Der internationale Einzelhandelskonzern 7-Eleven hat einen massiven Datenhack bestätigt. Die japanische Muttergesellschaft Seven & I Holdings, die weltweit etwa 86.000 Filialen in 19 Ländern betreibt, meldete den Sicherheitsvorfall diese Woche den Regulierungsbehörden in mehreren US-amerikanischen Bundesstaaten. Der Konzern betreibt in den USA fast 10.000 Franchise-Lokale.
Nach unternehmensinternen Ermittlungen stellte sich heraus, dass Cyberkriminelle am 8. April erstmals Zugriff auf 7-Eleven-Systeme erlangt hatten, in denen Dokumente von Franchisenehmen gespeichert waren. Die Angreifer erbeuteten personenbezogene Daten einschließlich Namen, Adressen und Sozialversicherungsnummern. Das Unternehmen äußerte sich bislang nicht dazu, welche weiteren vertraulichen Informationen möglicherweise kompromittiert wurden.
Die Cyberkriminellen-Gruppe ShinyHunters, die für großflächige Datendiebstähle und Erpressung bekannt ist, beanspruchte den Angriff für sich. Sie erklärte, dass sie Ende April massive Datenmengen von 7-Eleven von der Cloud-Plattform Salesforce gestohlen habe. 7-Eleven wurde dabei neben Dutzenden anderen Unternehmen aufgelistet, die ShinyHunters im selben Zeitraum attackierte.
ShinyHunters hat sich in den letzten Monaten als zunehmend aggressive Bedrohung erwiesen. Die Gruppe zielt gezielt auf Daten-Speicherlösungen ab und hat zuletzt mit einem Angriff auf den US-amerikanischen Bildungssoftware-Anbieter Instructure einen landesweiten Skandal ausgelöst. Dieser Angriff beeinträchtigte Tausende von Universitäten und Schulen in den USA.
Die US-amerikanische Federal Bureau of Investigation (FBI) warnt vor dieser Gruppe und veröffentlichte kürzlich offizielle Guidance-Dokumente. Die Behörde beschreibt ShinyHunters als spezialisierte Cyberkriminellen-Gruppe, die Großunternehmen in Tech-, Finanz- und Einzelhandelssektoren ins Visier nimmt und dabei regelmäßig Millionen von Kundendatensätzen stiehlt. Das FBI warnt besonders davor, dass gestohlene Daten an andere Cyberkriminelle verkauft oder für Impersonation-Angriffe in der Zukunft missbraucht werden können.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt deutschen Unternehmen, ihre Systeme auf ähnliche Sicherheitslücken zu überprüfen. Organisationen, die von ShinyHunters betroffen sind, sollten umgehend Kontakt mit den Strafverfolgungsbehörden aufnehmen und Lösegeldanforderungen ablehnen.