie über mehrere Monate hinweg an Dritte. Desjardins entdeckte den Diebstahl nicht selbst, sondern wurde Ende 2018 durch die Polizei im Rahmen einer anderen Ermittlung darauf aufmerksam. Die Bundesdatenschutzbehörde OPC und die Quebecer Aufsichtsbehörde CAI stellten in einem gemeinsamen Bericht vom November 2020 fest, dass Desjardins bekannte Sicherheitsmängel bei Zugriffskontrolle und Überwachung nicht rechtzeitig behoben hatte, und verpflichteten das Unternehmen zu externen Sicherheitsaudits sowie verbesserten Kontrollen. Im Dezember 2021 erhielt eine Sammelklage-Einigung im Umfang von bis zu rund 200 Millionen kanadischen Dollar für Entschädigung und Kreditüberwachung der Betroffenen die gerichtliche Genehmigung.

Die genaue Opferzahl wurde von Desjardins im Zeitverlauf mehrfach nach oben korrigiert (zunächst rund 2,7 bis 2,9 Millionen, später 9,7 Millionen), und das Strafverfahren gegen den 2024 verhafteten mutmaßlichen Haupttäter war zum Zeitpunkt der Recherche noch nicht rechtskräftig abgeschlossen.

Am 15. Juli 2020 verschafften sich Angreifer durch einen telefonischen Spear-Phishing-Angriff auf Twitter-Mitarbeiter Zugangsdaten zu einem internen Support-Tool des Unternehmens. Mit diesem Zugriff nahmen sie laut Twitters eigener Stellungnahme insgesamt 130 Accounts ins Visier, tweeteten von 45 dieser Konten, griffen bei 36 Konten auf das Nachrichtenpostfach zu und luden bei 7 Konten die gespeicherten Twitter-Daten herunter. Betroffen waren unter anderem die Accounts von Barack Obama, Joe Biden, Bill Gates, Elon Musk, Jeff Bezos, Kanye West und Kim Kardashian West sowie die Firmenaccounts von Apple und Uber. Die gekaperten Accounts veröffentlichten Tweets mit dem Versprechen, eingesendete Bitcoin-Zahlungen verdoppelt zurückzusenden, zusammen mit einer Bitcoin-Wallet-Adresse. Nach Angaben des New York State Department of Financial Services erbeuteten die Täter dabei mehr als 118.000 US-Dollar in Bitcoin. Im Juli 2020 wurde der damals 17-jährige Graham Ivan Clark aus Florida als mutmaßlicher Kopf der Aktion festgenommen und im März 2021 zu drei Jahren Jugendhaft verurteilt. Zwei weitere Mitverdächtige, Mason Sheppard und Nima Fazeli, wurden ebenfalls strafrechtlich angeklagt. Twitter reagierte mit einer vorübergehenden Einschränkung der Tweet-Funktion für viele verifizierte Accounts und kündigte strengere interne Zugriffskontrollen sowie zusätzliche Mitarbeiterschulungen an.

Der offizielle Twitter-Blogbeitrag selbst nennt keine Schadenssumme und keine Namen von Verdächtigen; diese Angaben stammen aus separaten Ermittlungen von US-Justizbehörden und dem New York State Department of Financial Services. Ob neben den drei strafrechtlich verfolgten Personen weitere Beteiligte oder Hintermänner agierten, ist nicht abschließend geklärt.

