Grohe AG von Ransomware-Attacke betroffen

CeltStudio – Shutterstock.com

Die Grohe AG zählt zu den bekanntesten deutschen Herstellern von Armaturen und Sanitärprodukten. Die berüchtigte Ransomware-Bande Ransomhub listet das Unternehmen nun als Opfer auf ihrer Darknet-Seite. Die Hacker behaupten, erfolgreich eingedrungen zu sein und 100 Gigabyte Daten erbeutet zu haben.

Um welche Informationen es sich dabei genau handelt, geben die Kriminellen nicht an. Sie setzen das Unternehmen jedoch mit einer Frist für die Zahlung eines Lösegelds unter Druck. Diese läuft noch bis zum 28. Januar 2025. Sollte der Armaturenhersteller bis dahin nicht gezahlt haben, werden die Angreifer die angeblich gestohlenen Daten vermutlich veröffentlichen.

Grohe selbst hat den Angriff noch nicht bestätigt. Eine Anfrage von CSO blieb bislang unbeantwortet.

Über Ransomhub

Ransomhub zählt zu den Ransomware-as-a-Service (RaaS)-Gruppen und wurde im Februar 2024 entdeckt. Security-Forscher gehen davon aus, dass eine Verbindung zur BlackCat-Bande gibt. Die Gruppe war für den Angriff auf die US-Gesundheitsplattform Change Healthcare im Februar 2024 verantwortlich. Einen Monat später tauchte das Unternehmen auf der Opferliste von Ransomhub auf. Analysen zufolge hat die Bande im vergangenen Jahr so Lockbit von der Ransomware-Spitze abgelöst.

Laut dem Sicherheitsspezialisten Trend Micro hat es Ransomhub besonders auf Unternehmen abgesehen, die eher bereit sind, hohe Lösegelder zu zahlen. Die Angriffe zielen demnach zudem auf Cloud-Speicher-Backups und falsch konfigurierte Amazon S3-Instanzen ab, um Backup-Anbieter mit Datenlecks zu bedrohen und das Vertrauen zwischen Anbietern und ihren Kunden auszubeuten.

Update

Die Grohe AG hat unsere Nachfrage inzwischen beantwortet. “Uns liegen keine Informationen vor, die auf einen Vorfall schließen lassen, der unsere Server in Europa betrifft. Dieser Zwischenfall begrenzte sich auf die Region Amerika”, erklärte ein Sprecher gegenüber CSO. Die Untersuchung sei noch nicht abgeschlossen. “Unser amerikanisches Team hat wichtige Fortschritte dabei gemacht, das lokale Netzwerk und Server wieder in Betrieb zu nehmen. Sollten wir feststellen, dass sensible Informationen gefährdet sind, werden wir die relevanten Parteien benachrichtigen”, versichert das Unternehmen.