Ein Cyberangriff auf den Berliner Lebensmittel-Lieferdienst Flink eskaliert. Nachdem das Unternehmen eine Lösegeldforderung der bisher wenig bekannten „LPG Group“ ablehnt, wenden sich die Hacker direkt an Flink-Kunden. Sie fordern Kleinbeträge in Kryptowährung, um gestohlene Daten nicht im „Deep Web“ zu veröffentlichen.

Dieses Vorgehen gilt als ungewöhnliche Eskalationsstufe in der Cyberkriminalität.

Die LPG Group verschaffte sich über Zugangsdaten eines ehemaligen Mitarbeiters Zutritt zu einem internen Bestellsystem in einem sogenannten Order Hub, einem dezentralen Kleinlager. Die Angreifer erbeuteten nach eigenen Angaben Daten von bis zu einer Million Kunden und rund 13.000 Beschäftigten. Flink hat diese Zahlen bisher nicht bestätigt.

Gestohlen wurden Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern. Berichten zufolge enthalten die erbeuteten Daten in einigen Fällen detaillierte Lieferhinweise wie Etagenangaben oder den Namen auf dem Klingelschild. Flink gibt an, dass Passwörter, Kreditkartendaten, Bankinformationen und Zahlungsdaten nicht in die Hände der Kriminellen gelangten.

Flink lehnt Lösegeldforderung ab

Nach dem initialen Angriff am Dienstagabend kontaktierte die LPG Group Flink und forderte 100 ETH, was zum damaligen Zeitpunkt einem Wert von rund 235.000 Euro entsprach. Flink lehnte die Forderung ab. Das Unternehmen erklärt, grundsätzlich nicht mit Kriminellen in Kontakt zu treten und keine Verhandlungen mit ihnen zu führen.

Ab Freitag verschickten die Hacker massenhaft E-Mails an betroffene Kunden. Sie forderten in den Schreiben 0,005 ETH, umgerechnet etwa 10 Euro. Zahlen die Kunden dieses „Lösegeld“ nicht, drohen die Hacker mit der Veröffentlichung ihrer Daten im „Deep Web“.

Die Kriminellen schreiben in ihren Mails zudem, dass Flink ihre ursprüngliche Forderung ignoriert habe. Cybersicherheitsexperten bezeichnen dieses Vorgehen als „kriminelles Crowdfunding“. Pim Takkenberg von Northwave gibt an, er habe es bisher noch nicht erlebt, dass einzelne Verbraucher direkt angesprochen werden.

Behörden und externe Experten eingeschaltet

Flink reagierte umgehend. Das Unternehmen erstattete Strafanzeige, informierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie die Berliner Datenschutzbeauftragte. Parallel dazu zog es externe IT-Forensiker hinzu, die den Angriff untersuchen und die Systeme prüfen.

Das Unternehmen informierte die Kunden ebenfalls noch am Freitagabend, nachdem die ersten Erpresser-Mails eingetroffen waren.

Sicherheitsexperten und Flink raten den betroffenen Kunden dringend davon ab, auf die Forderungen zu reagieren oder Zahlungen zu leisten. Stattdessen empfiehlt Flink, Erpressungsversuche bei der Polizei anzuzeigen. Die Krypto-Adresse, die für die Lösegeldzahlungen der Kunden angegeben war, wies am 25.

September um 15:30 Uhr noch keine Geldeingänge auf, was auf eine geringe Zahlungsbereitschaft der Betroffenen hindeutet.

Ausblick: Ermittlungen laufen, Vertrauen auf dem Prüfstand

Die Ermittlungen der Polizei, der Datenschutzbehörden und externer Sicherheitsexperten laufen. Im Fokus stehen die Identifizierung der „LPG Group“ sowie die genaue Aufklärung des Datenabflusses.

Die Kommunikation des Unternehmens ist derzeit auf das Nötigste beschränkt, um die Ermittlungen nicht zu gefährden.

Der Vorfall könnte Auswirkungen auf die Lieferdienstbranche haben. Unternehmen dieser Art verwalten große Mengen sensibler Kundendaten, die für Cyberkriminelle attraktiv sind. Analysten beobachten, wie Flink die Krise bewältigt und welche Maßnahmen das Unternehmen ergreift, um künftige Angriffe zu verhindern.

Die langfristigen Auswirkungen auf das Kundenvertrauen und mögliche regulatorische Konsequenzen bleiben abzuwarten.