Der Berliner Lebensmittel-Lieferdienst Flink wurde Opfer eines Cyberangriffs – die Folgen treffen nun jedoch vor allem die Kundschaft. Eine bislang weitgehend unbekannte Cyberkriminellen-Gruppe namens „LPG Group“ verschaffte sich Zugang zu einem internen System des Unternehmens und erbeutete nach eigenen Angaben persönliche Daten von bis zu einer Million Kundinnen und Kunden sowie rund 13.000 Beschäftigten. Das Besondere an diesem Fall: Nachdem Flink jegliche Lösegeldzahlung ablehnte, gingen die Erpresser einen ungewöhnlichen Weg. Statt nur das Unternehmen unter Druck zu setzen, kontaktieren sie nun die betroffenen Kunden direkt per E-Mail – und verlangen von jedem Einzelnen eine Zahlung in der Kryptowährung Ethereum. Cybersicherheitsexperten sprechen von einer bisher kaum beobachteten Vorgehensweise, einer Art kriminellem „Crowdfunding“, das in der Branche für Aufsehen sorgt.
unternehmer.de zu Google hinzufügenMehr zu ähnlichen Themen findest du am Ende dieses Beitrags.
Was wissen die Hacker jetzt über die Kunden?
Konkret gelangten die Angreifer an Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern der Betroffenen. In manchen Fällen wurden offenbar auch detaillierte Lieferhinweise kopiert – etwa die Etage, der Eingang oder der Name auf dem Klingelschild. Flink betont allerdings, dass Passwörter, Kreditkartendaten und Bankinformationen nicht in die Hände der Kriminellen gelangt seien.
Einfallstor war laut Unternehmensangaben ein internes Bestellsystem, das in den sogenannten Order Hubs zum Einsatz kommt – jenen dezentralen Kleinlagern in Stadtgebieten, die Flink seine schnellen Lieferzeiten ermöglichen. Betroffen war demnach ein einzelner dieser Standorte. Wie „Golem“ berichtete, nutzten die Täter die Zugangsdaten eines ehemaligen Mitarbeiters, um sich Zutritt zu verschaffen. Der kompromittierte Zugang wurde nach Bekanntwerden umgehend gesperrt.
Kriminelles Crowdfunding? So gehen die Erpresser vor
Flink machte unmissverständlich klar, dass man weder mit den Erpressern kommuniziert noch Geld überweist. „Flink tritt grundsätzlich nicht mit Kriminellen in Kontakt und führt keine Verhandlungen mit ihnen“, teilte das Unternehmen mit. Die Hacker schwenkten daraufhin auf Plan B um: In ihren Mails an die Kundschaft fordern sie pro Person 0,005 ETH – umgerechnet etwa 10 Euro. Insgesamt sollen so 100 ETH zusammenkommen, was rund 235.000 Euro entspricht. Wer nicht zahle, dessen Daten würden im Deep Web zum Verkauf angeboten, drohen die Kriminellen. Praktischerweise liefern sie gleich eine Schritt-für-Schritt-Anleitung zum Kauf und Versand von Ethereum mit. Als Frist nannten sie den 2. Oktober.
Cybersicherheitsexperte Pim Takkenberg von der Firma Northwave bezeichnete diese Methode als außergewöhnlich. „Dass einzelne Verbraucher direkt angesprochen werden, habe ich bisher noch nicht erlebt“, sagte er gegenüber dem niederländischen Sender NOS.
Flink schlägt zurück – zumindest auf dem Meldeweg
Das Unternehmen reagierte wenige Stunden nach dem Eintreffen der ersten Erpresserschreiben und informierte seine Kundschaft am vergangenen Freitag über den Vorfall. Parallel erstattete Flink Strafanzeige und setzte sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch die Berliner Datenschutzbeauftragte in Kenntnis. Externe IT-Forensiker wurden hinzugezogen, um den Angriff aufzuklären.
Allein in den Niederlanden landeten mindestens 10.000 Erpressermails in den Postfächern von Flink-Kunden. Über den Flink-Support meldeten sich bis Samstag hingegen nur rund 150 Betroffene – das tatsächliche Ausmaß in Deutschland bleibt damit unklar. Immerhin konnte Flink durch eine Missbrauchsmeldung beim genutzten E-Mail-Anbieter den Versand der Erpresserschreiben vorerst eindämmen. Dass die Kriminellen auf andere Kanäle ausweichen könnten, schließt das Unternehmen allerdings nicht aus.
Das sollten Betroffene jetzt beachten
Für Betroffene gilt eine klare Handlungsempfehlung: Auf die Erpresserschreiben sollte in keinem Fall reagiert werden – weder durch eine Antwort noch durch eine Zahlung. Wer antwortet, bestätigt den Kriminellen lediglich eine aktive E-Mail-Adresse. Wer bezahlt, finanziert das Geschäftsmodell der Täter. Stattdessen rät Flink seinen Kunden, den Vorfall bei der Polizei anzuzeigen.
Darüber hinaus sollten sich Flink-Nutzer und -Beschäftigte in den kommenden Wochen und Monaten besonders aufmerksam gegenüber möglichen Phishing-Versuchen zeigen. Mit den erbeuteten persönlichen Daten lassen sich täuschend echte Betrugsversuche konstruieren – die gefälschten Absenderadressen der bisherigen Mails zeigen bereits, wie geschickt die Täter vorgehen.
Auch für Flink selbst dürfte der Fall ein Nachspiel haben: Das Unternehmen wird sich voraussichtlich dafür verantworten müssen, dass personenbezogene Kundendaten nicht ausreichend geschützt waren.
Hier kannst du mehr über ähnliche Themen lesen:
- Neobank Revolut gehackt: Erpresser fordern 780 Millionen Dollar
- Vorsicht bei dieser Nachricht: Phishing-Mails locken mit Elster-Steuererstattung
- KI-Betrug: Einsatz künstlicher Intelligenz macht Phishing-Mails noch gefährlicher
- Phishing mit Teams-Benachrichtigungen: Angreifer missbrauchen Microsoft-Anwendung
- KI-Agent Jadepuffer startet einen Ransomware-Angriff – und verliert prompt den Schlüssel
