Cyberangriff der Cactus-Gruppe auf Einkaufplattform Synertrade (Juni 2024); Daten abgeflossen

[English]Kurze Information für Leser, die eventuell mit der Einkaufsplattform Synertrade in Geschäftsbeziehung stehen – oder auch Lieferanten, die mit Anbietern zusammen arbeiten, die Synertrade als Plattform nutzen. Es hat auf das Rechenzentrum des Systemanbieters (Synertrade, einen erfolgreichen Cyberangriff gegeben. Inzwischen veröffentlicht die Cactus Ransomware-Gruppe Daten, die beim Synertrade-Angriff abgezogen wurden. Inzwischen informieren Unternehmen, die Synertrade nutzen, ihre Kundschaft, dass Daten von Lieferanten betroffen sind.

Wer ist Synertrade?

Synertrade ist ein weltweit führender Anbieter von digitalen Beschaffungslösungen. Laut Eigenbeschreibung bietet deren Cloud-basierte Plattform Synertrade Accelerate™ einen vollständigen Überblick über den Beschaffungsprozess: vom Onboarding der Lieferanten über die Lieferantenverhandlungen, die rechtlichen Rahmenbedingungen, die Bestellung und die Rechnungsstellung bis hin zur Leistungsbewertung der Lieferanten und der Planung von Verbesserungsmaßnahmen.

Accelerate™ ermöglicht es den Verantwortlichen, so der Anbieter, im Beschaffungswesen, die Unternehmensstrategie in einer zuverlässigen und strukturierten Source-to-Pay-Plattform zu steuern, die eine durchgängige Zusammenarbeit und Steuerung zwischen den Abteilungen ermöglicht.

Es gab einen Cyberangriff

Blog-Leser Mark informierte mich gestern per E-Mail, dass es einen erfolgreichen Cyberangriff auf Synertrade gegeben haben muss und merkt an, dass es im Internet – speziell auf deren Webseite – noch keine Informationen gebe.

Mark hat aber am 29.10.2024 eine E-Mail von einem Kunden erhalten, das "seine Einkaufsplattform über Datenreichtum verfügt". In der E-Mail heißt es: "(…) hiermit möchten wir Sie darüber informieren, dass es kürzlich einen Cyberangriff auf ein Rechenzentrum des Systemanbieters unserer Einkaufsplattform Synertrade gegeben hat." Ich interpretiere es so, dass der Anbieter Synertrade angegriffen wurde.

Der übliche Hinweis, dass es trotz umfangreicher Sicherheitsmaßnahmen hierbei zu einem unbefugten Zugriff auf Daten gekommen ist, scheint in der Mail auch nicht gefehlt zu haben. Weiter heißt es, dass leider auch die Kontaktinformationen der Lieferanten (Vorname, Nachname, geschäftliche E-Mailadresse, gegebenenfalls Telefonnummer) von dem Vorfall betroffen sind.

Der betroffene Kunde gibt an, dass dessen internen IT- und Datenschutzverantwortlichen gemeinsam mit Synertrade mit Hochdruck daran arbeiten, die Sicherheit der Systeme zu gewährleisten und die Daten des Unternehmens und der Kunden zu schützen. Da die Daten aber abgeflossen sind, gibt es auch beim Arbeiten mit Hochdruck keine Lösung: Weg ist weg – oder stimmt das vielleicht gar nicht und die Daten sind nun nur woanders?

Der ungenannte Anbieter merkt an, dass er bei neuen Erkenntnissen die Geschäftspartner informieren möchte. Inzwischen sei die Sicherheit der Einkaufsplattform wiederhergestellt und diese könne uneingeschränkt genutzt werden, heißt es.

Angriff der Cactus-Ransomware

Es ist mir durchgerutscht, denn @HackManac hat bereits zum 16. Oktober 2024 auf X berichtet, dass die Cactus-Hackergruppe einen erfolgreichen Angriff auf Synertrade reklamiert.

Angeblich wurden 3 TB an Daten exfiltriert, darunter personenbezogene Daten, Datenbank-Backups, vertrauliche Unternehmensdokumente, Verträge, Korrespondenz, Projekte und vertrauliche Kundendaten. HackManac schreibt, dass Anhand der zur Verfügung gestellten Muster der Schluss naheliegt, dass wahrscheinlich die deutsche Niederlassung von Synertrade betroffen sei. Stimmt aber wohl nicht so ganz, wie nachfolgende Ausführungen belegen.

Der gesamte Vorfall war für mich zuerst recht mysteriös, denn bei konbriefing.com habe ich einen Eintrag vom 27. Juni 2024 gefunden. Dieser verweist auf eine französische Seite, die sich seit Juni 2024 mit dem Synertrade-Hack befasst. Eine aktualisierte Meldung La cyberattaque contre Synertrade revendiquée sous la bannière Cactus vom 18. Oktober 2024 auf lemagit.fr legt dann aber Details offen, die alles erklären.

Der französische Text besagt, dass der Ende Juni 2024 erfolgte Cyberangriff auf Synertrade am 16. Oktober 2024 auf der Leak-Seite der Ransomware-Gruppe Cactus bekannt gegeben worden sei. Dort wurden dann wohl abgezogene Daten aus dem Angriff veröffentlicht.

Das französische Medium schreibt, dass die die Kommunikationsabteilung von Econocom (eine europäische Gruppe, die die digitale Transformation von Unternehmen und öffentlichen Einrichtungen realisiert und wohl Synertrade als Plattform nutzt) einen "besonders aggressiven" Angriff beklagte.

Die Kommunikationsabteilung dieses Anbieters erklärte, dass "die Angreifer ihr Wissen genutzt haben, um einen zweiten Angriff auf unsere Systeme durchzuführen, den wir dank der seit Juli eingeleiteten Maßnahmen eindämmen konnten". Dieser zweite Angriff führte jedoch zu einem "Datenleck, das einen Kunden betraf, der sofort informiert wurde und mit dem wir eng zusammenarbeiten". Das Datenleck muss vor dem 27. Juni 2024 entstanden sein. Mit anderen Worten: Wenn ich das so lese, erwarte ich noch mehr solcher Meldungen.