RingCentral Datenleck betrifft 1,6 Millionen Konten

Was ist passiert

Der Riese für cloudbasierte Kommunikations- und Kollaborationsplattformen, RingCentral, steht nach einem großen Datenleck, das die Cybersicherheitswelt erschüttert hat, im Rampenlicht. Die Bestätigung durch den vertrauenswürdigen Benachrichtigungsdienst für Datenpannen, Have I Been Pwned, hat das Ausmaß des Lecks deutlich gemacht: Persönliche Informationen von 1,6 Millionen Benutzerkonten wurden kompromittiert. Der Vorfall ereignete sich ursprünglich im Juli 2026 und wurde von einem der bekanntesten Akteure der Cyberkriminalitätsszene, der Erpressergruppe ShinyHunters, für sich beansprucht.

Die Chronologie der Ereignisse zeigt, wie schnell und organisiert moderne Cyberangriffe ablaufen. Am 27. Juli behauptete die ShinyHunters-Gruppe, RingCentral gehackt und 623 GB an Daten gestohlen zu haben. Die Gruppe stellte dem Unternehmen eine Lösegeldforderung unter Anwendung der klassischen "Zahlen oder wir leaken" (pay or leak) Taktik. Nachdem RingCentral sich weigerte, dieser Forderung nachzukommen, machte die Gruppe ihre Drohung wahr und veröffentlichte einen komprimierten Teil der gestohlenen Daten von 280 GB auf ihrer Dark-Web-Seite. Dieser Schritt signalisierte das Ende der Verhandlungen und dass die Daten nun öffentlich zugänglich waren.

Einen Tag später, am 28. Juli, bestätigte RingCentral in einer Erklärung, dass seine Systeme kompromittiert worden waren. Das Unternehmen vermied es jedoch, den Angriff einer bestimmten Gruppe zuzuordnen und beschrieb den Vorfall als eine "hochentwickelte Social-Engineering-Kampagne". Diese Erklärung deutet darauf hin, dass die Angreifer durch die Manipulation des menschlichen Faktors Zugang erlangten und nicht durch Brute-Force-Angriffe oder technische Schwachstellen.

Welche Daten wurden kompromittiert

Durch die Analyse des durchgesickerten Datensatzes durch den Dienst Have I Been Pwned wurden Art und Sensibilität der gestohlenen Informationen deutlich. Das Leck enthält hochkritische persönliche Daten von 1,6 Millionen Nutzern. Zu diesen Daten gehören:

• Vollständige Namen: Grundlegende Informationen, die die Identität der Nutzer direkt preisgeben.
• E-Mail-Adressen: Ein primärer Schlüssel, der verwendet wird, um Konten auf anderen Plattformen anzugreifen und Phishing-Angriffe zu starten.
• Telefonnummern: Eine kritische Information für Angriffe wie SMS-basiertes Phishing (Smishing), betrügerische Anrufe und SIM-Swapping.
• Physische Adressen: Die Privat- oder Geschäftsadressen der Nutzer. Das Leck dieser Information birgt das Risiko, dass digitale Bedrohungen auf die physische Ebene übergreifen, und ist ein ernstes Anliegen für die persönliche Sicherheit.

Das kombinierte Leck dieser vier Schlüsselinformationen ist eine wahre Goldgrube für Cyberkriminelle. Angreifer können diese Daten nutzen, um äußerst überzeugende und personalisierte Phishing-E-Mails oder -Nachrichten zu erstellen, Identitätsdiebstahl zu begehen oder die Daten in anderen Cybercrime-Foren zu verkaufen, um Einnahmen zu erzielen.

Wie der Angriff stattfand

RingCentral hat nur sehr begrenzte Informationen über die technischen Details des Angriffs preisgegeben. Laut der offiziellen Erklärung des Unternehmens gelang es den Angreifern, durch eine "hochentwickelte Social-Engineering-Kampagne" in das System einzudringen. Social Engineering ist eine Methode, bei der Angreifer Mitarbeiter oder Benutzer manipulieren, um Zugang zu vertraulichen Informationen (wie Passwörtern, Zugangscodes usw.) zu erhalten, anstatt technische Schwachstellen auszunutzen. Dies geschieht oft durch den Aufbau von Vertrauen über gefälschte E-Mails, Telefonanrufe oder Nachrichten.

Die ShinyHunters-Gruppe, die die Verantwortung für den Angriff übernommen hat, genießt in der Welt der Cyber-Erpressung einen berüchtigten Ruf. Die Gruppe hat sich darauf spezialisiert, große Unternehmen anzugreifen, um Daten zu stehlen und Lösegeld zu fordern. Im Fall von RingCentral verfolgten sie dieselbe Taktik. Die Weigerung des Unternehmens, das Lösegeld zu zahlen, führte dazu, dass die Gruppe die Daten leakte, um ihren Ruf zu wahren und zukünftige Opfer einzuschüchtern.

