Ein öffentliches Dossier auf der Threat-Intelligence-Plattform Darkfield führt RingCentral, Inc. als angebliches Opfer der Erpressergruppe Shinyhunters auf, wobei der Eintrag vermerkt, dass mit dem Unternehmen verbundene Daten geleakt wurden. RingCentral ist einer der größten Anbieter cloudbasierter Geschäftskommunikation in den Vereinigten Staaten und bietet Telefon-, Messaging- und Videodienste für Organisationen aller Branchen an, weshalb jede glaubwürdige Behauptung gegen das Unternehmen genau beobachtet werden sollte, auch bevor alle Einzelheiten überprüft sind.

Was Shinyhunters behauptet, von RingCentral gestohlen zu haben

Laut dem Darkfield-Dossier enthält der Eintrag den ursprünglichen Leak-Post, einen Screenshot und kontextbezogene Informationen, die den Vorfall mit anderen Opfern derselben Gruppe in Verbindung bringen. Der Eintrag ordnet RingCentral dem Technologiesektor zu und kennzeichnet den Fall als „data leaked“ – eine Formulierung, die Threat-Intelligence-Tracker verwenden, um anzuzeigen, dass die Gruppe Material veröffentlicht oder angeboten hat, anstatt nur damit zu drohen. Wie bei solchen Dossiers üblich, listet der öffentliche Datensatz nicht jede betroffene Datei oder jeden Datensatztyp auf, und RingCentral hat zum Zeitpunkt der Erstellung dieses Textes noch keine detaillierte Stellungnahme zu dieser spezifischen Behauptung abgegeben. Die Lücke zwischen einer Behauptung und einem bestätigten, detaillierten Datenleck ist in der Anfangsphase solcher Vorfälle normal, und es ist angebracht, die Behauptung ernst zu nehmen, ohne ein Urteil über den vollen Umfang zu fällen.

Wer ist betroffen und welche Daten sind gefährdet

Plattformen für Unternehmenskommunikation stehen im Zentrum des täglichen Betriebs von Organisationen, weshalb sie attraktive Ziele sind. Ein Datenleck bei einem Unternehmen wie RingCentral könnte theoretisch jene Arten von Daten offenlegen, die auf diesen Plattformen anfallen: Anmeldedaten, Anrufprotokolle, Nachrichteninhalte, Kontaktverzeichnisse und administrative Konfigurationsdetails, die IT-Teams zur Verwaltung der Telefon- und Videosysteme einer Organisation nutzen. Da RingCentral hauptsächlich von Unternehmen und nicht von einzelnen Privatkunden genutzt wird, sind in einem solchen Vorfall in der Regel die Mitarbeiter der Kundenorganisationen am unmittelbarsten betroffen, ebenso wie die Kunden und Partner, mit denen diese Mitarbeiter kommunizieren. Die Preisgabe von Anmeldedaten ist oft das unmittelbar gefährlichste Ergebnis, da wiederverwendete Passwörter oder offengelegte Login-Tokens es Angreifern ermöglichen können, noch lange nach dem ursprünglichen Leak in andere verbundene Systeme einzudringen.

Das Muster von Shinyhunters: Ransomware, Erpressung und frühere Opfer

Diese Behauptung steht nicht isoliert da. Shinyhunters hat eine Erfolgsbilanz darin aufgebaut, Opfer aus verschiedenen Branchen öffentlich zu nennen und sie unter Druck zu setzen, indem geleakte Daten als Druckmittel eingesetzt werden – ein Muster, das in anderen jüngeren, von der Gruppe beanspruchten Fällen sichtbar ist. Der angebliche Datenleck bei Baker Distributing, einem der größten Distributoren für HVAC- und Gastronomieausstattung in den USA, hat Berichten zufolge rund 260.000 Datensätze offengelegt. In einer separaten und aggressiveren Kampagne ging die Gruppe weit über stillen Datendiebstahl hinaus und verunstaltete Schul-Login-Portale der Canvas-Plattform mit Lösegeldforderungen, um den Druck auf die Opfer zu erhöhen. Zusammengenommen deuten diese Fälle auf eine Gruppe hin, die eine fortlaufende Kampagne gegen eine Reihe von Organisationen betreibt, anstatt ein einzelnes, isoliertes Ziel zu verfolgen, und das Auftauchen von RingCentral im Darkfield-Dossier passt zu diesem breiteren Muster.

Was das für Sie bedeutet

Wenn Ihr Unternehmen RingCentral nutzt, ist die sinnvollste Reaktion im Moment nicht Panik, sondern Vorbereitung. Ein Datenleck bei RingCentral, ob bestätigt oder nur behauptet, ist eine Erinnerung daran, dass die Sicherheit der Zugangsdaten wichtiger ist als die Infrastruktur eines einzelnen Anbieters. Administratoren sollten die Anmeldeaktivitäten auf Auffälligkeiten überprüfen, sicherstellen, dass die Multi-Faktor-Authentifizierung für alle Konten aktiviert ist, und die Anmeldeinformationen aller Benutzer mit erhöhten administrativen Rechten erneuern. Mitarbeiter, die dasselbe Passwort für RingCentral und andere Dienste verwenden, sollten es überall dort ändern, wo es genutzt wird, und nicht nur auf der betroffenen Plattform.

Es lohnt sich auch, klarzustellen, was ein VPN in diesem Fall leisten kann und was nicht. Ein VPN verschlüsselt Ihre Verbindung und kann helfen, Daten während der Übertragung zu schützen oder Ihr Surfverhalten vor netzwerkbasierter Überwachung abzuschirmen, aber es kann keinen Schaden rückgängig machen, der bereits innerhalb der Systeme eines Unternehmens entstanden ist, bevor die Daten zu Ihnen gelangt sind. Wenn Anmeldedaten, Anrufprotokolle oder Nachrichteninhalte bereits geleakt wurden, wird ein nachträglich auf Ihrem Gerät gestartetes VPN diese Informationen nicht zurückholen oder von den Stellen entfernen, an denen sie veröffentlicht wurden. VPNs bleiben als eine Schicht einer umfassenderen Sicherheitsroutine nützlich, aber sie sind kein Ersatz für starke, einzigartige Passwörter, Multi-Faktor-Authentifizierung und schnelles Handeln, sobald ein Datenleck bekannt wird.

Der nächsten Behauptung zuvorkommen

Die Behauptung eines Datenlecks bei RingCentral unterstreicht eine allgemeinere Wahrheit: Plattformen für Unternehmenskommunikation stehen mittlerweile ebenso im Visier von Erpressergruppen wie Shinyhunters wie Distributoren, Schulen und andere Organisationen, die die Gruppe zuvor angegriffen hat. Unabhängig davon, ob RingCentral den vollen Umfang dieses Vorfalls bestätigt oder nicht, profitieren Nutzer und IT-Administratoren am meisten, wenn sie jetzt handeln, anstatt auf eine offizielle Bestätigung zu warten. Aktivieren Sie die Multi-Faktor-Authentifizierung überall dort, wo sie noch nicht aktiv ist, überprüfen Sie regelmäßig die Kontozugriffe, vermeiden Sie die Wiederverwendung von Passwörtern für verschiedene Geschäftstools und behalten Sie die offiziellen Mitteilungen von RingCentral im Auge, um auf dem Laufenden zu bleiben. Jede glaubwürdige Leak-Behauptung als Anlass für eine schnelle Sicherheitsüberprüfung zu betrachten und nicht als isolierte Nachricht, ist der zuverlässigste Weg, um den Schaden beim nächsten Mal zu begrenzen, wenn eine Gruppe wie Shinyhunters ein neues Opfer nennt.