Royal-Ransomware veröffentlicht in zwei Monaten Daten von fast 60 Opfern

Eine Welle neuer Opfer erreicht das Darknet

Eine als Royal bekannte Ransomware-Gruppe hat in den letzten zwei Monaten Daten von fast 60 Opfern veröffentlicht, wie Berichte über die Aktivitäten der Gruppe zeigen. Dieses Tempo signalisiert eine Operation, die nicht langsamer wird, und es bringt eine wachsende Zahl von Organisationen – und damit auch deren Mitarbeiter und Kunden – in die Gefahr, dass sensible Informationen öffentlich zugänglich gemacht werden.

Royal-Ransomware folgt dem, was Sicherheitsforscher als doppelte Erpressung (Double Extortion) bezeichnen. Anstatt die Dateien eines Opfers lediglich mit Verschlüsselung zu sperren, stiehlt die Gruppe die Daten, bevor sie verschlüsselt werden. Weigert sich ein Opfer zu zahlen, veröffentlicht Royal gestohlene Dateien oder Opfernamen auf einer Leak-Seite und nutzt die öffentliche Bloßstellung als zusätzlichen Hebel, um die Zahlung zu erzwingen. Diese Taktik ist in weiten Teilen des Ransomware-Ökosystems zum Standard geworden, doch die schiere Zahl der in so kurzer Zeit veröffentlichten Opfer unterstreicht, wie aktiv und organisiert diese Operationen inzwischen sind.

Wie das Prinzip der doppelten Erpressung funktioniert

Die Mechanismen hinter Royals Angriffen sind einfach, aber wirkungsvoll. Sobald die Gruppe Zugang zu einem Netzwerk erlangt hat, exfiltriert sie Daten – häufig Finanzunterlagen, Mitarbeiterinformationen oder Kundendaten –, bevor sie Verschlüsselungs-Malware einsetzt, die die Systeme lahmlegt. Die Opfer werden dann kontaktiert, in der Regel über ein Tor-basiertes Verhandlungsportal, und erfahren, dass sie zahlen müssen, um einen Entschlüsselungsschlüssel zu erhalten und zu verhindern, dass ihre gestohlenen Daten veröffentlicht oder verkauft werden.

Diese Kombination aus Verschlüsselung und Datendiebstahl erhöht den Druck erheblich. Selbst Organisationen mit soliden Backups, die ihre Systeme andernfalls ohne Lösegeldzahlung wiederherstellen könnten, sehen sich weiterhin mit der Gefahr einer öffentlichen Datenveröffentlichung konfrontiert. So müssen die Opfer nicht nur Betriebsunterbrechungen, sondern auch Reputationsschäden, regulatorische Konsequenzen und die Auswirkungen auf die Privatsphäre all jener abwägen, deren Daten von dem Vorfall betroffen sind.

Ransomware-Angriffe auf Einrichtungen, die große Mengen personenbezogener Daten speichern, zeigen, wie störend solche Vorfälle sein können. Der jüngste Ransomware-Angriff auf die Mount Royal University, bei dem personenbezogene Daten von Studierenden und Beschäftigten offengelegt wurden, erinnert daran, dass kein Sektor immun ist und dass die Folgen eines einzigen Eindringens Tausende von Menschen treffen können, die keinerlei direkten Einfluss auf die Sicherheitsentscheidungen einer Organisation hatten.

Warum die Lösegeldforderungen weiter steigen

Die mit Royals Angriffen verbundenen Lösegeldforderungen liegen Berichten zufolge je nach Größe des Zielunternehmens und seiner vermuteten Zahlungsfähigkeit zwischen mehreren Hunderttausend und mehreren Millionen Dollar. Diese Spanne spiegelt einen breiteren Trend in der Ransomware-Landschaft wider: Angreifer recherchieren ihre Opfer zunehmend im Voraus, um Forderungen zu stellen, die schmerzhaft, aber nicht so extrem sind, dass sie eine Zahlungsverweigerung geradezu garantieren.

Auch die Nutzung Tor-basierter Kommunikationskanäle für die Verhandlungen zeigt, dass diese Gruppen mit einem gewissen Maß an operativer Raffinesse agieren und eine anonymisierte Infrastruktur verwenden, um ihre Identität zu verschleiern, während sie zugleich etwas abwickeln, das einer Geschäftsverhandlung gleicht – mit Fristen und Preisstufen.

Was das für Sie bedeutet

Für die meisten Leser ist das unmittelbare Risiko durch eine Gruppe wie Royal indirekt: Es entsteht durch die Organisationen, mit denen Sie interagieren – sei es Ihr Arbeitgeber, eine Schule, ein Gesundheitsdienstleister oder ein Online-Dienst, den Sie nutzen. Wenn eine dieser Stellen kompromittiert wird, können Ihre persönlichen Daten – Namen, Kontaktdaten, Finanzinformationen oder Gesundheitsakten – im Zuge des Erpressungsprozesses veröffentlicht oder verkauft werden.

Deshalb ist es wichtig, auf Benachrichtigungen über Datenschutzverletzungen zu achten. Wenn ein Unternehmen oder eine Einrichtung, mit der Sie in Verbindung stehen, einen Ransomware-Vorfall meldet, nehmen Sie das ernst, auch wenn die erste Stellungnahme die Auswirkungen herunterspielt. Angriffe mit doppelter Erpressung bedeuten, dass gestohlene Daten später wieder auftauchen können, manchmal Wochen oder Monate nach dem ursprünglichen Vorfall. Ständige Wachsamkeit ist daher nützlicher als eine einmalige Überprüfung.

Konkrete Schritte, um sich zu schützen

Sie können ein Unternehmen zwar nicht davor bewahren, selbst zum Ziel zu werden, aber Sie können Ihr eigenes Risiko verringern. Verwenden Sie für jedes Konto ein eigenes, starkes Passwort, damit ein einziger Datenabfluss nicht mehrere Dienste gefährdet. Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, insbesondere bei Finanz- und E-Mail-Konten. Überprüfen Sie Ihre Kreditauskünfte und Kontoauszüge auf ungewöhnliche Aktivitäten – vor allem, wenn Sie eine Benachrichtigung über einen Datenschutzverstoß bei einer von Ihnen genutzten Organisation erhalten.

Es lohnt sich auch, darauf zu achten, wie die Organisationen, auf die Sie angewiesen sind, über Sicherheitsvorfälle kommunizieren. Unternehmen, die bei Ransomware-Angriffen transparent sind und die Betroffenen schnell benachrichtigen, geben Ihnen eine bessere Chance zu reagieren, bevor gestohlene Daten echten Schaden anrichten.

Das Tempo von Royal Ransomware – fast 60 veröffentlichte Opfer in zwei Monaten – ist ein deutliches Signal, dass Angriffe mit doppelter Erpressung eine hartnäckige und sich weiterentwickelnde Bedrohung bleiben. Sich darüber zu informieren, wie diese Gruppen arbeiten, und grundlegende Vorsichtsmaßnahmen bei den eigenen Konten und Daten zu treffen, bleibt die praktischste Verteidigungsmaßnahme für Privatpersonen, die letztlich die Auswirkungen dieser Angriffe zu spüren bekommen.