Hunt.io ordnet die Angriffe keinem konkreten Akteur zu, verweist aber auf chinesischsprachige Code-Kommentare und Ordnernamen. Zusammen mit dem strategischen Interesse an dem entwendeten Material deutet das nach Einschätzung des Unternehmens auf einen chinesischsprachigen Täter hin — von einer staatlichen Gruppe spricht Hunt.io ausdrücklich nicht.
“Wir haben keine chinesische Staatsgruppe benannt, weil Sprache einer der am leichtesten zu platzierenden Indikatoren ist”, sagt Esteban Borges, Forschungsleiter bei Hunt.io. Er wolle nicht behaupten, es handle sich um eine falsche Flagge, es gebe dafür keine Belege — auszuschließen sei das allein anhand der Sprache aber nicht, weshalb man bei der Formulierung “Sprecher” geblieben sei.
Auf dem Server lagen zudem drei verbreitete Open-Source-Frameworks für offensive Operationen. Hinweise darauf, dass sie gegen die betroffenen Organisationen eingesetzt wurden, fand Hunt.io nicht. “Alles, was wir gesehen haben, war Sammeln und Abfließen, keine Werkzeuge zur Störung”, sagt Borges. Der Marine-Schiffbauer arbeite für die Navy, was zu Interessen im Südchinesischen Meer passe — nichts von dem Geborgenen deute jedoch auf Vorbereitungen für eine zerstörerische Wirkung hin.
Von den knapp 1,2 GB auf dem Amsterdamer Server ließen sich nur rund 372 MB als Opferdaten einordnen. Eine Tabelle, die nach dem der Atombehörde übergeordneten Ministerium benannt war, dokumentiert allerdings einen erheblich größeren Umfang: Demnach sollen 9 GB aus der Behörde abgezogen und anschließend vom Server verschoben worden sein. Bestätigen könne man das nicht, sagt Borges; Zugangsdaten, Dokumente und Datenbestände sprächen jedoch für einen breiteren Einbruch.
“Wir haben nichts gesehen, was die Systeme berührt, die einen Reaktor oder eine Werft betreiben”, so Borges. Mitgenommen worden seien aber die Datenbank zu Kernkomponenten eines Forschungsreaktors, Brennstoffinventare, Strahlenschutzdokumente, eine Liste autorisierter Nutzer sowie viele Personal- und Zugangsdatenbestände. Laut Bericht ergibt das im Ergebnis eine technische Blaupause der Nuklearanlage. Die Personalordner enthalten Lebensläufe, Passdokumente, Aufzeichnungen über Auslandsreisen und die für philippinische Amtsträger vorgeschriebenen Vermögenserklärungen (SALN-Formulare). Hinzu kommen Entwicklungsgeheimnisse und Anmeldedaten, darunter ein funktionierender Zugang zur ownCloud-Instanz der Behörde. Auch für den Marine-Zulieferer enthielten die Unterlagen Details, die eine erneute Kompromittierung ermöglichen könnten.
Der Vorfall fällt in eine Phase steigender Angriffszahlen: Nach einem Bericht des vietnamesischen Sicherheitsdienstleisters Viettel Security haben sich Einbruchsvorfälle auf den Philippinen im ersten Halbjahr 2026 gegenüber dem Vorjahreszeitraum nahezu verdreifacht. 51 Prozent der Angriffe richteten sich gegen Banken, Finanzdienstleister und Versicherungen, 18 Prozent gegen Regierungsstellen. Als treibenden Faktor nennt der Bericht die politischen Spannungen zwischen China und den Anrainerstaaten im Südchinesischen Meer; China setzt Cyberoperationen häufig gegen regionale Rivalen ein — von Taiwan und Vietnam bis Südkorea und den Philippinen.
Borges empfiehlt vor allem Grundlagenarbeit: internetseitige Kollaborationssoftware — insbesondere WordPress-Installationen — patchen und inventarisieren, Systeme mit minimalen Rechten und sicheren Voreinstellungen konfigurieren, etwa durch Wechsel des ownCloud-Signierschlüssels, sowie Mehrfaktor-Authentifizierung und starke Passwörter für Administrationskonten. Sicherheitsteams sollten auf das beobachtete Muster achten: Missbrauch vorab signierter URLs und Verzeichnisaufzählung, die von einer Quelle aus viele Konten trifft.