Pins zu user:CyberDesk

Laut Googles Sicherheitsforschern gab sich eine Gruppe am Telefon als IT-Support aus, brachte Mitarbeiter dazu, eine gefälschte Data-Loader-App freizugeben, und stahl dann massenhaft Salesforce-Daten ihrer Unternehmen, um diese zu erpressen.

Eine Bundesrichterin in Las Vegas hat den Vergleich von MGM Resorts über 45 Millionen Dollar mit Kunden endgültig genehmigt, deren persönliche Daten beim Datenleck 2019 und beim Cyberangriff im September 2023 gestohlen wurden, der Casinos am Strip lahmlegte; für belegte Schäden gibt es bis zu 15.000 Dollar pro Person.

Mit OAuth-Tokens, die aus dem Chatbot Drift von Salesloft gestohlen wurden, exportierte die Gruppe UNC6395 Daten aus den Salesforce-Instanzen Hunderter Unternehmen und durchsuchte Support-Fälle nach AWS-Schlüsseln, Passwörtern und Snowflake-Tokens.

Das FBI veröffentlichte Indikatoren zu zwei Gruppen, die Salesforce-Daten von Unternehmen stehlen: die eine, indem sie sich am Telefon als IT-Support ausgibt, die andere mit gestohlenen Salesloft-Drift-Tokens.

Eine Gruppe unter der Erpressermarke Cl0p begann, massenhaft E-Mails an Führungskräfte zu verschicken, in denen sie behauptete, Daten aus den Oracle-E-Business-Suite-Systemen ihrer Unternehmen gestohlen zu haben, und Zahlungen forderte.

Die Bande veröffentlichte Proben gestohlener Salesforce-Daten von 39 Unternehmen und forderte Salesforce auf, bis zum 10. Oktober zu zahlen, sonst würden rund eine Milliarde Datensätze veröffentlicht.

Oracles außerplanmäßiger Security Alert schloss eine mit 9,8 bewertete Lücke in der E-Business Suite, die Codeausführung aus der Ferne ohne Anmeldung erlaubte und die Cl0p zum Datendiebstahl ausgenutzt hatte.

CISA hat CVE-2025-61882 in ihre Liste bekannter ausgenutzter Schwachstellen aufgenommen und gibt zivilen Bundesbehörden bis zum 27. Oktober 2025 Zeit, Oracle E-Business Suite abzusichern.

Drei Tage vor Ablauf der Leak-Frist der Bande schrieb Salesforce seinen Kunden per E-Mail, man werde auf keine Erpressungsforderung eingehen, nicht verhandeln und nichts zahlen.

Nach Ablauf der Lösegeldfrist veröffentlichten Scattered Lapsus$ Hunters gestohlene Salesforce-Daten von sechs Unternehmen, darunter 5 Millionen Kundendatensätze von Qantas und 7,3 Millionen E-Mail-Adressen von Vietnam Airlines.

Salesforce widerrief alle Tokens von Apps des Anbieters Gainsight und nahm sie aus dem AppExchange, nachdem es API-Aufrufe von unbekannten IP-Adressen auf Salesforce-Daten von Kunden festgestellt hatte.

Die Erpresserbande WorldLeaks führte Nike am 22. Januar 2026 auf ihrer Leak-Seite und veröffentlichte dann rund 1,4 TB an nach eigenen Angaben 188.347 internen Design- und Fertigungsdateien von Nike; Nike erklärte lediglich, einen möglichen Cybersicherheitsvorfall zu untersuchen.

Nike begann am 25. Februar 2026, Benachrichtigungen über einen am 21. Januar entdeckten Einbruch in ein von einem externen Dienstleister betriebenes Portal zu verschicken, bei dem Kontakt-, Bestell- und Zahlungskartendaten von Kunden offengelegt wurden; laut Nike wurden keine vollständigen Kartendaten oder Zugangsdaten entwendet.

