Bericht: Landkreis zahlte 1 Million US-Dollar in einem Fall von Cyber-Erpressung

Eine US-amerikanische Kommunalverwaltung hat der Cyber-Erpressergruppe Kairos Berichten zufolge 1 Million US-Dollar gezahlt, nachdem Angreifer damit gedroht hatten, bei einem auf Mai 2025 zurückgehenden Angriff gestohlene Daten zu veröffentlichen, so Ransom-ISAC.

Die Anti-Ransomware-Organisation erklärt, ein durchgesickertes Verhandlungsprotokoll zeige, dass Kairos zunächst 3 Millionen US-Dollar in Kryptowährung gefordert habe. Im Verlauf von etwa drei Wochen sollen sich die Angebote des Opfers von 100.000 auf 430.000 US-Dollar erhöht haben, bevor sich die Parteien auf eine Zahlung von 1 Million US-Dollar einigten. Die Zahlung wurde angeblich am 13. Juni in Bitcoin geleistet.

Ransom-ISAC erklärte, der Vorfall scheine eher eine Erpressungskampagne als ein Angriff mit dateiverschlüsselnder Ransomware gewesen zu sein. Die Gruppe berichtete außerdem, Kairos habe behauptet, nach dem Zugriff über einen Brute-Force-Angriff mehr als 2 Terabyte Daten beziehungsweise rund 1,6 Millionen Dateien erbeutet zu haben. Den Angaben der Organisation zufolge setzten die Angreifer die Drohung einer öffentlichen Offenlegung ein und übermittelten während der Verhandlungen Beweise für ihren Zugriff, um das Opfer unter Druck zu setzen.

Was das durchgesickerte Protokoll nahelegt

Ransom-ISAC erklärte, die Antworten des Opfers wirkten wie die einer Organisation, die Zeit gewinnen wollte, während rechtliche, finanzielle sowie Entscheidungen der Führungsebene und der Kommunikationsabteilung koordiniert wurden. Die Gruppe wies außerdem darauf hin, dass der von den Angreifern vorgelegte angebliche Löschungsnachweis begrenzt gewesen sei und nicht unabhängig überprüft werden könne.

Die Organisation nannte das Ziel nicht öffentlich, doch soll das Protokoll es als kleinen Landkreis mit begrenzten Ressourcen beschreiben. Auf Grundlage öffentlicher Mitteilungen scheint es sich bei der betroffenen Einrichtung um Union County im US-Bundesstaat Ohio zu handeln.

Mögliche Auswirkungen auf Einwohner

Im September informierte Union County 45.487 Menschen darüber, dass ihre personenbezogenen Daten bei einem mit Mai 2025 in Verbindung stehenden Cybervorfall offengelegt worden waren. Zu den betroffenen Daten gehörten Berichten zufolge:

• Namen, Geburtsdaten und Identifikationsnummern
• Daten von Führerscheinen, staatlichen Ausweisen und Reisepässen
• Sozialversicherungsnummern und Angaben zu Finanzkonten
• Fingerabdrücke, medizinische Informationen und Zahlungskartendaten

SecurityWeek erklärte, das Medium habe Union County um eine Stellungnahme gebeten und werde seine Berichterstattung aktualisieren, falls der Landkreis antwortet.