Der Schnelllieferdienst Flink hat einen gravierenden Datenbestriff bestätigt, der etwa eine Million Kunden und 13.000 Mitarbeiter in Deutschland und den Niederlanden betrifft. Der Vorfall, den eine Hackergruppe namens LPG Group am Freitag beanspruchte, betraf Namen, Postleitzahlen, E-Mail-Adressen, Telefonnummern und Lieferanweisungen. Flink betonte, dass Kontopasswörter, Abrechnungsinformationen, Bankverbindungen und Zahlungskarten nicht kompromittiert wurden.
Die Gesamtzahl der betroffenen Kunden entspricht etwa zwei Dritteln der Kundenbasis von Flink, basierend auf Zahlen, die das Unternehmen im Juni veröffentlichte. Flink hat den Vorfall der deutschen Datenschutzbehörde gemeldet und Strafanzeigen in Deutschland und den Niederlanden erstattet.
Was diesen Vorfall besonders macht, ist das danach Geschehene: Anstatt einfach von Flink Zahlung zu verlangen, begann die LPG Group, einzelne Kunden und Mitarbeiter direkt zu kontaktieren. Betroffene erhielten E-Mails mit der Forderung nach 0,005 ETH (etwa 11,80 Euro) in Kryptowährung zur Löschung ihrer persönlichen Daten. Die Gruppe verlangte zusätzlich 100 ETH (fast 237.300 Euro) direkt von Flink selbst mit einer Frist bis zum 2. Oktober.
Cybersecurity-Experten bezeichneten den Ansatz der direkten Erpressung von Endkunden als höchst ungewöhnlich. "Ich habe noch nie gesehen, dass einzelne Verbraucher direkt angesprochen wurden", sagte Pim Takkenberg, Experte bei Northwave, gegenüber NOS. RTL-Nieuws-Technikjournalist Daniel Verlaan merkte an, dass mehr Unternehmen Forderungen nach Lösegeld nicht mehr nachgeben, was Hacker möglicherweise zu diesem neuen Einnahmemodell treibe.
Die Ursprünge der LPG Group sind unklar. Eine frühere Ransomware-Variante, die mit der russisch unterstützten Wizard Spider-Gruppe in Verbindung gebracht wird, verwendet eine Datei namens lpg.dll, was Fragen aufwirft, ob die Benennung der Gruppe zufällig oder beabsichtigt ist. Flink hat betroffene Kunden und Mitarbeiter aufgefordert, auf Lösegeldforderungen nicht zu reagieren und keine Zahlungen zu leisten.
Flink wurde vor fünf Jahren während der Coronavirus-Pandemie gegründet und betreibt Dutzende von Gemeinden in den Niederlanden, darunter 24 der 25 größten Städte.
