ShinyHunters gehört zu den aktivsten Erpressergruppen im Cyberspace und ist für ihre Methoden gefürchtet: Die Kriminellen nutzen Voice-Phishing-Angriffe, um in Unternehmensnetze einzudringen, exfiltrieren dann großvolumig Daten und erpressen die Opfer mit Veröffentlichungsdrohungen. Bei Charter Communications ist die Drohung offenbar wahr geworden – das Unternehmen zahlte offenbar kein Lösegeld, woraufhin ShinyHunters die gestohlenen Daten am Donnerstag auf ihrem Tor-basierten Leak-Portal zum Download freigab.
Das Ausmaß der Kompromittierung ist erheblich: Über 42 Millionen Datensätze sollen gestohlen worden sein, darunter auch kundeneigene Netzwerkinformationen (CPNI). Allerdings relativiert HaveIBeenPwned die Zahlen: Von den über 42 Millionen Datensätzen sind etwa 4,9 Millionen mit eindeutigen E-Mail-Adressen verknüpft. Diese enthalten Namen, Adressen und Telefonnummern. Hinzu kommen 85.000 Mitarbeiterdatensätze mit beruflichen Bezeichnungen.
Chartered dementierte die schwerwiegendsten Vorwürfe teilweise. In einer Stellungnahme erklärte ein Sprecher des Unternehmens: “Wir sind uns der Situation bewusst, befolgen unsere Sicherheitsprotokolle und arbeiten mit den zuständigen Behörden zusammen. Nur Verkaufstools zur Verwaltung aktueller, ehemaliger und potenzieller Geschäftskunden waren betroffen; es wurden keine CPNI- oder sensiblen persönlichen Informationen durch den Threat Actor freigegeben.”
ShinyHunters ist für eine Serie hochkarätiger Datendiebstähle bekannt. In den letzten zwölf Monaten beanspruchte die Gruppe Bruch bei zahlreichen Salesforce-Kunden, darunter Canvas, CarGurus, Carnival, Panera Bread, 7-Eleven und Grafana. Diese Wiederholungstaten deuten auf ein systematisches und skalierbares Geschäftsmodell hin.
Für Sicherheitsverantwortliche sind solche Fälle ein Weckruf: Voice-Phishing-Angriffe sind schwer zu erkennen, da sie auf menschliche Interaktion abzielen. Das deutsche BSI empfiehlt daher intensive Mitarbeiterschulungen, Multi-Faktor-Authentifizierung und Netzwerk-Segmentierung. Unternehmen sollten zudem Incident-Response-Pläne vorhalten und regelmäßig Penetrationstests durchführen – besonders bei kritischen Infrastrukturen.