Hackers die zich richten op het levensmiddelenbezorgbedrijf Flink hebben een ongebruikelijke aanpak van afpersing gekozen door rechtstreeks cryptocurrencybetalingen te eisen van klanten van wie de persoonlijke informatie is blootgesteld bij een recent datalek.
Flink bevestigde dat een ongeautoriseerde partij toegang had gekregen tot een van zijn interne systemen, waardoor klantinformatie werd blootgelegd, waaronder namen, e-mailadressen, postadressen en telefoonnummers. Sommige getroffen dossiers bevatten ook bezorggegevens zoals verdiepingnummers, namen op deurbellen en individuele bezorginstructies.
Het bedrijf zei dat de wachtwoorden niet waren gecompromitteerd. Ook factureringsinformatie, bankgegevens en betaalkaartgegevens bleven onaangetast, aldus Flink.
Een nieuw opgedoken cybermisdaadoperatie genaamd LPG Group heeft de verantwoordelijkheid voor de aanval opgeëist. De groep zegt informatie te hebben verkregen van meer dan een miljoen Flink-klanten en 13.000 medewerkers, hoewel Flink die cijfers niet heeft bevestigd.
In plaats van de drukcampagne op het bedrijf te beperken, is LPG Group begonnen contact op te nemen met personen van wie de gegevens naar verluidt zijn gestolen. Klanten hebben e-mails ontvangen waarin 0,005 ETH wordt geëist, ter waarde van ongeveer €10 tot €12 op het moment van rapportage, in ruil voor het voorkomen dat hun informatie op het dark web wordt verkocht.
De aanvallers hebben ook 100 ETH van Flink geëist, ter waarde van ongeveer €238.000, en beweren dat ze de gestolen informatie zullen verwijderen als de grotere betaling wordt gedaan. Hun berichten geven slachtoffers een deadline van 2 oktober en moedigen ontvangers aan om de losgeldeis aan Flink door te sturen om de druk op het bedrijf te vergroten.
Deze aanpak voegt een extra laag toe aan het traditionele ransomware-afpersingsmodel. In plaats van alleen te vertrouwen op druk op de gehackte organisatie, proberen de aanvallers hun klanten om te zetten in extra bronnen van losgeldbetalingen, terwijl ze tegelijkertijd hun zorgen gebruiken om Flink onder druk te zetten.
Flink zegt dat het zich ervan bewust is dat criminelen contact opnemen met klanten en medewerkers en heeft de getroffenen expliciet gewaarschuwd niet te reageren of geld te sturen.
Het bedrijf blokkeerde de ongeautoriseerde toegang na het ontdekken van het incident en introduceerde extra beveiligingsmaatregelen. Externe IT-forensische en cybersecurityspecialisten helpen bij een onderzoek naar het lek.
Flink heeft het incident ook gemeld bij de Duitse gegevensbeschermingsautoriteit en de politie, met meldingen ingediend bij de politie in Duitsland en Nederland.
Hoe de aanvallers aanvankelijk toegang kregen is onzeker. Rapportages hebben de inbraak gekoppeld aan gecompromitteerde medewerkersgegevens, maar Flink heeft geen gedetailleerde technische uitleg gegeven over hoe die gegevens zijn verkregen.