Ein kürzlich von Ransom-ISAC, einer Organisation, die sich der Erforschung von Ransomware-Angriffen widmet, veröffentlichter Fall zeigt, dass eine lokale Regierungsbehörde in Ohio Hackern ein Lösegeld in Höhe von 1 Million US-Dollar gezahlt hat, als Gegenleistung dafür, dass die Daten nicht öffentlich veröffentlicht werden. Es ist erwähnenswert, dass die Hacker in diesem Fall keine Daten verschlüsselt haben, sondern lediglich damit gedroht haben, die gestohlenen Daten preiszugeben, wodurch eine Bezirksregierung in Ohio gezwungen wurde, ein hohes Lösegeld zu zahlen.
Dies kann nicht einmal als Ransomware-Angriff angesehen werden:
Der Forscher Krishnan gab den Namen der Opferorganisation in der Fallstudie nicht im Detail bekannt, aber den Chat-Aufzeichnungen zufolge sollte es sich bei dem Opfer um einen Landkreis in Ohio, USA (entspricht einer Stadt auf Präfekturebene in China) handeln. Die Hacker verschlüsselten keine Daten des Opfers, sagten jedoch, es sei ihnen gelungen, etwa zwei Terabyte an Daten zu stehlen, äußerst vertrauliche Informationen aus der Bezirksstaatsanwaltschaft, die den Hackern zufolge Kriminellen helfen könnten, der Strafverfolgung zu entgehen, wenn sie durchsickern.
Die Hackergruppe, die den Angriff startete, trug den Codenamen Kairos. Zunächst forderte die Hackergruppe vom Opfer eine Schweigegebühr in Höhe von 3 Millionen US-Dollar, woraufhin das Opfer den Preis direkt auf 100.000 US-Dollar senkte. Dann nutzten die Hacker die üblichen Methoden: Countdown, knappe Fristen und die Priorisierung der Offenlegung der sensibelsten Dateien, um das Opfer zu bedrohen. Schließlich zahlte das Opfer dem Hacker am 13. Juni 2025 9,44 Bitcoins, was nach damaligem Preis etwa 1 Million US-Dollar entsprach.
Diese Bedrohung, die im Juni 2025 eintrat, wurde bisher nicht öffentlich gemacht. Durch den Vergleich mit bekannten öffentlichen Informationen kann grundsätzlich bestätigt werden, dass es sich bei dem Opfer um Union County, Ohio, mit einer Bevölkerung von 70.000 Einwohnern handelt. Zu den gestohlenen Daten gehören die Sozialversicherungsnummern, Finanzinformationen, Fingerabdruckinformationen, Passnummern und andere Informationen der Bewohner. Allerdings hat Union County weder zugegeben, Opfer zu sein, noch ein Lösegeld gezahlt.
Die entscheidende Frage ist, wie nachgewiesen werden kann, dass der Hacker die Daten gelöscht hat:
Eine Million US-Dollar gilt bei einem Ransomware-Angriff als geringfügig und verdient keine Aufmerksamkeit. Bemerkenswert an diesem Fall ist das Vertrauensprinzip, das heißt, das Opfer glaubt dem Versprechen des Hackers, dass die Daten nach Erhalt des Lösegelds vollständig gelöscht werden. Tatsächlich hat der Hacker auch ein Dokument namens Löschzertifikat erstellt. Dieses Zertifikat kann jedoch nur beweisen, dass der Hacker einst Eigentümer dieser Dateien war. Es beweist weder, dass der Hacker alle Originaldateien gelöscht hat, noch kann es beweisen, dass der Hacker diese Dateien nicht an andere Orte kopiert hat.
Datenlecks können tatsächlich schwerwiegende Folgen haben, aber wenn das Opfer blind das Lösegeld zahlt, ohne eine professionelle Organisation zu konsultieren, kann es vergeblich sein. Solange das Opfer leichtgläubig an die sogenannten gelöschten Dateien des Hackers glaubt, ist es tatsächlich möglich, dass diese Dateien noch vom Hacker gespeichert werden (und die Wahrscheinlichkeit ist extrem hoch). Irgendwann werden die Daten möglicherweise vom Hacker an nachgeschaltete Hacker weiterverkauft, und das Opfer erfährt erst dann, dass die Daten durchgesickert sind, wenn die Daten überall sind.
Die Präferenz von Forschungseinrichtungen besteht darin, dass Opfer kein Lösegeld an Hacker zahlen sollten, da es keine Garantie gibt. Es ist jedoch möglich, dass sich die überwiegende Mehrheit der kleineren Unternehmen oder Institutionen, die zum Opfer gefallen sind, irgendwann dafür entscheiden, Lösegeld zu zahlen, um oberflächliche Sicherheit zu erreichen. Dies ist nicht nur nicht gut für die eigene Datensicherheit, sondern wird Hackern, insbesondere Ransomware-Hackern, sogar weiterhin Vorschub leisten.