Nach dem Angriff auf die Cloud-Infrastruktur der EU-Kommission analysiert ESET die mutmaßlichen Täter. Im Mittelpunkt steht die Gruppe ShinyHunters, deren Vorgehensweise auf bekannte Muster bei groß angelegten Datenlecks hinweist.
Foto: gb27photo - stock.adobe.com
Der Cyberangriff auf die Plattform Europa.eu Ende März hat laut Medienberichten zur Entwendung großer Datenmengen geführt. Im Zuge der Analyse rückt insbesondere die Hackergruppe ShinyHunters in den Fokus, die seit mehreren Jahren im Umfeld groß angelegter Datenleaks aktiv ist.
Nach Einschätzung von ESET folgt der aktuelle Vorfall einem bekannten Muster. Bereits in der Vergangenheit trat die Gruppe durch den Handel mit umfangreichen Datensätzen in Erscheinung, darunter Informationen aus mehr als 160 Millionen Nutzerkonten. Für die Sicherheitsforscher ist daher weniger der einzelne Angriff entscheidend als vielmehr die wiederkehrende Struktur der Aktivitäten.
Ein zentrales Merkmal der Gruppe ist ihre organisatorische Struktur. ShinyHunters agieren häufig nicht isoliert, sondern in Verbindung mit anderen bekannten Akteuren. Überschneidungen bestehen unter anderem mit Gruppen wie Scattered Spider oder Lapsus$.
Seit 2025 wird ein Zusammenschluss unter dem Namen „Scattered Lapsus$ Hunters“ beobachtet. Dabei handelt es sich um ein loses Kollektiv ohne klar definierte Strukturen oder feste Abgrenzungen zwischen den beteiligten Gruppen.
Diese Form der Zusammenarbeit erhöht die Flexibilität der Angreifer und erschwert gleichzeitig die eindeutige Zuordnung einzelner Angriffe. Auch das Vorgehen folgt etablierten Mustern: Nach erfolgreichen Angriffen setzen die Täter häufig auf das Prinzip „Pay or leak“, bei dem betroffene Organisationen vor die Wahl zwischen Lösegeldzahlung und Veröffentlichung der Daten gestellt werden.
Neben organisatorischen Veränderungen zeigt sich auch bei den Angriffstechniken eine klare Entwicklung. Statt ausschließlich technische Schwachstellen auszunutzen, setzen Angreifer verstärkt auf Social Engineering.
Ein häufig genutztes Mittel sind sogenannte Vishing-Angriffe. Dabei geben sich die Täter telefonisch als interne oder externe IT-Verantwortliche aus, um Zugangsdaten zu erlangen oder Sicherheitsmechanismen zu umgehen. In einigen Fällen kommen auch fortgeschrittene Methoden wie realistische Sprachsimulationen zum Einsatz.
Diese Entwicklung verschiebt den Fokus von rein technischen Schutzmaßnahmen hin zum menschlichen Faktor als potenzieller Schwachstelle.
Vor diesem Hintergrund empfiehlt ESET eine Erweiterung bestehender Sicherheitskonzepte. Neben technologischen Lösungen gewinnen organisatorische Maßnahmen an Bedeutung.
Dazu zählen unter anderem klar definierte Prozesse zur Identitätsprüfung, regelmäßige Schulungen von Mitarbeitern sowie die konsequente Kontrolle von Zugriffsrechten und Kommunikationswegen. Unternehmen sind gefordert, ihre Sicherheitsstrategien an die veränderten Angriffsmuster anzupassen, bei denen soziale Manipulation eine zentrale Rolle spielt.
