Von Sonntagabend bis Montagmorgen erlitt Europas größter Elektrofachhändler Mediamarkt einen Ransomware-Angriff, der Server und Workstations verschlüsselte und zum Herunterfahren von IT-Systemen führte – ein Schutzmechanismus, um die Ausbreitung des Angriffs so gut es geht zu unterbinden.

Von dem Angriff waren zahlreiche Einzelhandelsgeschäfte in ganz Europa betroffen, primär in den Niederlanden und Deutschland. Während der Online-Verkauf wie gewohnt lief, konnten in den betroffenen Geschäften keine Kreditkarten mehr akzeptiert werden und auch das Drucken von Quittungen war unmöglich. Außerdem führte der Systemausfall zu Problemen mit Rücksendungen, da frühere Einkäufe nicht mehr abgerufen werden konnten.

In einem Statement der Mediamarkt-Saturn-Gruppe, das Bleeping Computer vorliegt, heißt es, dass das Unternehmen umgehend die zuständigen Behörden informierte und mit Hochdruck daran arbeite, die betroffenen Systeme zu identifizieren und entstandene Schäden schnellstmöglich zu beheben. Laut niederländischen Medienberichten wies das Unternehmen seine Mitarbeiter an, die Systeme in den Filialen nicht mehr zu nutzen oder diese neu zu starten, sollten sie nicht funktionieren. Außerdem wurden sie aufgefordert alle Netzwerkkabel der elektronischen Kassen zu ziehen.

Hinter dem Angriff steckt die Hive-Ransomware und es wurde zunächst eine riesige Summe Lösegeld gefordert, um die verschlüsselten Dateien zurückzuerhalten. Insgesamt 240 Millionen US-Dollar sollte Mediamarktsaturn zahlen. Ransomware-Gangs verlangen oft derart hohe Summen, um bei möglichen Verhandlungen mehr Spielraum zu haben. Die Lösegelder, die am Ende gezahlt werden, entsprechen oft nur einem Bruchteil der ursprünglich geforderten Summe.

Es ist zwar nicht bekannt, ob im Rahmen der Angriffs unverschlüsselte Daten gestohlen wurden, aber das Hive-Ransomware-Team ist dafür bekannt, dass sie Daten veröffentlichen, wenn kein Lösegeld gezahlt wird. Deshalb ist davon auszugehen, dass auch dieses Mal sensible Daten in die Hände der Kriminellen gelangt sind.