Cyberangriff auf ukrainische Behörde ARMA während Verfahrens um beschlagnahmte IDS-Ukraine-Anteile

ARMA teilte mit, der jüngste Cyberangriff habe die Behörde in einer Phase getroffen, in der sie die Auswahl eines Verwalters für die beschlagnahmten Unternehmensrechte an IDS Ukraine vorbereitet. Das Unternehmen zählt zu den größten Herstellern von abgefülltem Mineralwasser und Getränken in der Ukraine.

Die Behörde prüft nach eigenen Angaben, ob mehrere Vorfälle Teil eines abgestimmten Versuchs sein könnten, den Wettbewerb um die IDS-Ukraine-Vermögenswerte zu untergraben. Öffentliche Belege, die den Cyberangriff mit bestimmten Gruppen oder Personen in Verbindung bringen, legte ARMA bislang nicht vor.

Die amtierende ARMA-Leiterin Yaroslava Maksymenko erklärte, während der Jahre, in denen russisches oligarchisches Kapital in der Ukraine tätig gewesen sei, sei ein Netzwerk von Personen entstanden, die bereit seien, dessen Interessen innerhalb des Landes zu dienen. Konkrete mutmaßliche Urheber des Angriffs benannte die Behörde jedoch nicht.

Neben dem aktuellen Vorfall meldete ARMA weitere Hinweise auf vermutete unrechtmäßige Eingriffe in ihre Arbeit seit dem Frühjahr. Dazu gehöre auch ein unbefugter Zugriff auf eine interne Datenbank von ARMA-Funktionsträgern. Auch hierzu veröffentlichte die Behörde keine technischen Einzelheiten.

Trotz der Vorfälle soll das Verfahren zur Auswahl eines Verwalters für die IDS-Ukraine-Vermögenswerte nach Angaben von ARMA wie geplant fortgesetzt werden. Die Ukraine hatte die Unternehmensrechte russischer Anteilseigner an IDS Ukraine Ende 2022 nach dem großangelegten russischen Angriff eingezogen. Zu den Anteilseignern des Unternehmens gehört Mikhail Fridman, russischer Milliardär und Mitgründer der Alfa-Bank.

Fridman steht seit dem russischen Einmarsch auf Sanktionslisten der Ukraine und mehrerer westlicher Regierungen. ARMA erklärte, sanktioniertes russisches Kapital dürfe nicht die Kontrolle über in der Ukraine beschlagnahmte Vermögenswerte behalten. Die Behörde sprach zudem von Widerstand gegen die Übertragung von IDS Ukraine in eine unabhängige Verwaltung, nannte aber nicht, wen sie einer Einflussnahme auf das Verfahren verdächtigt.

Es ist nicht das erste Mal, dass ARMA mit einer mutmaßlich russlandbezogenen Cyberbedrohung konfrontiert ist. Im April erklärten ukrainische Staatsvertreter, Mitarbeiter der Behörde seien Ziel einer Cyberspionagekampagne gewesen, die APT28 zugeschrieben werde. Die russlandnahe staatliche Hackergruppe ist auch unter den Namen Fancy Bear, BlueDelta und Forest Blizzard bekannt.

Maksymenko sagte damals, den Angreifern sei es nicht gelungen, in die internen Systeme von ARMA einzudringen. Beim jetzt gemeldeten Vorfall beschränkt sich die Behörde bislang auf die Mitteilung, dass der SBU ermittelt und dass sie einen möglichen Zusammenhang mit den laufenden Verfahren um IDS Ukraine untersucht.