Shell untersucht Cl0p-Behauptung über 89-GB-Datenleck

Shell bestätigt Untersuchung zu Cl0p-Datendiebstahl-Behauptung

Der Energieriese Shell hat bestätigt, dass er einen möglichen Sicherheitsvorfall untersucht, nachdem die Ransomware-Gruppe Cl0p behauptet hat, etwa 89 GB an Daten des Unternehmens gestohlen zu haben. Die Behauptung ist Teil einer viel größeren Kampagne, bei der Cl0p angibt, Daten von fast 50 multinationalen Organisationen exfiltriert zu haben, darunter Berichten zufolge Philips, GE Aerospace und Fiserv, indem Schwachstellen in PTC Windchill ausgenutzt wurden, einer weit verbreiteten Plattform für Produktlebenszyklus-Management.

Wie bei den meisten Vorfällen mit Cl0p gibt es keine Hinweise darauf, dass Shells Betriebssysteme gesperrt oder Ransomware-Verschlüsselung eingesetzt wurde. Stattdessen scheint die Gruppe ihrem etablierten Vorgehen gefolgt zu sein: Systeme stillschweigend zugreifen, Daten exfiltrieren und dann öffentlich mit einer Drohung auftreten, statt mit einer technischen Störung. Shell hat den Umfang oder die Echtheit der gestohlenen Daten nicht bestätigt, und die Untersuchung läuft noch.

Wie Cl0ps Erpressungsmodell funktioniert

Im Gegensatz zu vielen Ransomware-Betreibern, die Dateien verschlüsseln und Zahlung für einen Entschlüsselungsschlüssel verlangen, setzt Cl0p zunehmend auf reine Datenerpressung. Die Gruppe exfiltriert strukturierte Datenbanken und unverschlüsselte Dateien, oft mithilfe maßgeschneiderter Webshells, die nach der Ausnutzung einer Softwareschwachstelle platziert werden, und kontaktiert dann die Opfer (oder veröffentlicht deren Namen) und fordert Zahlungen in Millionenhöhe im Austausch dafür, das gestohlene Material nicht zu veröffentlichen.

Dieser Ansatz hat für Angreifer mehrere Vorteile. Er überspringt den lauten, störenden Schritt der Verschlüsselung von Systemen, der Sicherheitsteams schnell aufmerksam machen und eine sofortige Incident-Response auslösen kann. Er verlagert den Druck auch vollständig auf das Reputations- und Regulierungsrisiko: Die Drohung ist nicht „Ihre Systeme sind down“, sondern „Ihre Kunden- und Partnerdaten werden veröffentlicht, wenn Sie nicht zahlen“. Diese Unterscheidung ist wichtig dafür, wie Organisationen solche Vorfälle erkennen, darauf reagieren und sie offenlegen, da es möglicherweise keinen offensichtlichen operativen Ausfall gibt, der signalisiert, dass etwas schiefgelaufen ist.

Dieses Muster ist nicht einzigartig für Shell. Ähnliche erpressungsorientierte Taktiken wurden in der Wesco-Untersuchung zu einer Datenleck-Behauptung von ExfilSquad verwendet, wo der Elektrohändler bestätigte, dass er eine behauptete Kompromittierung seiner Systeme prüft, sowie in der Folgeberichterstattung, dass ExfilSquad 2,6 Millionen CRM-Datensätze von Wesco beanspruchte. Das Massenerpressungsmodell zeigte sich auch in großem Umfang bei Vorfällen wie der ShinyHunters-Vishing-Kampagne gegen Charter Communications, die etwa 40 Millionen Kundendatensätze offenlegte. Über diese Fälle hinweg ist der gemeinsame Nenner eine Gruppe, die zuerst Diebstahl behauptet und das betroffene Unternehmen im Chaos zurücklässt, um zu verifizieren und zu reagieren.

