Interne data van Software AG vrijgegeven door ransomwarebende

Als een slachtoffer geen losgeld voor decryptie wil betalen, is er nog de dreiging van het openbaren van interne data.

Software AG heeft bevestigd dat cybercriminelen data van de IT-firma hebben buitgemaakt en die gegevens nu publiekelijk hebben uitgebracht. Het gaat om bedrijfsinformatie die is verkregen met de hack van vorige week zaterdag (3 oktober), zo meldt persbureau Bloomberg nu. Een onderzoeksteam van de Duitse softwareleverancier analyseert de nu vrijgegeven data en schat de impact van dit datalek in, aldus de persverklaring van Software AG. Het getroffen bedrijf heeft begin vorige week al wel openbaar gemeld dat zijn eigen IT-omgeving is verstoord door een malware-aanval.

Toch datadiefstal

Volgens het gehackte bedrijf is de dienstverlening aan klanten, inclusief cloudservices, niet geraakt door de hack. Ook verklaarde Software AG in zijn eerste persbericht over dit security-incident dat er, voor zover het bedrijf wist, geen toegang tot informatie van klanten zou zijn geweest. Twee dagen later moest Software AG terugkomen op die geruststelling: er was wel degelijk sprake van datadiefstal. De malware was toen nog niet geheel beperkt en Software AG had ontdekt dat er data was gedownload vanaf zijn servers en vanaf laptops van werknemers, aldus het tweede persbericht.

Het woord 'ransomware' is in deze communicatie vanuit de softwareleverancier niet geuit. Analyse door security-experts heeft echter wel aangeduid dat het om malware voor digitale afpersing gaat. De daders zouden de beruchte Clop-afpersers zijn. Die cybercriminele bende zou een losgeldeis van 20 miljoen dollar hebben neergelegd, wist ZDnet afgelopen vrijdag te melden. Het ziet er naar uit dat Software AG niet voor betaling aan de cybercriminelen kiest. Dit blijkt enerzijds uit chatlogs die security-experts hebben kunnen inzien op basis van het ID-nummer in de losgeldbrief, en anderzijds uit het feit dat de daders nu interne data openbaren.

Over op externe mail

Onder de nu publiekelijk vrijgegeven informatie bevinden zich financiële documenten, e-mails van werknemers, mappen met bestanden van het interne bedrijfsnetwerk en paspoortscans van werknemers. Dat laatste omvat ook het paspoort van CEO Sanjay Brahmawar, van wie nog persoonlijke informatie is vrijgegeven door de hackers. Het is niet bekend of er ook zeer gevoelige data bij is betrokken, zoals bijvoorbeeld informatie over overnames en fusies. Software AG heeft meer dan 10.000 enterprise-klanten in zo'n 70 landen, waaronder bekende namen als Fujitsu, Telefónica, Vodafone, DHL en Airbus.

Ondertussen lijkt Software AG de aanval nog niet te boven te zijn: op de homepage van de IT-leverancier staat nog altijd de mededeling aan klanten dat er technische problemen met het online-supportsysteem zijn. Klanten met een IT-probleem krijgen het advies om te mailen en daarbij hun telefoonnummer op te geven. Het mailadres dat Software AG daarbij opgeeft, is níet op een eigen domein maar op de Duitse maildienst Posteo. Afgelopen week klaagde een enkele klant al dat de portalsite down was. Die site voor klanten met een onderhoudscontract en voor partners is nu nog altijd niet bereikbaar.