Die israelische Sicherheitsfirma Gambit Security präsentierte am Dienstag Forschungsergebnisse, die die Hacktivist-Gruppe „Ababil of Minab” direkt mit dem iranischen Geheimdienst MOIS verbinden. Die Gruppe hatte den Angriff auf das LACMTA-Verkehrssystem selbst gestanden und behauptete, Daten exfiltriert und die Infrastruktur zerstört zu haben. Gambit-Forscher identifizierten forensische Hinweise, die „Ababil of Minab” mit früheren Iran-gestützten Hackerangriffen verknüpfen – Anschläge, die Israels National Cyber Directorate bereits dem iranischen Geheimdienst zugeordnet hat.
Das besonders Bemerkenswerte: Die neuen Taktiken. Die Angreifer wenden ein Playbook an, das mehrere Schichten durchdringt – Virtualisierung, Speicherinfrastruktur und Backup-Systeme. Sie löschen nicht nur Daten, sondern sabotieren auch die Wiederherstellungsmöglichkeiten durch automatisierte Scripts und manuelle Eingriffe. Ein Sicherheitsexperte hätte früher diese Kompetenzen benötigt; heute kollabiert die erforderliche Expertise parallel zur wachsenden Verfügbarkeit künstlicher Intelligenz.
Die Forscher identifizierten mehrere weitere Opfer: eine israelische Medienorganisation, eine israelische Universität, ein türkisches Versicherungsmaklerhaus, Institutionen in Saudi-Arabien sowie Websites aus Restaurant-, Kultur-, Digital-Service- und Nachrichtenbranche. Das Ausmaß der Kampagne ist damit erheblich größer als initial bekannt.
Dies ist nicht das erste Mal, dass MOIS-gestützte Gruppen als unabhängige Aktivisten auftreten. Nach dem Cyberangriff auf den Medizingeräte-Hersteller Stryker im März beanspruchte eine Gruppe namens „Handala” die Verantwortung. Das US-Justizministerium und Experten bestätigten später: Handala wird von MOIS finanziert und gesteuert. Der Stryker-Angriff lähmte das Unternehmen durch Löschung von Mitarbeiterdaten und Systemen.
Für deutsche Sicherheitsverantwortliche sind diese Erkenntnisse ein Weckruf. Die Kombination aus staatlicher Akteur-Tätigung, strategischer Zerstörung kritischer Infrastruktur und absichtlicher Verschleierung der Verantwortlichkeit entspricht einem neuen Eskalationsmuster. Das BSI sollte deutsche Betreiber kritischer Infrastruktur warnen und Richtlinien zur Sicherung von Virtualisierungs- und Backup-Systemen aktualisieren. Die Bundesregierung ist aufgefordert, derartige Operationen intensiver zu überwachen und im diplomatischen Kontext zu adressieren.