Die Woche in den Nachrichten zu Datenschutzverletzungen 26. August 2026

Im Rahmen einer ausgeklügelten Phishing-Kampagne wird die „Greatness“-Phishing-as-a-Service-Plattform (PhaaS) genutzt, um Microsoft 365-Konten anzugreifen, indem Benachrichtigungen von RingCentral gefälscht werden.

Greatness ist eine abonnementbasierte PhaaS-Plattform, die seit mindestens 2022 aktiv ist und Cyberkriminellen gebrauchsfertige Phishing-Toolkits zur Verfügung stellt. Die Plattform hat ihr Angebot mittlerweile über das Phishing von Anmeldedaten hinaus auf „Adversary-in-the-Middle“-Angriffe (AiTM) und Geräte-Code-Phishing ausgeweitet, die auf Microsoft 365-Konten abzielen. In einer kürzlich von Forschern beobachteten Kampagne missbrauchen die Betreiber von Greatness die Kommunikationsplattform RingCentral, um die E-Mail-Sicherheitsfilter der Empfänger zu umgehen. Die Angreifer geben sich als RingCentral aus, indem sie vorgeben, die Nachrichten stammten von service@ringcentral[.]com, und zielen auf tatsächliche Nutzer des Dienstes ab – mit gefälschten Voicemail- und Leistungsbewertungsbenachrichtigungen, die diese dazu verleiten sollen, die E-Mails zu öffnen.

Obwohl die Nachrichten von einem unbekannten IONOS-Mailserver stammen, die SPF- und DMARC-Prüfungen nicht bestehen und keine DKIM-Signatur aufweisen, werden sie dennoch von den Empfängersystemen akzeptiert, da RingCentral auf der Whitelist steht. Die E-Mails enthalten zudem einen betrügerischen Hinweis, der behauptet, der Absender sei über die Liste sicherer Absender der Organisation verifiziert worden, was den Verdacht weiter verringert und die Phishing-Nachrichten für die Empfänger glaubwürdiger erscheinen lässt.

Die Schweizer Bundesverwaltung bestätigte, dass bei einem Datenleck mehr als 200 Konten kompromittiert wurden, nachdem Angreifer eine Sicherheitslücke in Microsoft SharePoint ausgenutzt hatten.

Angreifer drangen in SharePoint-Server ein, die vom Bundesamt für Informatik und Telekommunikation (BIT) betrieben wurden, und stahlen Anmeldedaten von rund 200 Konten. Die Server wurden vom BIT in den eigenen Rechenzentren der Bundesverwaltung betrieben. Nach Angaben der Bundesverwaltung nutzten unbekannte Angreifer eine nicht gepatchte SharePoint-Sicherheitslücke aus, um Zugriff auf die Benutzer- und Systemkonten zu erlangen.

Als Vorsichtsmaßnahme führt FOITT eine Neuinstallation der betroffenen SharePoint-Server durch. Der Internetzugang für externe Nutzer bleibt bis zum Abschluss der Arbeiten gesperrt.

Ein koordinierter Cyberangriff auf die beliebte Bitcoin-Wallet COLDCARD soll Berichten zufolge bei Tausenden von Nutzern zu geschätzten Verlusten von mehr als 100 Millionen Dollar geführt haben.

COLDCARD ist eine beliebte Hardware-Wallet, die ausschließlich für Bitcoin entwickelt wurde und vom kanadischen Unternehmen Coinkite hergestellt wird. Ein groß angelegter Cyberangriff Ende Juli und Anfang August 2026 soll mehrere COLDCARD-Hardware-Wallet-Modelle kompromittiert haben, darunter MK2, MK3, MK4, Q und MK5, was zum Diebstahl von Bitcoin im Wert von mehr als 100 Millionen US-Dollar führte. Die Angreifer nutzten Berichten zufolge eine Firmware-Sicherheitslücke aus, die auf einen Integrationsfehler in der Firmware vom März 2021 zurückzuführen war. Dieser führte dazu, dass vermeintlich nicht erratbare Seed-Phrasen rechnerisch aufgezählt werden konnten, wodurch Angreifer private Schlüssel rekonstruieren konnten, ohne physischen Zugriff auf die Geräte zu haben.

Der Vorfall ist der jüngste in einer Reihe von Angriffen, die sich in diesem Jahr gegen die Kryptowährungsbranche richten. TRM Labs hat für das Jahr 2026 mehr als 200 Vorfälle und Verluste in Höhe von fast 950 Millionen US-Dollar gezählt, während Blockaid die Verluste allein im ersten Halbjahr auf über 1 Milliarde US-Dollar schätzt.

Das kolumbianische Justizministerium wurde am 2. August 2026 Opfer eines Ransomware-Angriffs, der einen Teil seiner IT-Infrastruktur beeinträchtigte und die Verfügbarkeit mehrerer öffentlich zugänglicher digitaler Dienste einschränkte.

Nach Angaben des Ministeriums waren mehrere Dienste von dem Angriff betroffen, darunter solche im Zusammenhang mit der Überwachung illegaler Drogen und mit Gerichtsverfahren. Nachdem der Angriff entdeckt worden war, isolierte das Ministerium die kompromittierten Systeme, um eine Ausbreitung auf andere Teile des Netzwerks zu verhindern. Außerdem begann es, gemeinsam mit dem kolumbianischen Ministerium für Informations- und Kommunikationstechnologien sowie anderen Behörden den Vorfall zu untersuchen.

Der Angriff erfolgte nur einen Tag, nachdem das nationale Cybersicherheits-Notfallteam Kolumbiens (ColCERT) eine Warnung veröffentlicht hatte, wonach Ransomware-Gruppen ihr Augenmerk verstärkt auf das Land gerichtet hätten. Kolumbien war in letzter Zeit mit einer steigenden Zahl von Cyberangriffen konfrontiert, die sich gegen Regierungsbehörden sowie staatlich geförderte oder staatliche Organisationen richteten. Im März wurde die nationale Steuerbehörde des Landes angeblich kompromittiert, während im Juli Kolumbiens größtes Öl- und Gasunternehmen, Ecopetrol SA, einen Datenverstoß bestätigte.

Microsoft Threat Intelligence hat einen groß angelegten npm-Supply-Chain-Angriff identifiziert, von dem mehr als 400 Pakete verschiedener, nicht miteinander in Verbindung stehender Anbieter betroffen sind.

Der Angriff auf die Lieferkette hat Pakete betroffen, die mit wichtigen Unternehmenssoftware-Ökosystemen in Verbindung stehen, darunter keyv, flat-cache und cache-manager. Die schädlichen Versionen enthalten eine Variante von „Mini Shai-Hulud“, einen sich selbst verbreitenden Wurm zum Diebstahl von Anmeldedaten, der über eine umfangreiche, stark verschleierte, auf Bun basierende JavaScript-Nutzlast verbreitet wird. Die Malware wird in der Regel automatisch über einen npm-Preinstall-Lifecycle-Hook ausgeführt, noch bevor die Installation des Pakets abgeschlossen ist.

Nach der Ausführung durchsucht die Malware die Arbeitsplätze der Entwickler sowie Continuous-Integration- und Continuous-Delivery-Umgebungen (CI/CD) nach Anmeldedaten für npm, GitHub, Cloud-Dienste und die Infrastruktur, wodurch sensible Zugangsdaten in den verschiedenen Entwicklungsumgebungen potenziell offengelegt werden.