De ransomwaregroep SafePay beweert T-Systems te hebben gehackt, de IT-dochteronderneming van de Duitse telecommunicatiegigant Deutsche Telekom, en dreigt vermeend gestolen informatie te publiceren.
De hackers voegden T-Systems toe aan hun dark web-leksite en gaven het bedrijf een deadline van twee dagen om onderhandelingen aan te gaan. Dergelijke vermeldingen worden vaak gebruikt door ransomwaregroepen om vermeende slachtoffers onder druk te zetten om te betalen voordat gestolen informatie openbaar wordt gemaakt.
De inbreuk is echter niet bevestigd door T-Systems. Het bedrijf heeft geen cyberaanval openbaar gemaakt, en er is momenteel geen geverifieerde informatie die aantoont welke systemen mogelijk zijn benaderd of welke gegevens de aanvallers beweren te bezitten.
Dit onderscheid is belangrijk omdat verschijnen op een ransomware-leksite niet bewijst dat een organisatie het type of de omvang van de inbreuk heeft ondergaan zoals de aanvallers claimen. SafePay heeft niet publiekelijk voldoende bewijs geleverd om onafhankelijk de omvang van de vermeende inbreuk vast te stellen.
T-Systems is een belangrijke aanbieder van IT-diensten, cloudinfrastructuur, cybersecurity en digitale transformatie. De dochteronderneming Deutsche Telekom heeft meer dan 26.000 medewerkers in dienst en is actief in 26 landen, waarbij ze grote bedrijven en publieke organisaties bedienen.
Dat maakt elke mogelijke compromis bijzonder belangrijk, omdat aanvallen op grote IT-aanbieders mogelijk risico’s kunnen creëren die verder gaan dan het bedrijf zelf. Er is momenteel echter geen bewijs dat klanten van T-Systems of hun systemen zijn getroffen.
SafePay ontstond in 2024 en is sindsdien uitgegroeid tot een prominente ransomware- en data-afpersingsoperatie. In tegenstelling tot veel ransomwaregroepen die afhankelijk zijn van externe partners om aanvallen uit te voeren, beweert SafePay met een eigen gesloten team te opereren.
Beveiligingsonderzoekers hebben ook overeenkomsten vastgesteld tussen SafePay en ransomware die verband houdt met de voormalige Conti-cybercriminaliteitsoperatie, hoewel de beoordelingen van een directe verbinding variëren.
Deutsche Telekom heeft in het verleden te maken gehad met andere niet-geverifieerde cybercriminaliteitsclaims. Eerder dit jaar probeerden aanvallers een dataset te verkopen waarvan zij beweerden dat deze toebehoorde aan het telecommunicatiebedrijf, maar Deutsche Telekom zei dat de informatie niet authentiek was.
Voorlopig blijft het laatste incident een ransomwareclaim en geen bevestigde inbreuk op T-Systems. Tenzij het bedrijf een inbraak erkent of er onafhankelijk verifieerbaar bewijs naar voren komt, moeten de beweringen van de aanvallers over toegang tot de IT-provider als onbevestigd worden beschouwd.