Ein 72-Stunden-Countdown endet in einem Datenleck

Eine Ransomware-Gruppe namens Deadlock hat die Verantwortung für den Einbruch bei der LT Group und ihrer Tochtergesellschaft Fortune Tobacco Corp auf den Philippinen übernommen und behauptet, 14.836 Dateien mit insgesamt 27 GB gestohlen zu haben, bevor sie Proben online veröffentlichte. Berichten über den Vorfall zufolge gaben die Angreifer dem Unternehmen ein 72-Stunden-Fenster, um auf die Erpressungsforderungen zu reagieren. Als dieses Fenster ohne Zahlung oder Kontaktaufnahme ablief, begann die Gruppe, Datenproben als Beweis für den Einbruch und als Druckmittel für weitere Erpressung zu veröffentlichen.

Das ist das mittlerweile Standard gewordene Doppel-Erpressungs-Spielbuch, das die Ransomware-Aktivitäten seit mehreren Jahren prägt: Angreifer verschlüsseln nicht nur Systeme, sie exfiltrieren zuerst heimlich sensible Dateien und drohen dann mit öffentlicher Offenlegung, falls kein Lösegeld gezahlt wird. Die Verschlüsselung stört den Betrieb, aber der Datendiebstahl ist oft die schwerwiegendere langfristige Bedrohung, insbesondere wenn die gestohlenen Dateien persönliche Identitätsdokumente und Finanzunterlagen enthalten, die mit Einzelpersonen verbunden sind – nicht nur mit Unternehmenssystemen.

Was Berichten zufolge offengelegt wurde

Die durchgesickerten Proben enthalten Berichten zufolge Passdaten mit Informationen aus der maschinenlesbaren Zone (MRZ), dem codierten Streifen am unteren Rand der Passfotoseite, der den Namen, die Staatsangehörigkeit, das Geburtsdatum, die Passnummer und das Ablaufdatum einer Person in einem standardisierten Format enthält. MRZ-Daten sind für Identitätsdiebe besonders wertvoll, da sie für die maschinelle Verarbeitung ausgelegt sind und zur Fälschung oder Validierung von Reisedokumenten sowie zur Abgleichung mit Identitätsdatenbanken verwendet werden können.

Unter den durchgesickerten Proben befanden sich Berichten zufolge auch Bankdaten, die mit PNB-Konten (Philippine National Bank) und Holco-USD-Konten in Verbindung stehen. In Kombination mit Identitätsdaten auf Passniveau geben solche Finanzinformationen Angreifern ein vollständigeres Bild einer Person, was das Risiko gezielter Phishing-Angriffe, Kontopreisgabe-Versuche und Betrug erhöht, die weit über das ursprüngliche Unternehmensopfer hinausgehen.

Für die LT Group und Fortune Tobacco Corp, einen diversifizierten philippinischen Mischkonzern mit Interessen in den Bereichen Tabak, Bankwesen und anderen Sektoren, deutet ein Einbruch, der Pass- und Bankdaten berührt, darauf hin, dass die Offenlegung über routinemäßige Geschäftsunterlagen hinaus bis zu persönlichen Informationen von Mitarbeitern, Führungskräften oder Geschäftspartnern reichen könnte. Zum Zeitpunkt der Berichterstattung war das vollständige Ausmaß der betroffenen Personen nicht unabhängig bestätigt.

Warum das in ein breiteres Muster passt

Deadlocks Vorgehen hier spiegelt Taktiken wider, die im gesamten Ransomware-Umfeld im Jahr 2026 zu sehen sind. Gruppen lassen zunehmend lange Verhandlungsphasen zugunsten kurzer, öffentlicher Fristen aus, die darauf ausgelegt sind, Opfer zu schnellen Zahlungen zu drängen, bevor der Reputationsschaden eintritt. Das ist eine bewusste psychologische Taktik: Je kürzer das Fenster, desto weniger Zeit hat eine Organisation, Rechtsberatung einzuholen, Aufsichtsbehörden zu informieren oder eine überlegte Reaktion zu koordinieren.

