Flink Kunden und Mitarbeiter unter Druck gesetzt durch Erpressung

Cyberangriff auf Flink: Daten von Mitarbeitern und Kunden kopiert

Nach einem Cyberangriff auf ein internes Bestellsystem des Lieferdienstes Flink konnten unbekannte Kriminelle Daten von Mitarbeitern und Kunden des Unternehmens kopieren. Wie ein Sprecher von Flink heisst es online, wandten sich die Angreifer zunächst an Flink direkt und forderten Geld in Form der Kryptowährung ETH. Wenn sie bezahlt würden, so die Erpresser, würden die Daten gelöscht. Flink erklärt dazu schriftlich, grundsätzlich nicht mit Kriminellen in Kontakt treten und in diesem Fall auch gar nicht reagiert hat. Daher wandten sich die Angreifer nun direkt an die Kunden – diese sollten insgesamt 100 ETH insgesamt aufbringen. Das entspricht derzeit etwa 230.000 Euro. Wenn der Betrag zusammenkommt, so das Versprechen, würden die Daten gelöscht. Wenn nicht, würden die Daten, so wörtlich „im deep web verkauft“. Die Erpresser haben sich also bei einem zahlungsunwilligen Unternehmen auf eine Art kriminelles Crowdfunding verlegt.

Der Angriff auf Flink

Das Unternehmen erklärt dazu schriftlich: „Flink tritt grundsätzlich nicht mit Kriminellen in Kontakt und führt keine Verhandlungen mit ihnen.“ Auf Nachfrage hieß es, dass Flink auch in diesem Fall tatsächlich gar nicht reagiert hat. Daher wandten sich die Kriminellen nun direkt an die Kunden – diese sollten in Häppchen von 0,005 ETH, derzeit rund 10 Euro, insgesamt 100 ETH aufbringen. Das entspricht derzeit etwa 230.000 Euro. Wenn der Betrag zusammenkommt, so das Versprechen, würden die Daten gelöscht. Wenn nicht, würden die Daten, so wörtlich „im deep web verkauft“. Die Erpresser haben sich also bei einem zahlungsunwilligen Unternehmen auf eine Art kriminelles Crowdfunding verlegt.

Wie die Kunden und Mitarbeiter unter Druck gesetzt wurden

Da war es jedoch schon zu spät: „Name, Lieferadresse, E-Mail-Adresse und Telefonnummer“ von Kunden wie Mitarbeitern wurden kopiert. Im Einzelfall, so Flink, sollen auch Lieferhinweise wie das Stockwerk des Kunden und andere Informationen zu Bestellungen abgeflossen ein. Passwörter, Zahlungsdaten, Kreditkarteninformationen und Bankdaten sollen den Angreifern dabei nicht in die Hände gefallen sein. Am Freitag berichtete bereits der Tagesspiegel über den Vorgang.

Massenhaft Erpresserschreiben in den Niederlanden

Am selben Tag berichteten auch niederländische Medien wie NL Times und RTL NL über den Fall. Wie Flink heisst es online, gingen dort bei mindestens 10.000 Kunden Erpressermails ein. In diesen, die wir in einer Stichprobe einsehen konnten, bekennt sich eine bisher recht unbekannte Bande namens „LPG Group“ zu den Taten. Sie wirbt darin um Vertrauen. weil man ja nur „ein Geschäft betreibe“ und stellt Flink als den Bösen dar: Weil das Unternehmen nicht zahlen wolle, müssten das nun eben seine Kunden tun. Wie bei solchen Erpresserbanden üblich, wird auch eine Anleitung zum Erwerb von ETH mitgeliefert. Die Mails wenden sich namentlich und mit einem Flink-ähnlichen gefälschten Absender an die Kunden, sodass diese wohl leicht verunsichert werden könnten.

Flink-Kunden als mögliche Phishing-Opfer

Laut Flink wurde über eine Abuse-Mitteilung beim von der Bande genutzten Mailprovider die Flut der Schreiben auch vorerst eingedämmt, nicht auszuschließen sei aber, dass sich die Erpresser andere Wege suchen. Über die Support-Mechanismen des Lieferdienstes sind nach eigenen Angaben bis zum Samstag nur rund 150 Mitteilungen von Kunden eingegangen. Die Zahl der kontaktierten Kunden in Deutschland lässt sich damit bisher schlecht einschätzen. Alle seine Kunden will Flink aber bereits am Freitag direkt auf die Situation hingewiesen haben. Wie stets bei solchen Datenabflüssen gilt, dass man in Zukunft als Kunde oder Mitarbeiter von Flink besonders wachsam gegenüber möglichen Phishing-Attacken sein sollte.

Flink als Opfer der Erpressung

Dem Unternehmen zufolge wurde der Fall angezeigt, die zuständige Datenschutzbeauftragte des Landes Berlin sowie andere zuständige Behörden informiert. Externe IT-Forensiker sollen bei der Aufklärung helfen. Mutmaßlich wird sich dennoch das Unternehmen verantworten müssen, weil es personenbezogene Daten nicht ausreichend geschützt hat.

Anders als ursprünglich gemeldet hat Flink eigenen Angaben zufolge bisher nicht das BSI eingeschaltet. Der letzte Absatz wurde entsprechend geändert.