Erpressung nach Datenleck bei Flink setzt Kunden und Mitarbeitende unter Druck
Cyberangriff legt Kundendaten offen und löst massenhafte Erpressermails aus
Nach einem Einbruch in ein internes Bestellsystem des Lieferdienstes Flink haben bislang unbekannte Täter personenbezogene Daten von Kundinnen, Kunden und Beschäftigten kopiert und die Herausgabe dieser Daten zur Erpressung genutzt. Das Unternehmen reagierte nach eigenen Angaben nicht auf Lösegeldforderungen, daraufhin wandten sich die Kriminellen direkt an Kundinnen und Kunden mit kleinen Zahlungsaufforderungen in Kryptowährung.
Laut Flink wurde ein Order Hub, ein kleines dezentrales Lager für Kurzlieferungen, kompromittiert. Nachdem der unberechtigte Zugriff identifiziert und gestoppt worden sei, fanden die Angreifer nach Firmenangaben Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern in den erbeuteten Datensätzen. In einzelnen Fällen seien auch Lieferhinweise wie Stockwerkangaben abgeflossen. Finanzdaten, Passwörter und Kreditkarteninformationen sollen nicht betroffen sein.
Erpresser setzen auf Crowdfunding-Prinzip
Die Täter fordern in den versendeten E-Mails einzelne Kleinstbeträge von je 0,005 ETH, was aktuell rund 10 Euro entspricht, und hoffen so, insgesamt bis zu 100 ETH zu sammeln. Das entspricht in etwa 230 000 Euro. Sollte der Betrag zusammenkommen, versprechen die Erpresser die Löschung der Daten, andernfalls drohten sie mit dem Verkauf der Informationen im Deep Web. In den Niederlanden sollen nach Berichten dortiger Medien mindestens 10 000 Empfängerinnen und Empfänger betroffen sein, die Nachrichten kommen teils von einer bislang wenig bekannten Gruppierung, die sich in den Schreiben als «LPG Group» bezeichnet.
Die Angreifer nutzten gefälschte Absender und personalisierte Anreden, um Glaubwürdigkeit zu erzeugen. Flink hat nach eigenen Angaben über eine Abuse-Meldung beim genutzten Mailprovider versucht, die Flut an Schreiben einzudämmen. Gleichzeitig warnte das Unternehmen Kundinnen, Kunden und Mitarbeitende, keinesfalls auf Erpresserschreiben zu reagieren und keine Zahlungen zu leisten.
Behörden, Aufarbeitung und Vorsicht für Betroffene
Der Vorfall wurde angezeigt, die zuständige Datenschutzbeauftragte des Landes Berlin sowie weitere Behörden wurden informiert. Externe IT-Forensiker sollen bei der Aufklärung helfen. Flink teilte mit, das Bundesamt für Sicherheit in der Informationstechnik BSI bislang nicht eingeschaltet zu haben.
Als Konsequenz aus dem Vorfall raten Sicherheitsfachleute: keine Antworten auf Erpressermails, keine Zahlungen und stattdessen Anzeige bei der Polizei erstatten. Wer betroffen ist, sollte besonders wachsam gegenüber Phishing-Attacken sein und verdächtige Nachrichten melden. Rechtlich dürfte das Unternehmen sich womöglich erklären müssen, weil personenbezogene Daten offenkundig nicht ausreichend geschützt waren.
Flink-Kundinnen und -Kunden sowie Mitarbeitende sollten prüfen, ob sie ungewöhnliche Kontakte erhalten haben, und die offiziellen Support-Kanäle des Unternehmens nutzen, um sich zu informieren. Externe Beratung durch Datenschutz- oder IT-Sicherheitsexperten kann zusätzliche Sicherheit bieten.