Es spiegelt auch einen Trend wider, bei dem Angreifer effizienter darin werden, gestohlene Daten zu monetarisieren, selbst wenn keine Lösegelder gezahlt werden. Einige Ransomware-Betreiber haben begonnen, mit Wegen zu experimentieren, Erpressungsnachrichten schwerer ignorierbar zu machen, wie in Berichten über Ransomware zu sehen ist, die physische Lösegeldforderungen direkt aus kompromittierten Bürodruckern druckt. Ob Deadlock hier ähnliche Eskalationstaktiken verwendet hat oder nicht, die zugrunde liegende Strategie ist dieselbe: eine Reaktion erzwingen, bevor das Opfer Zeit zum Nachdenken hat.

Ransomware-Gruppen haben ihre Zielauswahl zudem weit über die Sektoren hinaus erweitert, die Menschen traditionell mit Cyberkriminalität verbinden. Aktuelle FBI-Warnungen über die Silent Ransom Group, die Anwaltskanzleien angreift, zeigen, dass Angreifer bereit sind, jede Organisation ins Visier zu nehmen, die sensible persönliche oder finanzielle Daten hält, und dabei zunehmend ausgefeilte Social-Engineering-Methoden neben traditionellen Eindringmethoden einsetzen. Handelskonzerne, Hersteller und Finanzinstitute in ganz Südostasien sind genauso geeignete Ziele wie eine westliche Anwaltskanzlei, insbesondere wenn sie Pass-Identitätsprüfungen auf persönlicher Ebene für Mitarbeiter oder Kunden durchführen.

Was das für Sie bedeutet

Wenn Sie eine Beziehung zur LT Group, Fortune Tobacco Corp oder verbundenen Bankdienstleistungen wie der PNB haben, sollten Sie diesen Vorfall ernst nehmen, auch bevor die offizielle Bestätigung des vollständigen Ausmaßes erfolgt. Pass-MRZ-Daten in Kombination mit Bankdaten sind eine starke Grundlage für Identitätsbetrug. Daher ist es eine vernünftige Vorsichtsmaßnahme, Finanzauszüge zu überwachen und bei unerwarteten Kommunikationen im Zusammenhang mit Reise- oder Bankdetails wachsam zu sein.

Allgemeiner betrachtet erinnert dieser Vorfall daran, dass Ransomware nicht nur ein IT-Problem ist, sondern ein Problem des persönlichen Datenschutzes. Sobald Dateien exfiltriert wurden, wird der Schaden nicht durch die Zahlung eines Lösegelds oder die Wiederherstellung von Systemen rückgängig gemacht. Daten, die kopiert wurden, bleiben kopiert, und durchgesickerte Proben stellen oft nur einen Bruchteil dessen dar, was Angreifer tatsächlich besitzen.

Umsetzbare Erkenntnisse

Wenn Sie glauben, dass Sie über eine Beschäftigung, Bankgeschäfte oder geschäftliche Beziehungen mit der LT Group oder Fortune Tobacco Corp mit diesem Einbruch in Verbindung stehen könnten, sollten Sie diese Schritte in Betracht ziehen: Beobachten Sie Ihre Bank- und Kreditkonten auf ungewöhnliche Aktivitäten, seien Sie skeptisch gegenüber unaufgeforderten Nachrichten, die sich auf Pass- oder Kontodetails beziehen, und erwägen Sie, bei Ihrer Bank einen Betrugshinweis zu setzen, wenn Sie Konten bei betroffenen Instituten halten. Organisationen, die Identitätsdaten auf Passniveau verarbeiten, sollten außerdem überprüfen, wie lange solche Aufzeichnungen aufbewahrt werden und ob Verschlüsselung und Zugriffskontrollen der Sensibilität des Gespeicherten entsprechen, da Vorfälle wie dieser zeigen, dass selbst große, etablierte Konzerne attraktive Ziele für Ransomware-Betreiber bleiben, die bereit sind, ein 72-Stunden-Frist abzuwarten, bevor sie an die Öffentlichkeit gehen.