Wurde Sony gehackt (25. Sept. 2023)?

[English]Eine Gruppe mit dem Namen RANDOMDVC behauptet, das Unternehmen Sony gehackt und Daten abgezogen zu haben.  Laut Aussagen der Hacker seien "alle Systeme" kompromittiert. Das Unternehmen wird von den Angreifern erpresst und diese drohen, bei nicht Zahlung der Lösegeld-Summe die Daten im Internet zu veröffentlichen. Dabei winken sie mit einem Verstoß gegen die DSGVO.

Sony früher Tokyo Telecommunications Engineering Corporation und Sony Corporation, ist ein japanischer multinationaler Mischkonzern mit Hauptsitz in Minato, Tokio, Japan. Bekannt ist er durch seine Spielekonsole, sowie Musik- und Unterhaltungselektronik. Nun soll es einen Cyber-Vorfall gegeben haben – und Nutzer diverser Sony-Dienste wurden (so habe ich auf Twitter gesehen) aufgefordert, ihr Passwort für den Zugang zu ändern. Auf den Vorfall bin ich bereits die Nacht über nachfolgenden Tweet von Troy Hunt auf diesen Vorfall aufmerksam geworden – konnte aber wegen Internetausfall wenig tun.

Troy Hunt hat im Tweet zwei Screenshots von der Webseite der Gruppe RANDOMDVC gepostet. Im linken Screenshot heißt es, dass die Gruppe (wohl am 24. Sept. 2023) die IT-Systeme der Sony Group Corporation infiltriert habe. Dabei haben die Angreifer, so ihre Behauptung, erfolgreich alle Sony-Systeme kompromittiert. Das Unternehmen sollte nun seine "Digitalsteuer"  zahlen (was nichts anderes als eine Ransomware-Zahlung ist). Sofern Sony nicht zahlen sollte, droht die Gang die Daten zu verkaufen. Die Angreifer haben auf ihrer Webseite einen Beispieldatensatz der erbeuteten Sony-Daten veröffentlicht.

In einem zweiten Screenshot (siehe oben) reklamiert die Cyber-Gang für sich, "Pentester" zu sein, und sich für die Absicherung von Systemen und Daten in Unternehmen einzusetzen. Als "Penetration-Tester" reklamieren sie eine "Kompensation" für ihre "professionellen Dienste". Die Aktivitäten, wird einfach ganz schräg behauptet, lehnten sich strikt an die europäische Datenschutzgrundverordnung (DSGVO, GDPR) und weitere Datenschutzgesetze an. Sofern die "Kompensation" nicht gezahlt wird, sähe man sic h gezwungen, einen Meldung bei der GDPR-Agentur (die gibt es nicht, gemeint sind wohl Datenschutzbehörden innerhalb der EU) zu machen.

Ist zwar alles Bullshit, dass sind schlicht Cyberkriminelle, die es über diese Erpressungsschiene versuchen. Aktuell kann ich schlecht beurteilen, wie kritisch dieser Hack ist und welche Systeme er betrifft. Daher ist auch unklar, ob Benutzer von Sony Playstation-Konten betroffen sind. Von Sony liegt mir noch keine Information vor (aber die sind ja in der Vergangenheit mehrfach gehackt worden). Auf dieser Webseite heißt es, dass die veröffentlichte Probe der Gruppe weniger als 6.000 Dateien umfasse – passt nicht so richtig zu "alle Sony-Systeme". Und die Proben umfassen "Build-Protokolldateien", eine breite Palette von Java-Ressourcen und HTML-Dateien. Aber wohl nichts brisantes.