Grubhub-Datenleck mit ShinyHunters-Salesforce-Erpressung verknüpft

Der Grubhub-Datenverstoß wurde bekannt, nachdem Hacker auf interne Unternehmenssysteme zugegriffen und versucht hatten, die Lieferplattform zu erpressen. Ermittler bringen den Vorfall mit einer umfassenderen Salesforce-bezogenen Angriffskampagne in Verbindung, die auf gestohlenen Authentifizierungs-Token basiert statt auf direkten Plattform-Exploits. Obwohl Grubhub angibt, dass Kundenzahlungsdaten sicher geblieben sind, zeigt der Vorfall, wie Drittanbieter-Integrationen große Unternehmen weiterhin erheblichen Risiken aussetzen.

Was bei Grubhub passiert ist

Hacker verschafften sich unbefugten Zugriff auf Grubhubs interne Umgebungen und luden Unternehmensdaten herunter. Grubhub erkannte den Eindringversuch durch interne Überwachung und ergriff schnell Maßnahmen, um die Aktivität einzudämmen. Die Angreifer konzentrierten sich auf interne Systeme und nicht auf kundennahe Dienste.

Grubhub bestätigte, dass der Vorfall keine Kreditkartendaten, Bankinformationen oder Bestellhistorien von Kunden offengelegt hat. Stattdessen erhielten die Angreifer Zugriff auf interne Datensätze, die mit Support-Abläufen und Geschäftsprozessen verbunden sind. Nach der Identifizierung des Vorfalls sicherte Grubhub die betroffenen Systeme und leitete eine umfassende Untersuchung ein.

Erpressungsversuch mit Bezug zu ShinyHunters

Sicherheitsforscher führen den Vorfall auf Akteure zurück, die mit ShinyHunters in Verbindung stehen, einer cyberkriminellen Gruppe, die für Datendiebstahl und Erpressung bekannt ist. Die Gruppe drohte damit, gestohlene Informationen zu veröffentlichen, falls Grubhub kein Lösegeld zahlt.

Die Angreifer sollen ältere Daten aus dem Kundenbeziehungsmanagement mit neueren supportbezogenen Informationen kombiniert haben. Diese Kombination erhöhte den Druck auf Grubhub, da sie Bedenken hinsichtlich möglicher Reputationsschäden auslöste. Grubhub hat nicht bestätigt, ob das Unternehmen direkte Lösegeldforderungen erhielt oder Verhandlungen aufnahm.

Verbindung zu Salesforce-bezogenen Angriffen

Forscher gehen davon aus, dass der Grubhub-Datenverstoß Teil einer größeren Kampagne ist, die Salesforce-verbundene Umgebungen über kompromittierte OAuth-Token ins Visier nahm. Die Angreifer missbrauchten Berechtigungen von Drittanbieter-Tools, anstatt die Salesforce-Infrastruktur direkt anzugreifen.

Diese Methode ermöglicht es Angreifern, traditionelle Sicherheitswarnungen zu umgehen und über längere Zeiträume Zugriff zu behalten. Selbst nachdem Unternehmen ihre Systeme abgesichert haben, bleiben gestohlene Daten oft für zukünftige Erpressungs- oder Betrugsversuche wertvoll.

Welche Daten betroffen waren

Grubhub gibt an, dass die Angreifer keinen Zugriff auf sensible Kundendaten hatten. Finanzielle Informationen, Passwörter und Bestellhistorien blieben während des gesamten Vorfalls geschützt. Die offengelegten Daten scheinen sich auf interne Geschäftsunterlagen und Informationen aus Support-Plattformen zu beschränken.

Trotz dieser Zusicherungen warnen Cybersicherheitsexperten, dass interne Datensätze weiterhin Risiken bergen. Angreifer können Support-Daten nutzen, um überzeugende Phishing-Kampagnen oder Social-Engineering-Angriffe gegen Mitarbeiter und Partner durchzuführen.

Grubhubs Reaktion und nächste Schritte

Grubhub meldete den Vorfall den Strafverfolgungsbehörden und arbeitet weiterhin mit externen Cybersicherheitsexperten zusammen. Das Unternehmen hat Überwachungsmaßnahmen verstärkt und die Zugriffsrechte von Drittanbietern in seinen Systemen überprüft.

Grubhub hat keinen Zeitplan für den Abschluss der Untersuchung genannt. Das Unternehmen erklärt, dass es seine internen Sicherheitsprozesse weiter verbessern wird, um Risiken durch integrierte Plattformen zu reduzieren.

Fazit

Der Grubhub-Datenverstoß zeigt, dass Angreifer zunehmend Drittanbieter-Zugänge ausnutzen statt direkte Systemschwachstellen. Selbst ohne die Offenlegung finanzieller Kundendaten kann interner Datendiebstahl Erpressung begünstigen und langfristige Risiken verursachen. Da tokenbasierte Angriffe häufiger werden, müssen Unternehmen die Kontrollen rund um angebundene Plattformen und Zugriffsrechte weiter verschärfen.