Bundesermittler, die die Hackergruppe ShinyHunters verfolgen, die kürzlich äußerst sensible Informationen vom FBI gestohlen hat, haben Berichten zufolge Führungskräfte identifiziert, die mit dem Fall in Verbindung stehen. Einem ursprünglich von Krebs on Security veröffentlichten Bericht zufolge vermuten die Ermittler, dass ein Lösegeld-Unterhändler die Erpressungswebsite von ShinyHunters betrieben hat. Sollte sich das bewahrheiten, würde es ein Schlaglicht auf einen Teil der Cyberkriminalitäts-Ökonomie werfen, den die meisten Menschen nie zu Gesicht bekommen.

Die bisher verfügbaren Details sind begrenzt, und nichts hiervon kommt einem bewiesenen Befund gleich. Dieser Beitrag hält sich an das, was berichtet wurde, und erklärt, was es für alle bedeuten könnte, deren Daten in einer Unternehmensdatenbank liegen.

Was die Ermittler in Bezug auf die ShinyHunters-Erpressungsseite behaupten

Der Bericht besagt, dass US-Bundesermittler, die ShinyHunters verfolgen, nachdem die Gruppe hochsensible Daten vom FBI gestohlen hat, nun vermuten, dass eine als Lösegeld-Unterhändler tätige Person hinter der Erpressungswebsite der Gruppe stand. Die Zusammenfassung besagt zudem, dass die Ermittler Führungskräfte identifiziert haben, wobei der verfügbare Text nicht ausführt, welche Unternehmen oder Personen beteiligt sind.

Da das Quellmaterial knapp ist, bleiben mehrere Fragen offen: ob Anklagen folgen werden, wie die mutmaßliche Verbindung hergestellt wurde und welche Rolle ein etwaiges Unternehmen spielte. Verdacht ist keine Verurteilung, und Leser sollten die Behauptung als Vorwurf behandeln, bis die Behörden mehr sagen.

Was die Geschichte bemerkenswert macht, ist die mögliche Überschneidung der Rollen. Ein Unterhändler wird normalerweise von einem Opfer engagiert, um mit Angreifern zu verhandeln. Ein Unterhändler, der auch die Druckkampagne leitet, würde auf beiden Seiten des Tisches sitzen.

Wie Erpressung im ShinyHunters-Stil funktioniert

Gruppen dieser Kategorie konzentrieren sich typischerweise darauf, Daten zu stehlen, statt nur Systeme zu sperren. Das grundlegende Muster ist unkompliziert:

  • Angreifer verschaffen sich Zugang zu den Systemen oder Konten eines Unternehmens und kopieren sensible Daten.
  • Sie kontaktieren das Opfer mit einer Forderung, oft mit einer Frist.
  • Eine Erpressungswebsite wird genutzt, um Opfer zu benennen, den Diebstahl zu belegen und die Veröffentlichung anzudrohen.
  • Wenn das Opfer nicht zahlt, können die gestohlenen Datensätze geleakt oder verkauft werden.

Die Leak-Seite ist das Druckmittel. Öffentliche Einträge erzeugen Reputationsrisiken, alarmieren Kunden und Aufsichtsbehörden und drängen Führungskräfte zu einer schnellen Entscheidung. Deshalb ist die Identität desjenigen, der eine solche Seite betreibt, für die Ermittler so wichtig: Sie ist die Eingangstür der gesamten Operation.

Warum Lösegeld-Unterhändler und Intermediate unter die Lupe genommen werden

Unterhändler und Wiederherstellungsfirmen existieren, weil viele Organisationen keine Erfahrung im Umgang mit Kriminellen haben. Sie beraten bei der Preisgestaltung, überprüfen, ob gestohlene Daten echt sind, und wickeln manchmal Zahlungen ab. Dieser Zugang zu sensiblen Informationen und dieses Vertrauen schaffen ein klares Interessenkonflikt-Risiko, wenn ein Intermediär von genau dem Verbrechen profitiert, das zu lösen er engagiert wurde.

