7-Eleven, 1927 gegründet, betreibt und franchisiert neben den eigenen Filialen auch Standorte der Marken Speedway, Stripes, Laredo Taco Company sowie Raise the Roost Chicken and Biscuits. In seiner Stellungnahme erklärte das Unternehmen, ein unbefugter Dritter habe am 8. April 2026 Zugriff auf bestimmte Systeme erlangt, in denen Dokumente von Franchisenehmern abgelegt sind. Man nehme die Sicherheit personenbezogener Daten sehr ernst, habe umgehend eine Untersuchung eingeleitet und entschuldige sich für etwaige Unannehmlichkeiten.
Zur Zahl der Betroffenen oder zu den betroffenen Datenkategorien machte 7-Eleven keine Angaben. Auf Anfrage von BleepingComputer, die Behauptungen von ShinyHunters zu bestätigen, war zunächst kein Unternehmenssprecher erreichbar.
ShinyHunters bekannte sich am 17. April zu dem Angriff. Die Gruppe gibt an, nach dem Eindringen in die Salesforce-Umgebung des Konzerns mehr als 600.000 Datensätze mit Unternehmensdaten und personenbezogenen Informationen entwendet zu haben. Weniger als eine Woche nach dem Bekenntnis veröffentlichten die Täter ein 9,4 GB großes Dokumentenarchiv auf ihrer Darknet-Leak-Seite, nachdem das Unternehmen sich geweigert hatte, ein Lösegeld für die Rückgabe und Vernichtung der Daten zu zahlen. Eine Einigung sei trotz „unglaublicher Geduld" und aller gemachten Angebote nicht zustande gekommen, so die Kriminellen.
Bereits im August 2022 hatte 7-Eleven in Dänemark einen Ransomware-Angriff bestätigt, der einige Systeme verschlüsselte und die Schließung von 175 Filialen erzwang.
ShinyHunters nimmt seit rund einem Jahr Salesforce-Kunden ins Visier. Die Gruppe hat nach eigenen Angaben Hunderte Unternehmen kompromittiert und im Rahmen der Salesloft-Drift-Kampagne sowie der jüngeren Datendiebstähle über Salesforce Aura Milliarden von Datensätzen gestohlen. Vergangene Woche teilte der Bildungstechnik-Konzern Instructure mit, eine „Vereinbarung" mit der Gruppe getroffen zu haben, damit die bei einem Angriff erbeuteten Daten nicht veröffentlicht werden.
Zu den weiteren jüngst von ShinyHunters reklamierten Vorfällen zählen die Europäische Kommission, der Videodienst Vimeo, der Bildungsverlag McGraw-Hill, der Medizingerätehersteller Medtronic, der spanische Modehändler Zara, PornHub, Rockstar Games, der Dating-Konzern Match Group, der Sicherheitsanbieter ADT sowie Google und Cisco.
Das FBI riet den Opfern von ShinyHunters am Freitag, den Forderungen der Täter nicht nachzugeben. Die Behörde hatte zuvor gewarnt, dass eine Lösegeldzahlung keine Garantie biete, dass die Täter nicht erneut Erpressungsversuche unternehmen oder die gestohlenen Daten an andere Kriminelle verkaufen.