Die Cyberkriminelle-Gruppe ShinyHunters beansprucht Verantwortung für das Zara-Datenleck und gab an, ein 140-Gigabyte-Archiv mit gestohlenen Dokumenten aus BigQuery-Instanzen erbeutet zu haben. Der Zugriff erfolgte über kompromittierte Anodot-Authentifizierungstokens. Die Bande hatte zuvor der Fachplattform BleepingComputer mitgeteilt, dass sie Daten aus Dutzenden von Unternehmen auf diese Weise gestohlen hat.
ShinyHunters ist nicht zum ersten Mal in großem Stil aktiv: Die Gruppe wird mit einer breiten Palette von Cyberattacken verknüpft, darunter auch Vishing-Kampagnen, die gezielt auf Microsoft-Entra-, Okta- und Google-SSO-Konten von Mitarbeitern abzielen. Nach erfolgreicher Kompromittierung dieser Zugänge versuchen die Kriminellen, in verbundene SaaS-Anwendungen wie Salesforce, SAP, Slack, Adobe, Atlassian und andere einzudringen.
Die Liste der durch ShinyHunters kompromittierten Unternehmen ist beeindruckend: Google, Cisco, PornHub, die Dating-Plattform Match Group, Vimeo, Rockstar Games, der Sicherheitsanbieter ADT, die Europäische Kommission, McGraw Hill und viele weitere. Besonders bemerkenswert ist die wiederholte Kompromittierung von Instructure, bei der die Bande Sicherheitslücken ausnutzte, um Anmeldescreens an rund 330 Hochschulen und Universitäten zu manipulieren.
Für Zara und Inditex bedeutet dies einen erheblichen Reputationsschaden. Das Unternehmen betonte zwar schnell, dass die Kernsysteme unbeeinträchtigt sind und die Sicherheitsprotokolle sofort aktiviert wurden. Die Benachrichtigung der zuständigen Behörden wurde eingeleitet. Allerdings wird der ehemalige Technologie-Dienstleister nicht namentlich genannt – ein Punkt, der Fragen zur Transparenz und Verantwortlichkeit aufwirft.
Die Incident zeigt ein grundsätzliches Sicherheitsrisiko im Ökosystem von Lieferketten und externen Diensteanbietern. Selbst wenn Unternehmen ihre eigenen Systeme gut schützen, können kompromittierte Drittanbieter zum Schwachpunkt werden. Das BSI warnt regelmäßig vor solchen Supply-Chain-Risiken und empfiehlt, Sicherheitsanforderungen auch bei Lieferanten und Dienstleistern zu überprüfen und kontinuierlich zu überwachen.
Betroffene deutsche Nutzer sollten besondere Aufmerksamkeit auf verdächtige E-Mails und Phishing-Versuche legen, da ihre Mailadressen nun in der Hand von Cyberkriminellen sind.