Shimano ist Opfer der Lockbit 3.0 Ransomware (Nov. 2023)

[English]Der japanische Hersteller Shimano dürfte jedem Radfahrer irgendwie bekannt sein. Jetzt ist das Unternehmen Opfer der Lockbit Ransomware geworden. Zumindest hat die Lockbit-Gruppe eine entsprechende Veröffentlichung auf ihrer Leak-Seite eingestellt und drohte, ab dem 5. November 2023 Daten zu veröffentlichen, wenn kein Lösegeld gezahlt wird. Der Gersteller hat sich bisher noch nicht dazu geäußert.

Wer ist Shimano?

Shimano ist ein japanischer Hersteller von Fahrradkomponenten und -zubehör mit um die 12.000 Mitarbeitern. Irgendwo gehören auch noch Angel- und Snowboard-Produkte sowie Kaltschmiedeteilen zum Portfolio. Shimano ist aber vor allem weltweiter Marktführer vieler mechanischer Fahrradteile, speziell Antriebs- und Schaltgruppen. Shimano-Freilauf-Naben und -Schaltungen wird wohl jeder, der etwas mit Fahrrädern zu tun hat, schon mal gehört haben.

Knapp vier Fünftel des Umsatzes in Höhe von ca. 3,4 Milliarden Euro erwirtschaftet Shimano mit Fahrradkomponenten und knapp ein Fünftel mit Angelzubehör (Ruten und Rollen). Sonstige Produkte tragen weniger als ein Prozent zum Umsatz bei.

Die Ransomware-Infektion

Mir ist die Information über den Ransomware-Vorfall erstmals auf BlueSky in nachfolgendem Post untergekommen. Einige Informationen hat die Seite  – die Seite Cycling News in diesem Artikel zusammen getragen.

Die Seite Escape Collection hat wohl als erstes die Meldung der Ransomware-Gruppe Lockbit über den Ransomware-Vorfall bei Shimano berichtet. Denen war ein Post der Gruppe im Darknet aufgefallen, wo LockBit 3.0 mitteilt, dass man 4,5 Terabyte an Daten abgezogen habe.

Die Gruppe schreibt, dass man die Daten von Angestellten, einschließlich von Sozialversicherungsdaten, Adressen, Pass-Kopien und vieles mehr an persönlichen Daten erbeutet habe. Aber auch vertrauliche und Finanzdaten des Unternehmens oder die Daten von Kunden sind unter den erbeuteten Daten.

• Vertrauliche Mitarbeiterdaten – einschließlich Sozialversicherungsnummern, Wohnadressen und Scans von Reisepässen
• Finanzdokumente – einschließlich Bilanzen, Budget, Kontoauszüge, Cashflow und Steuerdetails
• Kundendatenbank – einschließlich Kontaktdaten, Berichte, Sitzungsprotokolle, Ergebnisse von Werksinspektionen, Berichte über Zwischenfälle und Rechtsdokumente
• Vertrauliche Diagramme und Zeichnungen, Labortests, NDAs, Verträge und Entwicklungsmaterialien.

LockBit 3.0 fordert von Shimao Lösegeld und droht ohne Zahlung die Daten ab dem 5. November 2023 zu veröffentlichen. Auf der Seite von Shimano habe ich nichts zu einem Cybervorfall gefunden. Der Hersteller will den Vorfall wohl bis auf weiteres "unter der Decke" halten.

Auf Anfrage von Escape Collective bestätigte ein europäischer Shimano-Vertreter, dass "das Hauptquartier von den mutmaßlichen Angriffen weiß und eine Untersuchung im Gange ist". Vertreter aus den USA wollten sich auf Anfrage nicht äußern.

Die Shimano-Webseiten scheinen derzeit nicht beeinträchtigt zu sein, und Shimano antwortete nicht auf Fragen zur Höhe des Lösegelds oder zu den aktuellen Auswirkungen auf den Betrieb des Unternehmens.