HBS Group von Gentlemen-Ransomware getroffen, Datenleck angedroht

Australisches Denkmalpflege-Unternehmen auf Ransomware-Leak-Seite genannt

Ein viktorianisches Unternehmen für Denkmalpflege und Restaurierung, die HBS Group, wurde Berichten zufolge auf der Leak-Seite einer Cyber-Erpresserbande namens The Gentlemen gelistet, wie ein exklusiver Bericht von Cyber Daily meldet. Die Gruppe behauptet, in die Systeme des Unternehmens eingedrungen zu sein, und droht damit, innerhalb von sieben Tagen gestohlene Daten zu veröffentlichen, falls ihre Forderungen nicht erfüllt werden. Zum Zeitpunkt dieser Berichterstattung hat die HBS Group noch keine öffentliche Stellungnahme zu dem Vorfall abgegeben, und der konkrete Inhalt der angeblichen Daten wurde nicht unabhängig überprüft.

Solange das Unternehmen die Behauptung nicht selbst bestätigt hat, ist die Nennung auf der Leak-Seite einer Ransomware-Gruppe eine ernstzunehmende Entwicklung. Diese Listen sind in der Regel der Auftakt einer doppelten Erpressungskampagne, bei der Angreifer Daten stehlen, bevor sie eine Verschlüsselung einsetzen (oder damit drohen), und dann die Androhung der Veröffentlichung als Druckmittel nutzen, um Opfer zur Zahlung zu bewegen.

Warum ein Denkmalpflege-Unternehmen zum Ziel wird

Auf den ersten Blick mag ein auf Denkmalpflege und Restaurierung spezialisiertes Unternehmen nicht wie ein naheliegendes Ziel für Ransomware erscheinen – verglichen mit Krankenhäusern, Banken oder Einzelhändlern. Doch Firmen dieser Branche verfügen oft über eine überraschende Menge sensibler Informationen. Restaurierungs- und Denkmalschutzarbeiten umfassen häufig Verträge mit staatlichen Denkmalbehörden, Kommunen, Museen und privaten Immobilieneigentümern, einschließlich Finanzunterlagen, Projektdokumentationen sowie persönlichen Daten von Kunden und Mitarbeitern.

Ransomware-Banden zielen zunehmend auf mittelständische Firmen ab, gerade weil diese möglicherweise über weniger dedizierte Sicherheitsressourcen als Großunternehmen verfügen, aber dennoch Daten besitzen, die wertvoll genug für eine Erpressung sind. Dies folgt einem Muster, das sich in den letzten Monaten bei anderen australischen Datenschutzverletzungen gezeigt hat, einschließlich des Lecks, das die Kosmetikmarke Napoleon Perdis betraf, bei dem Hunderttausende Kundendatensätze von einem Akteur außerhalb des klassischen Ransomware-Modells offengelegt wurden. Die Angreifer werfen ein weites Netz über Branchen, die mit persönlichen und geschäftlichen Daten umgehen, und nicht nur über die Sektoren, die traditionell mit hochkarätigen Datenschutzverletzungen in Verbindung gebracht werden.

Das übergreifende Muster der Datenerpressung

Die Vorgehensweise von Gentlemen – ein Opfer öffentlich zu listen und eine Countdown-Uhr für die Datenfreigabe zu stellen – ist eine im gesamten Ransomware-Ökosystem weit verbreitete Taktik, um maximalen Druck aufzubauen. Sie soll eine schnelle Reaktion erzwingen, bevor ein Unternehmen das Ausmaß eines Angriffs vollständig bewerten oder Betroffene informieren kann. Ähnliche Drucktaktiken wurden beim Cushman & Wakefield Vishing-Angriff beobachtet, bei dem mehrere Cybercrime-Gruppen eine Beteiligung an einem einzigen Vorfall bei einem großen Gewerbeimmobilienunternehmen behaupteten – ein Beleg dafür, wie Erpressergruppen oft um Aufmerksamkeit und Druckmittel konkurrieren, sobald ein Datenleck öffentlich wird.

