Gentlemen Ransomware behauptet Datenleck bei Glassdoor

Die Ransomware-Gruppe Gentlemen behauptet, in die Plattform für Arbeitgeberbewertungen und Stellenangebote Glassdoor eingedrungen zu sein, und droht damit, angeblich gestohlene Informationen nach Ablauf eines 172-stündigen Countdowns zu veröffentlichen.

Die Gruppe hat Glassdoor auf ihrer Leak-Seite aufgeführt, jedoch keine Beispiele der angeblich gestohlenen Daten veröffentlicht. Daher bleibt der behauptete Datendiebstahl bei Glassdoor unbestätigt, und Art sowie Umfang der mutmaßlich entwendeten Informationen sind unbekannt.

Es ist unklar, ob die Daten internes Unternehmensmaterial, Mitarbeiterinformationen, Angaben zu Arbeitssuchenden oder eine Kombination verschiedener Datensätze umfassen könnten.

Glassdoor verfügt über Daten von Millionen Nutzern und Unternehmen

Glassdoor veröffentlicht anonyme Arbeitgeberbewertungen, Gehaltsinformationen und Stellenangebote, die von aktuellen und ehemaligen Mitarbeitern eingereicht werden.

Die Plattform verzeichnet bis zu 67 Millionen einzelne Besucher pro Monat, Bewertungen zu mehr als zwei Millionen Unternehmen und Millionen aktive Stellenangebote. Diese Größenordnung könnte die Plattform zu einem wertvollen Ziel für Kriminelle machen, falls sich die Behauptung als zutreffend erweist.

Jobplattformen sammeln große Mengen an Informationen über Arbeitgeber, Bewerber und Entwicklungen auf dem Arbeitsmarkt. Forscher erklärten, dass solche Daten Angreifern möglicherweise dabei helfen könnten, Unternehmen zu identifizieren, die Personalveränderungen durchlaufen oder bestimmte Positionen besetzen wollen.

Daten könnten Phishing und Aufklärung unterstützen

Informationen über Bewerber könnten Kriminellen helfen, glaubwürdige Phishing-Nachrichten zu erstellen, die scheinbar von einem Unternehmen stammen, bei dem sich die betreffende Person beworben hat.

Geschäftliche E-Mail-Adressen, Informationen über Einstellungsverfahren und Kontostrukturen könnten Social-Engineering-Kampagnen ebenfalls gezielter machen. Angreifer könnten dieses Material mit Informationen aus früheren Datenschutzverletzungen kombinieren, um offengelegte Zugangsdaten oder andere sensible Informationen zu identifizieren.

Forscher wiesen darauf hin, dass Stellenanzeigen selbst einen gewissen Wert für die Aufklärung haben können. Ein plötzlicher Anstieg offener Stellen in den Bereichen Incident Response, digitale Forensik oder Sicherheitsbetrieb könnte darauf hindeuten, dass ein Unternehmen mit einem internen Sicherheitsproblem zu kämpfen hat.

Glassdoor wurde um eine Stellungnahme gebeten. Zum Zeitpunkt der Veröffentlichung hatte das Unternehmen den mutmaßlichen Vorfall nicht öffentlich bestätigt.

Gentlemen setzt auf doppelte Erpressung

Gentlemen arbeitet nach einem Ransomware-as-a-Service-Modell und teilt die Gewinne mit Partnern, die die Angriffe durchführen. Die Gruppe nutzt doppelte Erpressung, bei der Datendiebstahl und Verschlüsselung mit Zahlungsforderungen kombiniert werden.

Forscher bringen die Gruppe mit ArmCorp in Verbindung, einem ehemaligen Partnercluster der Ransomware-Operation Qilin. Die Trennung soll auf einen Zahlungsstreit im Juli 2025 gefolgt sein, obwohl Hinweise darauf hindeuten, dass die Abspaltung der Gruppe bereits zuvor geplant war.

Gentlemen hat in der Vergangenheit behauptet, Organisationen wie den NATO-Auftragnehmer Indra und die niederländische Eissportarena Thialf angegriffen zu haben.

Job- und Rekrutierungsplattformen sind wiederholt ins Visier von Kriminellen geraten, da sie große Mengen personenbezogener Informationen speichern können. Bei mehreren jüngsten Vorfällen wurden Lebensläufe, Rekrutierungsdaten, Kontaktdaten von Bewerbern und Zugangsdaten offengelegt, wodurch Risiken für Identitätsdiebstahl und gezielte Betrugsversuche entstehen.