Eine Kampagne, die fast 50 Unternehmen betrifft

Was den Shell-Vorfall von einem typischen Einzelunternehmens-Breach unterscheidet, ist das Ausmaß der breiteren Kampagne. Cl0p hat Berichten zufolge fast 50 Organisationen aus mehreren Branchen genannt und die Einbrüche mit der Ausnutzung von Schwachstellen in der PTC-Windchill-Software in Verbindung gebracht. Falls dies zutrifft, deutet dies auf eine koordinierte, schwachstellengetriebene Durchsuchung hin und nicht auf eine Reihe unzusammenhängender, opportunistischer Angriffe. Dieses Muster entspricht der bisherigen Vorgehensweise von Cl0p: ein weit verbreitetes Unternehmenssoftwareprodukt identifizieren, einen Fehler ausnutzen, bevor Patches breit angewendet werden, und Daten von so vielen Kunden wie möglich ernten, bevor man mit den Ergebnissen an die Öffentlichkeit geht.

Für Shell unterstreicht die Nennung neben Dutzenden anderen großen, gut ausgestatteten Unternehmen einen breiteren Punkt: Die Größe oder das Sicherheitsbudget einer Organisation macht sie nicht immun, wenn eine Lieferketten- oder Drittanbieter-Softwareschwachstelle involviert ist. Die Untersuchung steht noch in einem frühen Stadium, und Shell hat noch nicht das volle Ausmaß dessen bestätigt, worauf – wenn überhaupt – zugegriffen wurde.

Was das für Sie bedeutet

Wenn Sie ein Shell-Kunde, -Partner oder -Mitarbeiter sind, gibt es noch keine bestätigten Beweise dafür, dass persönliche Daten offengelegt wurden, aber es lohnt sich, wachsam zu bleiben. Erpressungsbasierte Datenlecks wie dieses betreffen oft Geschäftsunterlagen, Lieferantendaten oder Mitarbeiterinformationen und nicht direkt Kontozugangsdaten von Verbrauchern, obwohl sich das ändern kann, während sich Untersuchungen entfalten. Der sicherste Ansatz ist, auf offizielle Mitteilungen von Shell zu achten und unaufgeforderte E-Mails oder Anrufe, die sich auf diesen Vorfall beziehen, mit Misstrauen zu behandeln, da Datenleck-Nachrichten häufig für Phishing ausgenutzt werden.

Allgemeiner betrachtet ist dieser Vorfall eine Erinnerung daran, dass Datenlecks nicht immer wie ein Unternehmen aussehen, das im traditionellen Sinne „gehackt“ wurde. Wenn Angreifer auf Erpressung statt auf Verschlüsselung setzen, ist das erste öffentliche Anzeichen eines Problems oft die eigene Ankündigung der kriminellen Gruppe, nicht eine interne Warnung des Opfers.

Umsetzbare Erkenntnisse

Überwachen Sie offizielle Shell-Mitteilungen, anstatt sich für Details darüber, welche Daten möglicherweise betroffen sind, auf Behauptungen Dritter zu verlassen. Seien Sie vorsichtig bei Phishing-Versuchen, die sich auf dieses Datenleck beziehen, da Kriminelle oft reale Vorfälle nutzen, um Menschen dazu zu bringen, auf bösartige Links zu klicken. Wenn Sie mit Software wie PTC Windchill arbeiten oder sie verwenden, prüfen Sie umgehend Hersteller-Patches und Sicherheitshinweise, da schwachstellengetriebene Kampagnen wie diese dazu neigen, sich schnell zu bewegen, sobald Details öffentlich werden. Erwägen Sie schließlich, starke, einzigartige Passwörter und Überwachungsdienste zu verwenden, wenn Sie benachrichtigt werden, dass Ihre Daten Teil eines Datenlecks im Zusammenhang mit dieser Kampagne waren, da Cl0ps Geschichte zeigt, dass diesen Behauptungen häufig echte Datenlecks folgen, wenn Lösegelder nicht gezahlt werden.