Zwei der berüchtigtsten Namen im Datenerpressungsgeschäft bekämpfen sich jetzt gegenseitig statt ihre Opfer. Laut einem Bericht von Golem behauptet die Gruppe ShinyHunters, in die Infrastruktur von Clop eingedrungen zu sein – der Ransomware-Gruppe, die auch als Cl0p bekannt ist – und beide Operationen beschuldigen sich in Darknet-Foren gegenseitig.
Beide haben über Jahre einen Ruf aufgebaut, der diesen Streit bemerkenswert macht. Clop industrialisierte die „Hit-and-Run“-Massenlösegelderpressung: Statt einzelne Firmen zu verschlüsseln, nutzte sie eine Sicherheitslücke in einem weitverbreiteten Dateitransferprodukt – Accellion, GoAnywhere, MOVEit und später Cleo –, um Daten Hunderter Organisationen auf einmal zu stehlen und unter Androhung der Veröffentlichung Geld zu verlangen. ShinyHunters machte sich mit Diebstahl in großem Umfang und Verkäufen auf Leak-Sites einen Namen und wurde mit einigen der größten Cloud-Datenerpressungskampagnen der vergangenen Jahre in Verbindung gebracht.
Genau das macht eine Fehde zwischen ihnen bemerkenswert. Die moderne Erpressungsökonomie ist weniger eine Hierarchie als ein überfüllter Markt aus Partnern, Zugangsvermittlern, Verhandlern und Leak-Sites, die um dieselben Opfer und dieselbe Aufmerksamkeit konkurrieren. Wenn zwei große Gruppen aufeinandertreffen, bleibt das nicht in ihren eigenen Kanälen: Gestohlene Chats, Werkzeuge und Partnerlisten geraten an die Öffentlichkeit, und rivalisierende Gruppen versuchen, sich gegenseitig Mitglieder abzuwerben.
Für Verteidiger hat die Episode zwei Lehren. Erstens sind Cyberkriminalitätsgruppen kein Monolith – sie konkurrieren, verraten sich und vernichten sich manchmal gegenseitig, und versehentliche Lecks aus solchen Kämpfen liefern Ermittlern gelegentlich echte Erkenntnisse. Zweitens verringert nichts davon die Gefahr: Dieselben Gruppen bleiben gegen gewöhnliche Organisationen aktiv, und ihr Streit ist höchstens eine Ablenkung von der eigentlichen Ökonomie der Erpressung, die sich weiterhin lohnt.
Der Bericht von Golem gibt Behauptungen beider Seiten wieder; wie bei jedem Darknet-Streit sind die Darstellungen eigennützig und kaum unabhängig zu überprüfen.