Diese Sorge ist nicht rein theoretisch. Unsere Berichterstattung über den MonsterCloud-Eigentümer, der eines Lösegeld-Abrechnungssystems über 19 Mio. USD beschuldigt wird, beschreibt Vorwürfe, dass eine Wiederherstellungsfirma Opfern weit mehr in Rechnung stellte, als sie heimlich an Angreifer zahlte. Der ShinyHunters-Fall unterscheidet sich in seinen Einzelheiten und bleibt unbewiesen, aber beide Geschichten werfen dieselbe Frage auf: Wie sehr sollte ein Opfer den Menschen vertrauen, die es in einer Krise engagiert?

Was das für Sie bedeutet

Die meisten Menschen werden nie mit einer Erpressergruppe verhandeln. Aber Sie könnten Kunde, Patient, Mitarbeiter oder Kontoinhaber eines Unternehmens sein, das dies tut. Die praktische Lehre ist, davon auszugehen, dass Ihre Daten, sobald sie sich im Besitz eines Dritten befinden, irgendwann offengelegt werden könnten – unabhängig davon, ob das Unternehmen zahlt.

Die Zahlung eines Lösegelds garantiert keine Löschung. Gestohlene Daten können kopiert, weiterverkauft oder später geleakt werden. Die sicherere Denkweise ist, zu begrenzen, was eine einzelne Datenschutzverletzung Ihnen antun kann.

Geleakte Kontaktdaten und Bestelldatensätze werden häufig für gezielte Betrugsversuche verwendet. Unser Beitrag über die Asus eShop-Datenpanne und das Phishing-Risiko zeigt, wie selbst eine Datenschutzverletzung ohne Zahlungsdaten zu überzeugenden Phishing-Nachrichten führen kann.

So reduzieren Sie Ihre Exposition, wenn ein Unternehmen Opfer einer Datenschutzverletzung wird

Sie können nicht kontrollieren, wie ein Unternehmen Ihre Datensätze schützt, aber Sie können den Schaden verkleinern:

  1. Verwenden Sie einen Passwortmanager. Einzigartige Passwörter für jedes Konto bedeuten, dass ein Leak nicht andere Konten entsperrt.
  2. Aktivieren Sie Multi-Faktor-Authentifizierung. Bevorzugen Sie nach Möglichkeit app-basierte oder Hardware-Methoden gegenüber SMS.
  3. Aktivieren Sie die Überwachung von Datenlecks. Benachrichtigungen sagen Ihnen, wenn Ihre E-Mail oder Anmeldedaten in geleakten Daten auftauchen, damit Sie schnell handeln können.
  4. Teilen Sie weniger Daten. Geben Sie Diensten nur das, was sie wirklich benötigen, und verwenden Sie separate E-Mail-Adressen für unterschiedliche Zwecke.
  5. Seien Sie skeptisch gegenüber unerwarteten Nachrichten. Behandeln Sie nach jeder Datenschutzverletzungs-Mitteilung E-Mails, Textnachrichten und Anrufe, die sich auf Ihr Konto beziehen, mit Vorsicht und gehen Sie direkt zur offiziellen Website, statt auf Links zu klicken.

Zentrale Erkenntnisse

Der Verdacht, dass ein Lösegeld-Unterhändler die ShinyHunters-Erpressungswebsite betrieben hat, ist ein Vorwurf, und weitere Details werden eine Rolle spielen. Dennoch unterstreicht er einen dauerhaften Punkt: Datendiebstahl-Erpressung gedeiht durch Druck, und die Menschen in der Mitte sind nicht immer neutral. Schützen Sie sich, indem Sie Ihre Passwörter stärken, MFA aktivieren, auf Datenschutzverletzungs-Warnungen achten und so wenig personenbezogene Daten wie möglich herausgeben. Mehr darüber, was nach einem Leak passiert, lesen Sie im Beitrag über das Asus eShop-Phishing-Risiko und die MonsterCloud-Abrechnungsvorwürfe.