US-Regierungsbehörde soll in Fall von Daten-Erpressung rund 1 Million US-Dollar an Kairos gezahlt haben

Eine US-Regierungsorganisation hat offenbar rund 1 Million US-Dollar gezahlt, nachdem Angreifer damit gedroht hatten, gestohlene Daten zu veröffentlichen. Das geht aus einer neuen Fallstudie des Ransom-ISAC-Forschers Rakesh Krishnan hervor. Die Analyse basiert auf einem durchgesickerten Verhandlungschat und der Nachverfolgung von Kryptowährungstransaktionen nach der Zahlung.

Der Vorfall ist bemerkenswert, weil die unter dem Namen Kairos auftretende Gruppe offenbar keine herkömmlichen Ransomware-Taktiken eingesetzt hat. Krishnan zufolge fand er keine Hinweise auf eine Verschlüsselung von Dateien, Entschlüsselungstools oder einen Sperrmechanismus. Stattdessen konzentrierte sich der Angriff darauf, Daten zu stehlen und das Opfer unter Druck zu setzen, damit es diese nicht öffentlich macht.

Das Opfer wurde in der Studie nicht namentlich genannt, doch Details im Chat deuten auf Union County im US-Bundesstaat Ohio hin. Zu den Dateinamen in dem Material gehörten beispielsweise Union.xlsx und union.rar. Außerdem verwies der Angreifer wiederholt auf einen Ordner, der als Ordner der Staatsanwaltschaft gekennzeichnet war. Dies deutet darauf hin, dass die Dokumente bei einer Veröffentlichung besonders schädlich sein könnten.

Union County teilte im Mai 2025 mit, dass es Ransomware-Aktivitäten entdeckt habe. Später informierte der Landkreis Zehntausende Einwohner und Beschäftigte darüber, dass personenbezogene Daten gestohlen worden waren. Zu den offengelegten Datensätzen gehörten Berichten zufolge Sozialversicherungsnummern, Finanzdaten, Fingerabdrücke und Passinformationen. Der Landkreis hat eine Verbindung zu Kairos bislang nicht öffentlich bestätigt, und auch die Gruppe hat den Zusammenhang nicht eingeräumt.

So liefen die Verhandlungen ab

Dem durchgesickerten Chat zufolge begann die Erpressungsforderung bei 3 Millionen US-Dollar und wurde in mehreren Verhandlungsrunden angepasst. Die Angebote des Landkreises stiegen von 100.000 auf 255.000 und später auf 430.000 US-Dollar, während Kairos seine Forderung auf 2 Millionen US-Dollar senkte, bevor man sich schließlich auf eine letzte Forderung von 1 Million US-Dollar einigte.

Die am 13. Juni 2025 geleistete Zahlung entsprach zu diesem Zeitpunkt etwa 9,44 Bitcoin. Krishnan zufolge wurden die Gelder rasch aufgeteilt und über mehrere Wallets transferiert, bevor sie Adressen zugeführt wurden, die großen Kryptobörsen und einem russischen Kryptowährungsdienst zugeordnet werden.

Der Fall spiegelt eine breitere Entwicklung bei erpresserischen Angriffen wider: Einige Betreiber verzichten inzwischen darauf, Systeme zu verschlüsseln, und verlassen sich stattdessen allein auf gestohlene Daten, um Zahlungen zu erzwingen. Sicherheitsforscher weisen darauf hin, dass dieses Modell in den vergangenen Jahren zunehmend verbreitet ist.

• Kairos soll damit gedroht haben, vertrauliche Datensätze des Landkreises zu veröffentlichen, falls keine Zahlung geleistet werde.
• Es wurde eine Datei als „Löschungsnachweis“ bereitgestellt. Diese bestätigt jedoch nicht, dass die Daten tatsächlich gelöscht wurden.
• Forschern zufolge bleiben Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung und Netzwerksegmentierung für lokale Behörden entscheidend.

Krishnan zufolge ist die öffentliche Leak-Website von Kairos nicht mehr aktiv. Die mit der Operation verbundene Wallet-Aktivität soll jedoch bis ins Jahr 2026 fortgesetzt worden sein.