Nintendo-Datenverstoß löst Lösegeldforderung von 2 Millionen US-Dollar aus

Ein neuer angeblicher Nintendo-Datenverstoß ist aufgetaucht, nachdem ein Bedrohungsakteur 2 Millionen US-Dollar gefordert hat, um die Veröffentlichung angeblich gestohlener Unternehmensinformationen zu verhindern. Die Gruppe mit dem Namen ShadowByte$ behauptet, fast ein Jahrzehnt an mitarbeiterbezogenen Daten und internen Unternehmensdokumenten erbeutet zu haben.

Nintendo hat den angeblichen Vorfall bislang nicht bestätigt. Forscher, die veröffentlichte Stichproben analysiert haben, berichten jedoch, dass zumindest Teile des Materials authentisch erscheinen. Der Vorfall verdeutlicht die zunehmenden Risiken, denen Unternehmen ausgesetzt sind, wenn Angreifer Mitarbeiterdaten und externe Geschäftsplattformen ins Visier nehmen.

Hacker fordern 2 Millionen US-Dollar für die Zurückhaltung der Daten

ShadowByte$ veröffentlichte seine Behauptungen in einem Cybercrime-Forum und erklärte, über rund 859 MB an Nintendo-bezogenen Informationen zu verfügen. Die Gruppe forderte eine Zahlung von 2 Millionen US-Dollar und drohte damit, die Daten zu veröffentlichen, falls Nintendo die Forderung ablehnt.

Nach Angaben der Angreifer enthält der Datensatz Namen von Mitarbeitern, geschäftliche E-Mail-Adressen, Mitarbeiterumfragen, Analyseberichte, Organisationskennzahlen und interne Planungsdokumente. Einige Berichte erwähnen zudem Mitarbeiteridentifikationsdaten und Finanzunterlagen.

Die Angreifer behaupten, die Datensammlung decke einen Zeitraum von zehn Jahren ab. Sollte dies zutreffen, könnte das Material Einblicke in die internen Abläufe und Personalmanagementpraktiken von Nintendo ermöglichen.

Forscher finden Hinweise auf Authentizität

Cybersicherheitsforscher untersuchten die veröffentlichten Stichproben und identifizierten Informationen, die mit internen Personalunterlagen übereinstimmen könnten. Die Dateien enthalten Berichten zufolge Mitarbeiterbefragungen, Feedback aus dem Arbeitsumfeld, Engagement-Umfragen und leistungsbezogene Berichte.

Die Forscher fanden außerdem Hinweise auf Personen, die offenbar noch immer bei Nintendo beschäftigt sind. Einige Dokumente stammen aus dem Jahr 2016 und stützen damit die Behauptung, dass die Daten einen langen Zeitraum abdecken. Metadaten in mehreren Dateien weisen zudem auf Aktivitäten im Januar 2026 hin.

Trotz dieser Erkenntnisse konnten die Forscher weder den vollständigen Datensatz verifizieren noch feststellen, wie die Angreifer an die Informationen gelangten. Daher bleiben wichtige Fragen zu dem Vorfall weiterhin offen.

Drittanbieter könnten eine Rolle gespielt haben

Der Bedrohungsakteur verwies auf TinyPulse, eine Plattform für Mitarbeiterfeedback und Zufriedenheitsanalysen. Forscher vermuten, dass die Angreifer möglicherweise über einen Drittanbieter auf die Informationen zugegriffen haben und nicht direkt über Nintendos eigene Systeme.

Drittanbieter von Software stehen weiterhin im Fokus von Cyberkriminellen, da sie häufig große Mengen sensibler Unternehmensdaten speichern. Ein Sicherheitsvorfall bei einem einzelnen Dienstleister kann Daten zahlreicher Organisationen offenlegen.

Sicherheitsteams legen daher zunehmend Wert auf Lieferantenbewertungen, Zugriffskontrollen und Überwachungsprogramme, um Risiken im Zusammenhang mit externen Plattformen zu reduzieren. Der Nintendo-Vorfall zeigt, warum Unternehmen die Sicherheitspraktiken entlang ihrer gesamten Lieferkette überprüfen müssen.

Fazit

Der angebliche Nintendo-Datenverstoß bleibt unbestätigt, doch die Vorwürfe haben bereits erhebliche Aufmerksamkeit in der Cybersicherheitsbranche ausgelöst. ShadowByte$ behauptet, fast ein Jahrzehnt an mitarbeiterbezogenen Informationen gestohlen zu haben, und fordert 2 Millionen US-Dollar, um die Veröffentlichung der Daten zu verhindern.

Forscher haben Hinweise gefunden, die Teile der Behauptungen stützen, konnten jedoch das vollständige Ausmaß des angeblichen Datensatzes bislang nicht bestätigen. Während die Untersuchungen andauern, erinnert der Vorfall daran, dass Angreifer zunehmend Mitarbeiterdaten und externe Geschäftsdienste als Teil moderner Erpressungskampagnen ins Visier nehmen.