Diese Vorfälle unterstreichen ein wiederkehrendes Thema: Angreifer müssen keinen bekannten Namen angreifen, um echten Schaden anzurichten. Kleinere, spezialisierte Firmen, die Verträge, Kundendaten und Finanzinformationen verwalten, werden zunehmend zu lohnenden Zielen, und die Folgen für die Personen, deren Informationen in solche Leaks geraten, können ebenso gravierend sein wie bei aufsehenerregenden Sicherheitsverletzungen – etwa dem Fall eines jugendlichen Hackers, der mit dem Bekanntwerden einer 18-Millionen-Datensätze umfassenden Identitätsdatenbank in Frankreich in Verbindung gebracht wird.

Was das für Sie bedeutet

Wenn Sie Kunde, Auftragnehmer oder Mitarbeiter der HBS Group sind – oder einer anderen Organisation, die auf einer Ransomware-Leak-Seite genannt wird – gibt es einige praktische Schritte, die Sie jetzt unternehmen sollten, anstatt auf eine offizielle Bestätigung zu warten.

Erstens: Behandeln Sie jegliche Kommunikation, die angeblich von der HBS Group stammt, mit Vorsicht, bis das Unternehmen Einzelheiten über offizielle Kanäle bestätigt. Auf Erpressungsvorfälle folgen manchmal Phishing-Versuche, die vorgeben, von der betroffenen Organisation zu stammen, oder falsche „Sanierungs“-Dienstleistungen anbieten.

Zweitens: Wenn Sie persönliche, finanzielle oder vertragsrelevante Informationen mit einem Unternehmen aus den Bereichen Denkmalpflege, Restaurierung oder Immobiliendienstleistungen geteilt haben, sollten Sie Ihre Konten und Kreditaktivitäten in den kommenden Wochen auf ungewöhnliche Aktivitäten überwachen. Ransomware-Gruppen setzen ihre Leak-Drohungen oft auch nach Ablauf einer Frist um, daher sollte die Wachsamkeit nicht nach sieben Tagen enden.

Drittens: Unternehmen in ähnlichen Branchen – insbesondere solche, die öffentliche Aufträge, historische Gebäudedaten oder finanzielle Kundendaten verwalten – sollten dies als Anlass nehmen, die Sicherheitspraktiken ihrer Dienstleister, Backup-Protokolle und Notfallpläne zu überprüfen, bevor ein Angriff geschieht.

Ransomware-Bedrohungen immer einen Schritt voraus

Der Fall HBS Group entwickelt sich noch, und es bleibt abzuwarten, ob das Unternehmen den Vorfall bestätigt oder wie mit den angeblichen Daten verfahren wird, falls sie veröffentlicht werden. Klar ist, dass Ransomware-Gruppen wie The Gentlemen weiterhin eine immer breitere Palette von Branchen ins Visier nehmen und öffentliche Leak-Seiten-Listings sowie kurze Fristen als Erpressungswerkzeuge einsetzen.

Für Einzelpersonen liegt die beste Verteidigung in Aufmerksamkeit: Überprüfen Sie Kommunikationswege, achten Sie auf Anzeichen von Missbrauch und vermeiden Sie es, auf unaufgefordert zugesandte Nachrichten im Zusammenhang mit Datenleck-Nachrichten zu reagieren. Für Organisationen ist dieser Vorfall ein weiterer Beleg dafür, dass keine Branche – so traditionell oder nischenartig sie auch sein mag – vor Cyber-Erpressung gefeit ist. Sich darüber zu informieren, wie diese Angriffe ablaufen, und schnell zu handeln, wenn die eigenen Daten betroffen sein könnten, bleibt der wirksamste Weg, den Schaden zu begrenzen, wenn eine solche Datenschutzverletzung ans Licht kommt.