Play-Ransomware trifft Kreysler & Associates und droht mit Datenleck

Play-Ransomware-Gruppe beansprucht neues Opfer

Die Play-Ransomware-Gruppe hat Kreysler & Associates ihrer Liste der Opfer hinzugefügt, wie das Threat-Intelligence-Unternehmen DeXpose berichtet. Wie es dem typischen Vorgehen der Gruppe entspricht, geben die Angreifer an, Daten aus den Systemen des Unternehmens exfiltriert zu haben, und drohen mit deren Veröffentlichung, falls es nicht zu Verhandlungen kommt. Eine Lösegeldforderung, eine Frist oder konkrete Datenkategorien wurden zu diesem Zeitpunkt noch nicht öffentlich bestätigt, doch allein die Nennung auf der Leak-Seite einer Ransomware-Gruppe ist oft das erste sichtbare Anzeichen dafür, dass eine Organisation einem schwerwiegenden Netzwerkangriff zum Opfer gefallen ist.

Dieser Vorfall folgt einem Muster, das in den letzten Jahren auf beunruhigende Weise vertraut geworden ist. Ransomware-Gruppen verzichten zunehmend auf den lauten, leicht zu erkennenden Verschlüsselungsschritt und kopieren stattdessen im Stillen sensible Dateien, bevor sie öffentlich drohen. Diese als doppelte Erpressung bekannte Entwicklung gibt den Angreifern Druckmittel, selbst wenn das Opfer über gute Backups verfügt und Systeme ohne Zahlung wiederherstellen kann. Der Schaden besteht nicht mehr in gesperrten Dateien; es geht darum, was mit den Daten geschieht, sobald sie außerhalb der Kontrolle des Unternehmens sind.

Wer hinter der Play-Ransomware-Gruppe steckt

Play-Ransomware hat sich den Ruf einer der derzeit produktivsten Erpressungsoperationen erarbeitet und wurde mit Hunderten von Angriffen auf Organisationen in zahlreichen Branchen und Ländern in Verbindung gebracht. Das Vorgehen der Gruppe umfasst in der Regel den anfänglichen Zugang zu einem Zielnetzwerk, die laterale Bewegung zur Identifikation wertvoller Datenspeicher, das Exfiltrieren von Dateien und anschließend entweder die Verschlüsselung von Systemen, die Androhung der Veröffentlichung oder beides. Die Opfer werden üblicherweise auf ein Verhandlungsportal verwiesen, wobei die Drohung mit einer öffentlichen Datenablage als Druckmittel dient, um schnell und still zu zahlen.

Es ist nicht das erste Mal, dass Play ein Unternehmen auf eine Weise ins Visier nimmt, die sensible persönliche oder betriebliche Daten gefährdet. Ein ähnlicher Fall – der Play-Ransomware-Angriff auf Ampex Data Systems – zeigte, wie die Taktiken der Gruppe hochsensible Datensätze, darunter Sozialversicherungsnummern und Finanzkontodaten, offenlegen können, sobald Verhandlungen scheitern oder ignoriert werden. Der Fall Kreysler & Associates folgt demselben Drehbuch: das Opfer öffentlich benennen, Zeitdruck aufbauen und die Androhung der Bloßstellung als zentrales Druckmittel einsetzen.

Warum das für den Datenschutz relevant ist – nicht nur für die IT-Sicherheit

Es ist verlockend, Ransomware-Vorfälle wie diesen lediglich als IT- oder Business-Continuity-Problem des betroffenen Unternehmens zu betrachten. Doch die Auswirkungen auf den Datenschutz reichen oft weit über die eigenen Mauern der Organisation hinaus. Sollte Kreysler & Associates Daten von Mitarbeitern, Kunden, Auftragnehmern oder Geschäftspartnern verarbeitet haben, könnten all diese Informationen bei einer Exfiltration erfasst und im Falle gescheiterter Verhandlungen möglicherweise online veröffentlicht werden.

Dies ist ein wiederkehrendes Thema in jüngsten Ransomware-Offenlegungen. In einem viel beachteten Fall zahlte Weil Gotshal Berichten zufolge zwischen 18 und 20 Millionen US-Dollar an eine Cyber-Erpressergruppe, nachdem vertrauliche Mandantenunterlagen gestohlen worden waren – ein Beispiel dafür, wie kostspielig und sensibel gestohlene Unternehmensdaten werden können. Andernorts zeigen Angriffe wie jener auf Soja de Portugal, bei dem 491 GB Daten geleakt wurden, welches Ausmaß solche Datenablagen erreichen können, sobald eine Gruppe ihre Drohung wahr macht. Und Sicherheitsverletzungen, die mehrere Institutionen gleichzeitig betreffen, wie zu sehen war, als eine einzelne Ransomware-Gruppe ANC, SAA und Pick n Pay traf, zeigen, wie eine erfolgreiche Eindringungsmethode eine ganze Branche in Mitleidenschaft ziehen kann.

Unabhängig davon, ob Kreysler & Associates den Umfang dieses Vorfalls letztlich bestätigt, ist das Muster klar: Ransomware-Gruppen setzen darauf, dass die Androhung öffentlicher Bloßstellung mehr Wirkung erzielt als Verschlüsselung allein jemals vermochte.

Was bedeutet das für Sie?

Wenn Sie Kunde, Mitarbeiter oder Geschäftspartner von Kreysler & Associates sind, besteht kein Grund zur Panik, aber Wachsamkeit ist angebracht. Achten Sie auf offizielle Mitteilungen des Unternehmens zu diesem Vorfall und seien Sie in den kommenden Wochen vorsichtig bei unerwünschten E-Mails oder Anrufen, die vorgeben, vom Unternehmen oder einem verbundenen Dienst zu stammen. Datenlecks ziehen häufig Phishing-Versuche nach sich, bei denen gestohlene Details genutzt werden, um legitim zu erscheinen.

Grundsätzlich erinnert dieser Fall daran, dass Ransomware-Angriffe selten auf die internen Systeme einer einzelnen Organisation beschränkt bleiben. Jeder, dessen persönliche oder finanzielle Informationen ein Unternehmen durchlaufen – sei es als Mitarbeiter, Kunde oder Lieferant –, hat ein Interesse daran, wie ernst dieses Unternehmen die Datensicherheit nimmt.

Umsetzbare Empfehlungen

Wenn Sie glauben, dass Ihre Daten möglicherweise mit Systemen von Kreysler & Associates oder einer ähnlichen Organisation in Berührung gekommen sind, sollten Sie folgende Schritte in Betracht ziehen: Überwachen Sie Ihre Finanzkonten und Kreditberichte auf ungewöhnliche Aktivitäten, aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, und behandeln Sie unerwartete E-Mails oder Nachrichten, die sich auf Kontoprobleme beziehen, mit Skepsis, bis sie über offizielle Kanäle bestätigt sind. Unternehmen sollten solche Vorfälle zum Anlass nehmen, ihre eigene Anfälligkeit für doppelte Erpressung zu überprüfen, sicherzustellen, dass Backups getestet und vom primären Netzwerk isoliert sind, und zu bestätigen, dass die Incident-Response-Pläne nicht nur Systemausfälle, sondern auch Datenexfiltration abdecken. Während Play-Ransomware und ähnliche Gruppen weiterhin Organisationen branchenübergreifend ins Visier nehmen, bleibt proaktive Vorbereitung die zuverlässigste Verteidigung dagegen, als nächster Name auf einer Leak-Seite zu erscheinen.