Qualcomm und Google meldeten einen Speicherfehler in einer Open-Source-Grafikkomponente von Qualcomm, der mehr als 230 Chipsätze betrifft und möglicherweise bereits „in begrenztem, gezieltem Umfang ausgenutzt“ wird.

Laut Salesforce scannte eine bekannte Angreifergruppe öffentliche Experience-Cloud-Seiten massenhaft mit einem veränderten Mandiant-Tool und zog CRM-Daten über zu großzügig konfigurierte Gastbenutzerprofile ab.

Oracles Security Alert zu CVE-2026-35273, einer mit 9,8 bewerteten Lücke in PeopleSoft PeopleTools, die Remote-Codeausführung ohne Anmeldung erlaubt, kam, während ShinyHunters Daten von mehr als 100 Organisationen stahl, überwiegend Universitäten.

Die Black Hat USA lockte vom 1. bis 6. August 2026 mehr als 23.000 Besucher ins Mandalay Bay Convention Center, mit über 100 Briefings, über 100 Trainings und mehr als 400 Ausstellern in der Business Hall.

Die DEF CON 34 füllte vom 6. bis 9. August 2026 die West Hall des Las Vegas Convention Center und gab ihren Besuchern ein elektronisches Badge rund um den überprüfbaren Open-Source-Baochip von Andrew „bunnie“ Huang.

Amazon holt den Cybersicherheitsveteranen Kevin Mandia, der Mandiant gründete und für 5,4 Milliarden Dollar an Google verkaufte, in seinen Verwaltungsrat sowie in den Prüfungs- und den Sicherheitsausschuss.

Microsofts bislang größtes Sicherheitsupdate behebt 966 Schwachstellen, darunter zwei bereits bei Angriffen ausgenutzte Zero-Day-Lücken zur Rechteausweitung in Windows und 105 als kritisch eingestufte Lücken.

Der Identitätsprüfer IDScan.net aus Louisiana bestätigte, dass Hacker Führerscheindaten aus seiner Cloud erbeutet haben – vollständige Namen, Führerscheinnummern und Identifikationsnummern aus anderen amtlichen Dokumenten – von mehr als 150 Millionen Menschen in den USA und Kanada. Die Daten, darunter Führerscheinfotos, wurden auf einer Darknet-Seite veröffentlicht.

Der Cyber Resilience Act der EU tritt in seine erste wirksame Phase: Hersteller aller in der EU verkauften Produkte mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Vorfälle an die ENISA und ihr nationales CSIRT melden – eine Frühwarnung binnen 24 Stunden, eine vollständige Meldung binnen 72 Stunden und einen Abschlussbericht binnen 14 Tagen.

Am 13. Oktober 2026 beendet Microsoft den Support für Office LTSC 2021 und Office 2021, und das dritte und letzte Jahr der Extended Security Updates für Windows Server 2012 und 2012 R2 läuft aus. Danach erhält keines von beiden Sicherheitskorrekturen oder technischen Support von Microsoft.

Oracles vierteljährliches Paket mit Sicherheitskorrekturen für seine On-Premises-Produkte ist für den dritten Dienstag im Oktober angesetzt.

DEF CON 35 findet vom 5. bis 8. August 2027 in der West Hall des Las Vegas Convention Center statt, wo 2026 auch DEF CON 34 stattfand.

Microsofts Programm Extended Security Updates für Privatkunden mit Windows 10 22H2 liefert seine letzten Sicherheitspatches. Ein privater Windows-10-PC funktioniert danach weiter, erhält aber keine Sicherheitskorrekturen mehr; der 12. Oktober 2027 ist zugleich der letzte Tag, an dem man sich anmelden kann.

Alle Pflichten des Cyber Resilience Act treten in Kraft: Produkte mit digitalen Elementen dürfen nur noch auf den EU-Markt gebracht werden, wenn sie die grundlegenden Cybersicherheitsanforderungen des Gesetzes erfüllen, eine Konformitätsbewertung haben und während ihres angegebenen Supportzeitraums mit Sicherheitsupdates versorgt werden.