Glassdoor ist auf der von der Ransomware-Gruppe Gentlemen betriebenen Leak-Seite aufgetaucht, wobei die Angreifer damit drohen, angeblich gestohlene Informationen freizugeben, falls das Unternehmen nicht vor Ablauf des Countdowns reagiert.
Glassdoor ist eine bedeutende Online-Arbeitsplattform, auf der aktuelle und ehemalige Mitarbeiter Unternehmen anonym überprüfen, Gehaltsinformationen teilen und ihre Arbeitserfahrungen beschreiben können. Der Dienst stellt außerdem Stellenanzeigen und Informationen zu Arbeitgebern bereit, sodass Arbeitssuchende Unternehmen und Beschäftigungsmöglichkeiten recherchieren können. Glassdoor zieht bis zu 67 Millionen einzigartige Besucher pro Monat an, bietet Bewertungen von mehr als zwei Millionen Unternehmen und bietet Millionen aktiver Stellenanzeigen.
Die Gentlemen-Ransomware-Bande behauptet, Glassdoor gehackt und Daten aus dem Unternehmen extrafiltriert zu haben. Die Leak-Side-Liste enthielt Berichten zufolge einen Countdown von 172 Stunden, was Glassdoor etwas mehr als sieben Tage bis zur bedrohten Veröffentlichung gab.
Gentlemen hat jedoch keine Proben veröffentlicht, die seine Behauptungen untermauern würden. Glassdoor hat den mutmaßlichen Vorstoß ebenfalls nicht bestätigt, was bedeutet, dass Umfang und Art potenziell kompromittierter Informationen weiterhin unbekannt sind.
Derzeit gibt es keine Beweise dafür, ob die Angreifer interne Unternehmensdokumente, Informationen von Glassdoor-Mitarbeitern, Daten zu Arbeitssuchenden oder andere Unterlagen erhalten haben. Solange Glassdoor oder Ermittler keine weiteren Informationen liefern, sollten die Behauptungen der Ransomware-Gruppe als nicht verifiziert behandelt werden.
Wenn sich arbeitsbezogene Informationen unter den gestohlenen Unterlagen befinden, könnten diese potenziell über den unmittelbaren Erpressungsversuch hinaus einen Wert haben. Arbeitsplattformen enthalten Informationen über Einstellungsaktivitäten in einer großen Anzahl von Organisationen, während einzelne Stellenanzeigen Hinweise auf die Personalprioritäten und Veränderungen der Belegschaft geben können.
Persönliche Informationen könnten zusätzliche Risiken darstellen, wenn sie kompromittiert würden. Kontaktdaten in Kombination mit Informationen über die Jobsuche einer Person könnten potenziell genutzt werden, um gezielte Phishing-E-Mails zu erstellen, die potenzielle Arbeitgeber nachahmen. Firmen-E-Mail-Informationen könnten Angreifern ähnlich helfen, Social-Engineering-Kampagnen zu erstellen oder Datensätze mit Informationen aus früheren Sicherheitsverletzungen abzugleichen. Keine dieser Informationskategorien wurde als von Glassdoor gestohlen bestätigt.
Gentlemen arbeitet nach einem Ransomware-as-a-Service-Modell, bei dem die Partnerorganisationen Angriffe mit der von der Operation bereitgestellten Infrastruktur durchführen und die Erlöse mit den Organisatoren teilen.
Sicherheitsforscher haben die Gruppe mit ArmCorp in Verbindung gebracht, das zuvor ein angeschlossener Cluster war, der mit der Qilin-Ransomware-Operation verbunden war. Ein Streit um etwa 48.000 US-Dollar angeblich unbezahlte Provisionen wurde im Juli 2025 auf einem Untergrundforum öffentlich. Hinweise deuten darauf hin, dass die Trennung bereits im Gange war, bevor der Streit öffentlich wurde, da Anfang des Monats eine Ransomware-Probe aus Gentlemen mit der Leak-Seite-Adresse der Gruppe aufgetaucht war.
Die Operation setzt doppelte Erpressungstaktiken ein, darunter Datendiebstahl, Verschlüsselung und Drohungen zur Veröffentlichung gestohlener Informationen. Forscher haben Opfer in mehreren Ländern identifiziert, wobei Thailand Berichten zufolge die größte Anzahl ausmacht.
Vorerst bleiben Gentlemens Behauptungen gegen Glassdoor unbestätigt. Es wurden keine Proben veröffentlicht, und das Unternehmen hat nicht bestätigt, dass seine Systeme oder Daten kompromittiert wurden.