Cyberangriff auf Christie's: Hacker drohen Auktionshaus mit DSGVO-Strafe

Anfang Mai gab es einen Cyberangriff auf Christie's, ein in London ansässiges und weltweit führendes Auktionshaus für Kunst, Antiquitäten und Luxusgüter. Nun hat sich eine Hackergruppe namens Ransomhub zu diesem Angriff bekannt und droht dem Unternehmen damit, sensible Informationen über seine Kunden zu veröffentlichen. Screenshots von der Ankündigung der Hacker sind in einem X-Beitrag des Sicherheitsforschers Dominic Alvieri zu sehen.

Die Angreifer verhandelten nach eigenen Angaben mit Christie's und versuchten, "eine vernünftige Lösung mit ihnen zu finden". Jedoch habe das Auktionshaus "die Kommunikation auf halbem Weg abgebrochen". Ferner warnen die Hacker, dass die Veröffentlichung der abgegriffenen Daten "hohe Geldstrafen aufgrund der DSGVO nach sich ziehen" und Christie's Ruf schädigen würde.

Angeblich eine halbe Million Kunden betroffen

Ransomhub behauptet, "sensible persönliche Informationen" von weltweit mindestens 500.000 Privatkunden des Auktionshauses abgegriffen zu haben – darunter vollständige Namen, Geschlecht, Geburtsdaten, Geburtsorte und Nationalitäten. Weiterhin benennt die Hackergruppe einige Datenfelder, die möglicherweise mit der Teilnahme der jeweiligen Kunden an von Christie's durchgeführten Auktionen in Verbindung stehen.

Um ihrer Forderung Nachdruck zu verleihen, veröffentlichten die Ransomware-Hacker im Rahmen ihrer Ankündigung auch ein paar Beispieldaten. Ein Countdown auf der Webseite deutet darauf hin, dass alle übrigen Daten Anfang Juni veröffentlicht werden, sofern Christie's der Lösegeldforderung der Angreifer nicht nachkommt. Ob die Hacker tatsächlich über alle Informationen verfügen, die sie zu besitzen vorgeben, lässt sich derzeit nicht abschließend bestätigen.

Christie's Webseite war mehrere Tage offline

Einem Bloomberg-Bericht zufolge führte der Cyberangriff dazu, dass Christie's am 9. Mai seine Webseite vom Netz nehmen musste – und damit nur wenige Tage vor Beginn der für das Auktionshaus sehr wichtigen Frühjahrsauktion in New York. Insgesamt war die Webseite demnach rund 10 Tage lang offline. Die Frühjahrsauktion wickelte Christie's kurzfristig über eine andere Webseite ab.

Der New York Times erklärte ein Sprecher des Auktionshauses, die für den Cyberangriff verantwortliche Gruppe habe "eine begrenzte Menge an persönlichen Daten einiger Kunden entwendet". Beweise dafür, dass Finanz- oder Transaktionsdaten kompromittiert wurden, gebe es jedoch nicht. Im Vorfeld der großen Frühjahrsauktion habe Christie's das Ausmaß des Angriffs noch weitgehend heruntergespielt und lediglich von einem "technologischen Sicherheitsvorfall" gesprochen, heißt es bei der Zeitung.

Einem Sprecher von Christie's zufolge ist das Unternehmen derzeit dabei, Datenschutzbehörden und Regierungsstellen über den Vorfall zu informieren. Auch betroffene Kunden sollen in Kürze benachrichtigt werden.