Thialf, einer der weltweit bekanntesten Eisschnelllauf-Veranstaltungsorte, hat bestätigt, dass es Ziel eines Cyberangriffs war, nachdem eine Ransomware-Gruppe damit gedroht hatte, angeblich gestohlene Daten zu veröffentlichen, sofern kein Lösegeld gezahlt wird. Die niederländische Eisarena teilte mit, dass ihre Untersuchung trotz des Erpressungsversuchs keine wesentlichen Auswirkungen auf ihre Aktivitäten oder Daten gefunden habe.
Thialf befindet sich in Heerenveen, Niederlande, und dient als Heimstätte der niederländischen Nationalmannschaft und richtet regelmäßig Lang- und Kurzbahn-Eisschnelllaufwettbewerbe, Eiskunstlaufwettbewerbe und Eishockey aus. Die Arena wurde kürzlich auch als Austragungsort für Langbahn-Eisschnelllauf während der Olympischen Winterspiele 2030 ausgewählt.
In einer öffentlichen Erklärung erklärte Thialf, einen Cyberangriff erkannt zu haben und sofort eine forensische Untersuchung einzuleiten, an der sowohl interne Spezialisten als auch externe Cybersicherheitsexperten beteiligt waren. Die Organisation gab keinen Zeitpunkt des Vorfalls offen und gab keine technischen Details darüber bekannt, wie die Angreifer Zugang erhielten.
Laut der Arena kam die Untersuchung zu dem Schluss, dass der Angriff nur minimale Störungen verursachte. Thialf erklärte, dass weder seine operativen Prozesse noch seine Daten wesentlich betroffen oder kompromittiert wurden.
Die Organisation fügte hinzu, dass alle direkt an dem Vorfall beteiligten Parteien während der Ermittlungen informiert und im Verlauf der Untersuchung auf dem Laufenden gehalten wurden. Über die offizielle Stellungnahme hinaus hat Thialf einige weitere Details zur Art des Angriffs veröffentlicht.
Die Ransomware-Gruppe namens The Gentlemen hat die Verantwortung für den Vorfall übernommen. Diese Zuschreibung basiert ausschließlich auf der eigenen Behauptung der Gruppe und wurde weder von Thialf noch den niederländischen Behörden unabhängig bestätigt.
Die Gruppe hat Berichten zufolge damit gedroht, Daten im Dark Web zu veröffentlichen, falls ihre Lösegeldforderung nicht erfüllt wird. Thialf hat nicht bestätigt, dass Informationen gestohlen wurden oder dass Verhandlungen mit den Angreifern stattfinden.
Die Gentlemen, die von Microsoft ebenfalls als Storm-2697 verfolgt werden, traten 2025 als finanziell motivierte Cyberkriminelle Operation hervor. Laut Microsoft agierte die Gruppe zunächst als geschlossenes Ransomware-Unternehmen, bevor sie im September 2025 expandierte, indem sie ihre Ransomware über ein Ransomware-as-a-Service-Modell (RaaS) anbot, das es verbundenen Kriminellen ermöglichte, ihre Malware während Angriffen einzusetzen.
Microsoft berichtete außerdem, dass die Betreiber der Gruppe später mit dem Cybercrime-Forum BreachForums zusammenarbeiteten, um Partner zu rekrutieren, darunter Penetrationstester und Initial Access Broker. Initial Access Broker spezialisieren sich darauf, Zugang zu kompromittierten Unternehmensnetzwerken zu erhalten und zu verkaufen, die dann von Ransomware-Betreibern genutzt werden können, um Angriffe zu starten.
Wie viele moderne Ransomware-Operationen ist The Gentlemen laut Microsoft für den Einsatz doppelter Erpressungstaktiken bekannt. Bei diesen Angriffen verschlüsseln Kriminelle nicht nur die Systeme eines Opfers, sondern stehlen auch im Vorfeld Daten, sodass sie mit der öffentlichen Offenlegung drohen können, falls kein Lösegeld gezahlt wird.
Sicherheitsforscher haben die Gruppe mit Angriffen in Verbindung gebracht, die mehrere öffentlich bekannte Schwachstellen ausnutzen. Laut Microsoft, Group-IB und Palo Alto Networks haben die Bedrohungsakteure Fehler gezielt, die Fortinet FortiOS-Geräte, die Erlang/OTP SSH-Implementierung, Windows Server Message Block (SMB) und die React2Shell-Schwachstelle betreffen, um Zugang zu Opferumgebungen zu erhalten.
Thialf hat nicht angegeben, dass eine dieser Schwachstellen an dem Vorfall in der Arena beteiligt war. Die Organisation hat auch nicht bestätigt, ob Ransomware in ihrem Netzwerk eingesetzt wurde oder ob Dateien exfiltriert wurden.
Am Abschluss der Untersuchung betonte Thialf, dass seine Systeme weiterhin normal funktionierten und der Vorfall keine wesentlichen Auswirkungen auf seine Aktivitäten hatte. Die Organisation hat keine weiteren Updates bekannt gegeben, während die Behauptung von The Gentlemen, dass Daten gestohlen wurden, von unabhängigen Quellen nicht bestätigt wurde.