Datenanalyst wegen Diebstahls von Arbeitgeberdaten und Erpressung zu Haft verurteilt

Ein ehemaliger Auftragnehmer von Brightly Software wurde zu zwei Jahren Haft verurteilt, weil er Unternehmensdaten gestohlen und versucht hatte, seinen Arbeitgeber um 2,5 Millionen US-Dollar in Kryptowährung zu erpressen.

Ehemaliger Auftragnehmer nimmt Brightly Software ins Visier

Cameron Curry, 27, aus North Carolina arbeitete als externer Datenanalyst für Brightly Software. Das SaaS-Unternehmen, das früher unter dem Namen SchoolDude bekannt war, bietet Software für Anlagenverwaltung und Wartung für mehr als 12.000 Kunden weltweit an.

Siemens übernahm Brightly im Jahr 2022. Das Unternehmen beschäftigt mehr als 700 Mitarbeiter.

Eine Jury befand Curry im März für schuldig, eine umfangreiche Cybererpressung gegen das Unternehmen durchgeführt zu haben. Gerichtsunterlagen zeigten, dass er während seiner Tätigkeit als Auftragnehmer Zugriff auf sensible Gehalts- und Unternehmensdaten hatte.

Curry erfuhr, dass Brightly seinen sechsmonatigen Vertrag nicht verlängern würde. Nachdem der Vertrag am 10. Dezember 2023 ausgelaufen war, soll er die gestohlenen Daten genutzt haben, um das Unternehmen zu einer Zahlung zu zwingen.

Gestohlene Gehaltsdaten für Erpressung genutzt

Unter dem Online-Alias „Loot“ verschickte Curry zwischen dem 11. Dezember 2023 und dem 24. Januar 2024 Erpressungs-E-Mails an Dutzende Mitarbeiter von Brightly.

Er forderte 2,5 Millionen US-Dollar in Kryptowährung und drohte damit, die gestohlenen Informationen zu veröffentlichen, falls das Unternehmen nicht zahle. Zudem warnte er, dass sich die Lösegeldforderung mit jedem weiteren Monat um 100.000 US-Dollar erhöhen würde.

Die Nachrichten enthielten Screenshots mit personenbezogenen Daten. Zu den offengelegten Informationen gehörten Berichten zufolge Namen, Geburtsdaten, Privatadressen und Gehaltsdaten von Mitarbeitern.

Curry drohte außerdem damit, Brightly bei der US-Börsenaufsicht SEC zu melden, weil das Unternehmen den Vorfall angeblich nicht offengelegt hatte.

Unternehmen zahlte Bitcoin vor FBI-Ermittlungen

Brightly zahlte nach den Erpressungs-E-Mails 7.540 US-Dollar in Bitcoin. Das Geld ging an eine von Curry kontrollierte Kryptowallet.

Nachdem Brightly den Fall gemeldet hatte, durchsuchte das FBI am 24. Januar 2024 Currys Wohnung. Die Ermittler beschlagnahmten elektronische Geräte, auf denen sich Beweise befanden, die ihn mit der Datenerpressung gegen Brightly in Verbindung brachten.

Das Unternehmen erklärte, während der Ermittlungen vollständig mit dem FBI und dem US-Justizministerium zusammengearbeitet zu haben.

Die Haftstrafe bezieht sich auf Currys mutmaßlichen Datendiebstahl als Insider und die anschließende Erpressung. Der Fall steht nicht im Zusammenhang mit einem Datendiebstahl aus dem Jahr 2023, der Brightlys SchoolDude-Plattform betraf.

Frühere Brightly-Datenpanne war nicht verbunden

Im Mai 2023 meldete Brightly eine separate Datenpanne, von der fast drei Millionen Kunden und Nutzer der SchoolDude-Onlineplattform betroffen waren.

Bei diesem früheren Vorfall wurden Zugangsdaten und personenbezogene Informationen gestohlen, darunter Namen, E-Mail-Adressen, Passwörter und Telefonnummern.

Die beiden Fälle verdeutlichen die Risiken für Unternehmen, wenn sensible Informationen über interne Systeme zugänglich sind. Unternehmen benötigen strenge Zugriffskontrollen, klare Prozesse beim Ausscheiden von Mitarbeitern und Auftragnehmern sowie eine Überwachung, die ungewöhnliche Datenzugriffe erkennen kann, bevor daraus ein Erpressungsversuch entsteht.