Forscher bestätigen ExfilSquads Datenleck-Behauptungen
Cybersecurity-Forscher haben Behauptungen von ExfilSquad untermauert, einer Erpressungsgruppe, die in den letzten Monaten Organisationen mit der Veröffentlichung gestohlener Daten gedroht hat. Laut einer neuen Analyse hat die Gruppe tatsächlich sensible Informationen von mindestens 13 Organisationen erlangt – ein Ergebnis, das einen Großteil der Unklarheit beseitigt, die oft Behauptungen von Erpressungsgruppen umgibt, und das Ausmaß der Kampagne bestätigt.
Erpressungsgruppen übertreiben oder erfinden häufig Vorwürfe von Sicherheitsverletzungen, um Opfer zur Zahlung zu drängen, weshalb unabhängige Verifizierung wichtig ist. In diesem Fall untersuchten Forscher die Datensätze, die ExfilSquad über Torrent-Netzwerke verbreitete, und stellten fest, dass das Material mit den früheren Behauptungen der Gruppe übereinstimmte. Diese Verteilungsmethode ist selbst bemerkenswert. Anstatt sich ausschließlich auf Leak-Seiten im Darknet zu verlassen, hat ExfilSquad gestohlene Daten in Torrent-Netzwerke eingespeist – einen Verbreitungskanal, der schneller funktioniert und schwerer zu beseitigen ist, sobald Dateien über mehrere Peers verbreitet werden.
Die Bestätigung deckt sich mit einem früheren Bericht, der detailliert beschreibt, wie ExfilSquad mit 13 Datenlecks von Opfern seit Juli in Verbindung gebracht wurde, was darauf hindeutet, dass die Gruppe eine anhaltende Kampagne durchgeführt hat und nicht einen einzelnen opportunistischen Vorfall. Die Übereinstimmung zwischen dieser früheren Zählung und der neuesten Verifizierung deutet auf eine Gruppe hin, die bei der Dokumentation und Veröffentlichung ihrer behaupteten Einbrüche methodisch vorgeht.
Ein Muster über Sektoren hinweg
Was an ExfilSquads Aktivität auffällt, ist die Breite der betroffenen Organisationen. Die Ziele der Gruppe beschränkten sich nicht auf eine Branche oder Region. Frühere Berichte brachten die Gruppe mit einer Sicherheitsverletzung in Verbindung, bei der 135.000 britische Polizeidaten im Darknet geleakt wurden, sowie separat mit der PNLD-Verletzung, die die britische nationale Rechtsdatenbank der Polizei betraf. Dass Strafverfolgungs- und Rechtsinfrastruktur neben Zielen aus dem privaten Sektor im Portfolio derselben Erpressungsgruppe stehen, unterstreicht, wie wahllos diese Kampagnen geworden sind. Angreifer wählen Opfer nicht unbedingt nach Sektor aus; sie scheinen jeden Zugang auszunutzen, den sie erlangen können, und ihn anschließend zu monetarisieren.
Dieses Muster hat auch den privaten Sektor betroffen, wie der Fall des Halbleiterherstellers Analog Devices zeigt, der eine Datenverletzung erlitt und ExfilSquad mit einem Leak drohte. Dass ein globales Technologieunternehmen neben Regierungs- und Polizeibehörden auf der Liste der behaupteten Opfer derselben Gruppe steht, verdeutlicht, warum Organisationen in nahezu jedem Sektor die Aktivitäten von Erpressungsgruppen als glaubwürdige Bedrohung behandeln müssen, anstatt sie als bloßes Rauschen abzutun.
Warum Verifizierung die Rechnung verändert
Bislang konzentrierte sich ein Großteil der Berichterstattung über ExfilSquad auf die Behauptungen der Gruppe selbst, was in der Frühphase einer Erpressungskampagne üblich ist. Bedrohungsakteure posten oft Teilstichproben oder unbestätigte Behauptungen, um Medienaufmerksamkeit zu erzeugen und Druck auf Opfer auszuüben, bevor die vollständige Authentizität festgestellt ist. Die Bestätigung, dass mindestens 13 Organisationen echte Daten offengelegt hatten, verschiebt das Gespräch von Spekulation zu feststehender Tatsache und erhöht den Einsatz für jede Organisation, die noch nicht festgestellt hat, ob sie unter den Zielen der Gruppe auftaucht.
Für betroffene Organisationen bedeuten verifizierte Leaks, dass das übliche Incident-Response-Playbook in vollem Umfang gilt: Bewertung, welche Daten entwendet wurden, Benachrichtigung von Aufsichtsbehörden und betroffenen Personen, wo erforderlich, und Überwachung auf nachgelagerten Betrug oder sekundäre Angriffe, die oft auf eine bestätigte Sicherheitsverletzung folgen. Insbesondere die Torrent-basierte Verteilung erschwert die Eindämmung, da Dateien unabhängig von einem einzelnen Hosting-Punkt kopiert und erneut geteilt werden können – anders als bei Daten auf einer Leak-Seite, die möglicherweise offline genommen werden kann.
Was das für Sie bedeutet
Wenn Sie mit einer Organisation interagieren, die im Zusammenhang mit ExfilSquads Aktivitäten genannt wird, sei es als Kunde, Mitarbeiter oder Partner, lohnt es sich zu prüfen, ob diese Organisation eine Benachrichtigung über die Sicherheitsverletzung herausgegeben hat. Da Polizei- und Rechtsdatenbanken zu den bestätigten Zielen gehörten, sollten Personen mit jeglicher Verbindung zu britischen Strafverfolgungssystemen besonders auf Benachrichtigungen dieser Behörden achten. Für die allgemeine Öffentlichkeit ist dieser Vorfall eine Erinnerung daran, dass gestohlene personenbezogene Daten zunehmend über Kanäle wie Torrents verbreitet werden, die schwerer zu beseitigen sind als herkömmliche Leak-Seiten – was bedeutet, dass offengelegte Informationen lange nach der ursprünglichen Sicherheitsverletzung bestehen und zirkulieren können.
Umsetzbare Maßnahmen
Überwachen Sie offizielle Mitteilungen jeder Organisation, mit der Sie eine Beziehung haben, auf Sicherheitsverletzungs-Benachrichtigungen im Zusammenhang mit ExfilSquad. Ändern Sie Passwörter und aktivieren Sie Multi-Faktor-Authentifizierung für Konten, die mit einer bestätigten Opferorganisation verbunden sind. Erwägen Sie eine Betrugswarnung oder eine Kreditwürdigkeitssperre, wenn Sie glauben, dass Ihre Daten Teil eines bestätigten Leaks waren, insbesondere wenn Regierungs- oder Strafverfolgungsaufzeichnungen betroffen waren. Bleiben Sie skeptisch gegenüber unaufgeforderten Mitteilungen, die auf Ihre persönlichen Daten verweisen, da geleakte Daten häufig verwendet werden, um überzeugende Phishing-Versuche zu erstellen. Während sich die Verifizierung der Behauptungen von ExfilSquad weiter entfaltet, bleibt das Informiertbleiben durch glaubwürdige Berichterstattung die beste Verteidigung sowohl gegen die Sicherheitsverletzung selbst als auch gegen die sekundären Betrugsmaschen, die ihr oft folgen.
