Situation — Angriff, Datenleck oder Rechtsstreit

Ein Mitarbeiter hat sein Passwort auf einer gefälschten Anmeldeseite eingegeben: Die Angreifer sind in unsere Online-Tools eingedrungen und haben unsere Daten gestohlen.

Kontext

Ein Mitarbeiter hat einen Anruf vom „IT-Support“ erhalten. Man hat ihm einen Link geschickt, er hat sich angemeldet und seinen Code genannt. Alles wirkte normal.

Ein paar Tage später kommt eine Nachricht: Ihre Kundendaten wurden kopiert, und die Angreifer fordern ein Lösegeld.

Das Problem

  • Mit einem echten Passwort geht der Angreifer als Mitarbeiter durch. Kein Alarm schlägt an.
  • Ein am Telefon weitergegebener Zwei-Faktor-Code schützt nichts mehr.
  • Kopierte Kundendaten, Lösegeld, Drohung mit Veröffentlichung: Alles kommt gleichzeitig.

Fallstudie

Praxisfallerstes Halbjahr 2025

Weltweite Kampagne mit falschem IT-Support (UNC6040)

Im ersten Halbjahr 2025 beobachtet Google eine weltweite Kampagne. Falsche IT-Support-Techniker rufen Mitarbeitende an. Sie schicken sie auf eine gefälschte Anmeldeseite oder fragen nach ihren Zugangsdaten und Codes der Zwei-Faktor-Authentifizierung.

Anschließend lassen sie eine gefälschte Anwendung freigeben, die mit Salesforce verbunden ist, dem Tool zur Kundenverwaltung. Sie ziehen ganze Tabellen mit Kundendaten ab und fordern dann binnen 72 Stunden ein Lösegeld in Bitcoin. Salesforce hat keine Lücke: Getäuscht werden nur die Mitarbeitenden.

In Frankreich übernehmen Angreifer Anfang 2024 durch Manipulation die Konten von Beratern bei Cap emploi, einem Partner der Arbeitsagentur France Travail. Im Januar 2026 verhängt die CNIL (französische Datenschutzbehörde) gegen France Travail ein Bußgeld von 5 Millionen Euro, unter anderem wegen zu schwacher Authentifizierung (CNIL (öffnet sich in einem neuen Tab)).

Quelle lesenThe Cost of a Call: From Voice Phishing to Data Extortion — Google Threat Intelligence Group (Blog Google Cloud) (öffnet sich in einem neuen Tab)

Warum wir?

  • Wir sperren die gestohlenen Zugänge und entfernen die Anwendungen, die die Angreifer hinzugefügt haben.
  • Wir werten die Protokolle Ihrer Tools aus, um festzustellen, was eingesehen und kopiert wurde.
  • Wir sichern die Beweise und bereiten Ihre Meldung an die CNIL vor, wenn personenbezogene Daten betroffen sind.
  • Laufender Angriff? Schreiben Sie an contact@orbitalmz.com mit dem Betreff „Attaque en cours“ (laufender Angriff): Diese Nachrichten lesen wir vorrangig.

Kontakt

Mit einem Experten sprechen

Kostenloses 30-minütiges Videogespräch mit einem Experten unseres Hauses, danach Ihr kostenloses, unverbindliches Angebot.

Diagnose starten

Ein paar Fragen, die erste bereits passend zu Ihrer Situation beantwortet: Ihre Antworten bereiten Ihr Videogespräch vor. Kostenlos, ohne Anmeldung, in etwa 2 Minuten.

Diagnose starten