Flink-Datenleck: Erpresser fordern 100 Ether von Kunden und Unternehmen

Der Lebensmittel-Lieferdienst Flink ist Ziel eines gezielten Cyberangriffs geworden. Unbefugte verschafften sich Zugriff auf ein internes Bestellsystem, den sogenannten Order Hub eines lokalen Auslieferungslagers. Dabei wurden nach vorliegenden Berichten personenbezogene Stammdaten in großem Umfang entwendet. Das Unternehmen bestätigte den Vorfall, während die Angreifer nun versuchen, sowohl das Unternehmen als auch einzelne Kunden direkt zu erpressen.

Unbefugter Zugriff auf internes Bestellsystem

Den vorliegenden Informationen zufolge betrifft der Datenabfluss Stammdaten von Kunden und Mitarbeitern. Zu den erbeuteten Informationen zählen Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern. In einigen Fällen seien auch spezifische Lieferhinweise und Informationen zu vergangenen Bestellungen betroffen.

Wie das Unternehmen in einer Stellungnahme betonte, seien sensible Finanzdaten ausdrücklich nicht Teil des Diebstahls. Passwörter, Zahlungsdaten, Bankverbindungen sowie Kreditkarteninformationen seien nach aktuellen Erkenntnissen weiterhin sicher.

Das Ausmaß des Vorfalls ist noch nicht abschließend geklärt. Während für die Niederlande von mindestens 10.000 betroffenen Kunden die Rede ist, liegen für den deutschen Markt noch keine genauen Zahlen vor. Unbestätigten Berichten zufolge könnte der gesamte erbeutete Datenbestand jedoch Informationen von rund einer Million Kunden sowie 13.000 Mitarbeitenden umfassen. Flink hat diese Zahlen bisher nicht offiziell bestätigt.

Erpressungsstrategie gegenüber Kunden und Mitarbeitern

Der aktuelle Vorfall zeigt, wie gezielt Cyberkriminelle persönliche Daten für Erpressungsversuche nutzen. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie Ihr Android-Smartphone mit fünf einfachen Maßnahmen effektiv vor solchen Zugriffen und Datenmissbrauch schützen können. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Nachdem der Lieferdienst erste Lösegeldzahlungen verweigert hatte, änderten die Angreifer ihre Strategie. Die Gruppierung, die unter dem Namen „LPG Group“ auftritt – eine Bezeichnung, die bislang nicht unabhängig verifiziert werden konnte –, wandte sich direkt an die Betroffenen. Kunden und Mitarbeiter erhielten Erpresser-E-Mails, die unter einem Flink-ähnlichen Absender verschickt wurden und die Empfänger mit ihrem korrekten Namen ansprachen.

Dabei wenden die Täter eine Methode an, die als „Triple Extortion“ bezeichnet wird. Zunächst forderten die Angreifer von Flink eine Zahlung in der Kryptowährung Ethereum. Da das Unternehmen nicht auf die Verhandlungen einging, werden nun die Kunden zur Kasse gebeten. Einzelne Nutzer wurden aufgefordert, 0,005 Ether zu zahlen, was umgerechnet etwa 11,50 Euro entspricht.

Insgesamt verfolgen die Kriminellen das Ziel, gemeinschaftlich 100 ETH (rund 230.000 Euro) einzusammeln. Im Gegenzug versprechen sie die Löschung der Daten; andernfalls drohen sie mit dem Verkauf der Informationen im Darknet. Flink rät dringend davon ab, auf diese Forderungen zu reagieren oder Zahlungen zu leisten.

Ursachenforschung und rechtliche Konsequenzen

Wer im Alltag häufig Online-Shopping oder Banking-Apps nutzt, ist besonders auf eine sichere Umgebung für seine sensiblen Daten angewiesen. Welche fünf Schritte Experten empfehlen, um mobile Endgeräte gegen Hacker abzusichern, erklärt dieser gratis PDF-Leitfaden. Kostenlosen Sicherheits-Ratgeber herunterladen

Als Einfallstor für den Angriff gilt nach derzeitigem Kenntnisstand ein kompromittierter Zugang eines ehemaligen Mitarbeiters. Flink reagierte umgehend, nachdem die Sicherheitslücke bekannt wurde, deaktivierte den betreffenden Zugang und leitete eine umfassende Untersuchung ein.

Hierfür wurden externe IT-Forensiker und Cybersicherheitsexperten hinzugezogen. Aktuell gebe es laut Unternehmensangaben keine Hinweise darauf, dass weitere unbefugte Zugriffe stattgefunden haben.

Das Unternehmen hat bereits die zuständigen Datenschutzbehörden informiert und die betroffenen Kunden über den Vorfall in Kenntnis gesetzt. Für die Geschädigten könnten sich aus dem Vorfall rechtliche Ansprüche ergeben. Juristen verweisen in diesem Zusammenhang auf die Datenschutz-Grundverordnung (DSGVO).

Nach einem Urteil des Bundesgerichtshofs von Ende 2024 kann bereits der Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden gemäß Artikel 82 DSGVO darstellen, was mögliche Schadenersatzansprüche der Betroffenen begründen könnte.

de | wirtschaft | 70195976 |