Marriott International teilte am 31.03.2020 mit, dass Unbekannte zwischen Mitte Januar 2020 und Ende Februar 2020 auf Gästedaten von schätzungsweise 5,2 Millionen Personen zugreifen konnten. Die Angreifer nutzten dabei die Login-Daten von zwei Mitarbeitern eines Franchise-Hotels der Kette, um sich Zugang zu einer Anwendung zu verschaffen, mit der Marriott-Franchisenehmer Gästeservices verwalten. Marriott entdeckte den unautorisierten Zugriff Ende Februar 2020 und deaktivierte daraufhin die betroffenen Zugangsdaten. Zu den kompromittierten Daten gehörten Namen, Geschlecht, Geburtstag und -monat, Adressen, Telefonnummern, E-Mail-Adressen, Arbeitgeberangaben, Treueprogramm-Informationen einschließlich verknüpfter Fluggesellschaftskonten sowie Präferenzen zum Hotelaufenthalt. Nach Angaben des Unternehmens waren Zahlungskartendaten, Passwörter und PINs der Bonvoy-Konten, Passnummern sowie nationale Ausweis- und Führerscheinnummern nicht betroffen. Marriott setzte anschließend die Passwörter aller Bonvoy-Mitglieder zurück, informierte die betroffenen Gäste per E-Mail, richtete ein Online-Portal zur Überprüfung des eigenen Betroffenenstatus ein und bot ein Jahr kostenloses Identitätsüberwachungs-Monitoring durch Experian IdentityWorks an. Es handelte sich um den zweiten großen Datenschutzvorfall bei Marriott nach dem Starwood-Leck von 2018 mit rund 339 Millionen betroffenen Datensätzen weltweit.

Aus dieser Quelle nicht belegt sind der genaue Name des betroffenen Franchise-Hotels sowie die exakte Zahl und Identität der involvierten Täter; auch etwaige Bußgelder oder rechtliche Konsequenzen speziell für diesen 2020er-Vorfall werden hier nicht dokumentiert.

Am 20.02.2024 gab die britische National Crime Agency (NCA) gemeinsam mit dem FBI, Europol, Eurojust und Strafverfolgungsbehörden aus insgesamt zehn Ländern die Zerschlagung der Ransomware-Gruppe LockBit im Rahmen der "Operation Cronos" bekannt. Die Ermittler übernahmen die Kontrolle über die Darknet-Infrastruktur von LockBit, darunter die Leak-Website, und ersetzten sie durch eigene Mitteilungen. Insgesamt wurden 34 Server in den Niederlanden, Deutschland, Finnland, Frankreich, der Schweiz, Australien, den USA und Großbritannien beschlagnahmt. Von den beschlagnahmten Servern sicherten die Ermittler mehr als 1.000 Entschlüsselungsschlüssel, mit denen Opfer ihre verschlüsselten Daten wiederherstellen können. Zudem wurden mehr als 14.000 für den Betrieb von LockBit genutzte Nutzerkonten identifiziert und mehr als 200 Kryptowährungskonten eingefroren. Zwei mutmaßliche LockBit-Mitglieder wurden in Polen und der Ukraine festgenommen, an der Operation waren unter anderem auch das deutsche Bundeskriminalamt (BKA) und das LKA Schleswig-Holstein beteiligt. LockBit galt zu diesem Zeitpunkt als eine der aktivsten Ransomware-Gruppen weltweit mit mehreren tausend Opfern seit 2019.

Aus dieser Quelle nicht belegt sind die genaue Gesamtsumme der von LockBit erpressten Zahlungen sowie die vollständige Identität des Hauptbetreibers, der erst Monate später (Mai 2024) namentlich benannt wurde; auch der langfristige Erfolg der Zerschlagung ist unklar, da LockBit nach der Operation Teile seiner Aktivitäten wiederaufnahm.