Die Erfolgsbilanz von ShinyHunters zeigt, dass dies kein Einzelfall war. Die Gruppe wurde im vergangenen Jahr mit den Kampagnen Salesloft Drift und Salesforce Aura in Verbindung gebracht, die auf Salesforce-Kunden abzielten und angeblich zum Diebstahl von über 1,5 Milliarden Datensätzen führten. Sie sind auch mit Datenlecks bei mehr als einem Dutzend Snowflake-Kunden und verschiedenen anderen Drittanbieter-Integrationsanbietern verbunden. Kürzlich übernahmen sie die Verantwortung für eine neue Welle von Angriffen auf über 100 Organisationen durch die Ausnutzung einer Zero-Day-Lücke in Oracle PeopleSoft. Diese Vorgeschichte zeigt die Fähigkeit und Hartnäckigkeit der Gruppe.

Wer ist betroffen

Das Leck betrifft direkt 1,6 Millionen einzelne Nutzer mit Konten auf der RingCentral-Plattform. Die indirekten Auswirkungen könnten jedoch weitaus größer sein. RingCentral bietet kritische Kommunikationsdienste wie Anrufe, Messaging und Voicemail für über 600.000 Unternehmen weltweit an. Daher gefährden die durchgesickerten Daten nicht nur Einzelpersonen, sondern auch die Unternehmen, für die sie arbeiten. Mitarbeiterinformationen könnten als Ausgangspunkt für Wirtschaftsspionage oder komplexere Angriffe auf Unternehmensnetzwerke verwendet werden.

RingCentral hat erklärt, dass es die betroffenen Kunden direkt kontaktiert. Laut der Erklärung des Unternehmens ist anzunehmen, dass das Konto eines Benutzers nicht von diesem Vorfall betroffen ist, wenn er keine direkte Benachrichtigung erhalten hat. In solchen Situationen ist es jedoch immer am besten, vorsichtig zu sein.

Was Sie tun können

Wenn Sie ein RingCentral-Nutzer sind oder waren, ist es wichtig, proaktive Schritte zu unternehmen, falls Ihre Daten kompromittiert wurden:

• Überprüfen Sie Ihre Konten: Sie können vertrauenswürdige Plattformen wie Have I Been Pwned oder eine Datenleck Suche verwenden, um zu sehen, ob Ihre Daten in diesem oder einem anderen Leck enthalten waren.
• Seien Sie wachsam gegenüber Phishing-Angriffen: Da Ihre E-Mail-Adresse und Telefonnummer offengelegt wurden, erhalten Sie möglicherweise maßgeschneiderte gefälschte Nachrichten oder E-Mails. Klicken Sie nicht auf Links aus unbekannten Quellen und geben Sie keine persönlichen Informationen preis.
• Überprüfen Sie Ihre Passwortsicherheit: Obwohl es keine Informationen darüber gibt, dass bei diesem Leck Passwörter gestohlen wurden, ist es eine gute Sicherheitsmaßnahme, die Passwörter für Ihr RingCentral-Konto und andere wichtige Konten zu ändern. Verwenden Sie starke, einzigartige Passwörter für jede Plattform.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA): Aktivieren Sie 2FA für alle möglichen Konten. Dies bietet eine zusätzliche Sicherheitsebene, die unbefugten Zugriff verhindert, selbst wenn Ihr Passwort gestohlen wird.
• Verfolgen Sie offizielle Ankündigungen: Behalten Sie weitere Ankündigungen und Anleitungen von RingCentral im Auge. Das Unternehmen könnte spezifische Anweisungen für betroffene Benutzer bereitstellen.

Was das Unternehmen sagt

In seiner offiziellen Erklärung vom 28. Juli bestätigte RingCentral den Vorfall und informierte über die ergriffenen Maßnahmen. Das Unternehmen erklärte: "Wir haben seit der Durchführung dieser Abhilfemaßnahmen keine neuen unbefugten Aktivitäten festgestellt. Bisher hat dieser Vorfall Daten eines begrenzten Teils der RingCentral-Kunden betroffen, und wir kommunizieren direkt mit den betroffenen Kunden."

Es fügte hinzu: "Wenn Sie nicht von RingCentral kontaktiert werden, sind Sie nicht betroffen. Dieser Vorfall hat die Kernplattform von RingCentral nicht beeinträchtigt, und unsere Dienste laufen ohne Unterbrechung weiter." Die Formulierung "begrenzter Teil" des Unternehmens könnte angesichts eines Datenlecks von 1,6 Millionen Konten öffentliche Debatten auslösen. Diese Aussage könnte jedoch eine relative Einschätzung basierend auf dem gesamten Kundenstamm des Unternehmens sein. Die Betonung, dass die Kernplattform nicht betroffen war, zielt darauf ab, die Botschaft zu vermitteln, dass die infrastrukturelle Sicherheit und die betriebliche Kontinuität des Dienstes aufrechterhalten wurden.

Quelle

https://www.bleepingcomputer.com/news/security/ringcentral-data-breach-exposed-info-of-1-6-million-accounts/