Am 04.08.2022 stellte das US-Unternehmen Twilio Inc., ein Anbieter von Cloud-Kommunikationsdiensten, fest, dass Angreifer über eine SMS-Phishing-Kampagne (Smishing) Zugriff auf interne Systeme erlangt hatten. Ab Mitte Juli 2022 versendeten die Angreifer Textnachrichten an aktuelle und ehemalige Twilio-Mitarbeiter, die vorgaben, von der IT-Abteilung zu stammen und ein angeblich abgelaufenes Passwort zu betreffen. Die enthaltenen Links führten zu gefälschten Okta-Anmeldeseiten auf Domains wie twilio-sso.com und twilio-okta.net, auf denen Zugangsdaten abgegriffen wurden. Mit diesen Zugangsdaten verschafften sich die Angreifer Zugriff auf interne Twilio-Systeme und darüber auf Kundendaten. Laut dem am 27.10.2022 abgeschlossenen Untersuchungsbericht von Twilio waren 209 von insgesamt mehr als 270.000 Kunden betroffen. Zusätzlich griffen die Angreifer auf 93 Konten der zu Twilio gehörenden Zwei-Faktor-Authentifizierungs-App Authy zu, die rund 75 Millionen Nutzer zählt, und registrierten dort zusätzliche Geräte, um Einmalcodes für verknüpfte Konten generieren zu können. Twilio erklärte, es gebe keine Hinweise darauf, dass Konsolen-Zugangsdaten, Authentifizierungs-Token oder API-Schlüssel von Kunden kompromittiert wurden. Als Reaktion entzog Twilio kompromittierte Mitarbeiterzugänge, stattete alle Beschäftigten mit FIDO2-Hardware-Sicherheitsschlüsseln aus, verschärfte VPN-Kontrollen und führte verpflichtende Schulungen zu Social Engineering ein. Sicherheitsforscher ordneten den Angriff später der Gruppe Oktapus zu, die im gleichen Zeitraum mehr als 130 Organisationen per Smishing angriff.

Aus dieser Quelle nicht belegt sind mögliche behördliche Bußgelder oder Entschädigungszahlungen sowie das genaue Ausmaß der bei den einzelnen betroffenen Firmenkunden abgegriffenen Daten. Die Zuordnung des Angriffs zur Gruppe Oktapus stammt nicht aus dem Twilio-Bericht selbst, sondern aus unabhängigen Sicherheitsanalysen Dritter.

Am 15.09.2022 wurde der Fahrdienstvermittler Uber Ziel eines schwerwiegenden Cyberangriffs auf seine internen Systeme. Ein Angreifer verschaffte sich per Social Engineering Zugang zum Uber-Konto eines externen Vertragspartners, dessen Zugangsdaten vermutlich zuvor im Darknet erworben worden waren, und überflutete ihn anschließend mit wiederholten Multi-Faktor-Authentifizierungsanfragen, bis dieser eine Anmeldung bestätigte (MFA-Fatigue-Angriff). Über den so erlangten VPN-Zugang fand der Angreifer in einem internen Netzwerkverzeichnis ein PowerShell-Skript mit hinterlegten Administrator-Zugangsdaten und weitete damit seine Rechte deutlich aus. Mit diesen erhöhten Rechten übernahm er unter anderem Ubers Slack-Arbeitsbereich, Google-Workspace-Konten, AWS- und Google-Cloud-Umgebungen sowie den HackerOne-Verwaltungsbereich und interne Mitarbeiter-Dashboards. Uber-Mitarbeiter bemerkten den Vorfall, als im firmenweiten Slack-Kanal eine Nachricht erschien, in der sich der Angreifer als Hacker zu erkennen gab und eine Datenschutzverletzung ankündigte. Uber und mehrere Medien ordneten den Angriff einem angeblich 18-jährigen Mitglied der Hackergruppe Lapsus$ zu, das später als Brite Arion Kurtaj identifiziert wurde. Uber erklärte, dass keine sensiblen Nutzerdaten wie Zahlungs- oder Bankdaten sowie keine Fahrtinformationen abgeflossen und der Quellcode nicht verändert worden seien; FBI und US-Justizministerium wurden in die Ermittlungen eingebunden. Im August 2023 wurde Kurtaj in London wegen mehrerer Straftaten im Zusammenhang mit den Uber- und Rockstar-Games-Hacks schuldig gesprochen und im Dezember 2023 zu unbefristeter Unterbringung in einer psychiatrischen Einrichtung verurteilt.

Aus der Quelle nicht unabhängig verifizierbar ist, ob Ubers Zusicherung, dass keine sensiblen Kunden- und Zahlungsdaten abgeflossen sind, extern geprüft wurde oder allein auf der eigenen internen Untersuchung des Unternehmens beruht. Auch die exakte Zuordnung des Angriffs zu genau einer Einzelperson statt zu mehreren Beteiligten der Lapsus$-Gruppe war zum Zeitpunkt der ersten Berichterstattung noch nicht gerichtsfest geklärt.