England Hockey untersucht einen mutmaßlichen Cyberangriff, nachdem eine Ransomware-Gruppe behauptet hat, sensible Daten aus den Systemen der Organisation gestohlen zu haben, und damit drohte, sie online zu veröffentlichen.
Die AiLock-Ransomware-Gang hat die Organisation kürzlich auf ihrer öffentlichen Daten-Leak-Website aufgeführt und behauptet, im Rahmen des Angriffs große Mengen interner Daten exfiltriert zu haben.
„Wir sind uns eines Vorfalls im Zusammenhang mit England Hockey bewusst und untersuchen die Angelegenheit derzeit mit höchster Priorität“, sagte die Organisation in einer Stellungnahme gegenüber BleepingComputer.
Der mutmaßliche Ransomware-Angriff auf England Hockey
England Hockey ist der nationale Dachverband, der für die Aufsicht über und die Entwicklung des Hockeysports in England verantwortlich ist.
Die Organisation verwaltet ein großes landesweites Ökosystem mit mehr als 800 angeschlossenen Vereinen, rund 150.000 registrierten Vereinsspielern sowie etwa 15.000 Trainern, Schiedsrichtern und Funktionären.
Da die Organisation Systeme für Mitgliederdaten, Vereinsbetrieb und Verwaltung betreibt, könnte ein Cyberangriff abhängig von den abgerufenen Daten sensible Informationen über Sportler, Mitarbeiter und angeschlossene Organisationen offenlegen.
Laut einem Bericht von BleepingComputer behauptet die AiLock-Ransomware-Gruppe, etwa 129 GB Daten aus den Systemen von England Hockey gestohlen zu haben. Sie droht damit, die Dateien auf ihrer Daten-Leak-Website zu veröffentlichen, falls keine Lösegeldforderung erfüllt wird.
England Hockey hat nicht bestätigt, ob tatsächlich Daten exfiltriert wurden, und erklärt, dass die Untersuchung noch läuft und mit Unterstützung externer Cybersicherheitsspezialisten sowie der Strafverfolgungsbehörden durchgeführt wird.
Wer ist die AiLock-Ransomware-Gruppe?
AiLock ist eine vergleichsweise neue Ransomware-Operation, die erstmals 2025 die Aufmerksamkeit von Sicherheitsforschern erregte, als Analysten des Cybersicherheitsunternehmens Zscaler die Aktivitäten der Gruppe gegen Unternehmensnetzwerke dokumentierten.
Wie viele moderne Ransomware-Operationen setzt auch AiLock auf ein Double-Extortion-Modell, das den Druck auf die Opfer maximieren soll.
So funktioniert die Double-Extortion-Ransomware von AiLock
Bei einem typischen Double-Extortion-Angriff verschaffen sich die Angreifer zunächst Zugang zum Netzwerk des Opfers – häufig über kompromittierte Zugangsdaten, Phishing-Kampagnen oder Softwareschwachstellen.
Nachdem sie sich im Netzwerk festgesetzt haben, bewegen sich die Angreifer seitlich durch das Netzwerk und exfiltrieren sensible Daten, bevor sie Ransomware einsetzen, um Systeme zu verschlüsseln und den Betrieb zu stören.
Den Opfern wird anschließend sowohl mit einer Betriebsunterbrechung als auch mit der öffentlichen Freigabe gestohlener Informationen gedroht, wenn sie Verhandlungen oder die Zahlung des Lösegelds verweigern.
Analysen von Forschern zu der von dieser Bedrohungsgruppe eingesetzten Malware zeigen, dass die AiLock-Ransomware Dateien mit ChaCha20 in Kombination mit NTRUEncrypt verschlüsselt, einem für die Post-Quanten-Kryptografie entwickelten Algorithmus, der bestimmten fortgeschrittenen Angriffen widerstehen soll.
Nach Abschluss der Verschlüsselung fügt die Malware betroffenen Dateien die .AILock-Dateiendung hinzu und legt in den betroffenen Verzeichnissen Lösegeldforderungen mit Anweisungen zur Kontaktaufnahme mit den Angreifern ab.
Die Nachrichten auf der Leak-Website der Gruppe deuten auf aggressive Fristen bei den Verhandlungen hin: Berichten zufolge gibt sie den Opfern 72 Stunden, um auf die ursprünglichen Forderungen zu reagieren, und etwa fünf Tage, um zu zahlen.
Wenn die Organisation innerhalb dieses Zeitfensters nicht auf die Angreifer eingeht, droht die Gruppe damit, die gestohlenen Daten zu veröffentlichen und die Wiederherstellungsmaßnahmen zu behindern.
Zum Zeitpunkt der Veröffentlichung erklärte England Hockey, dass die Untersuchung des Vorfalls noch andauere, während die Verantwortlichen Art und Umfang des mutmaßlichen Datenlecks ermitteln.
Wie Organisationen das Ransomware-Risiko senken können
Organisationen sollten Maßnahmen ergreifen, um ihre Abwehr gegen Ransomware und ähnliche Cyberbedrohungen zu stärken.
- Halten Sie Offline- und unveränderliche Backups vor, damit Systeme und Daten wiederhergestellt werden können, ohne Lösegeldforderungen nachzukommen.
- Implementieren Sie Ransomware-Schutzlösungen und EDR-Lösungen, um schädliche Aktivitäten wie unbefugte Verschlüsselung oder versuchte Datenexfiltration zu erkennen.
- Setzen Sie Multi-Faktor-Authentifizierung und starke Identitätsschutzmaßnahmen für Administratorkonten, Fernzugriffsdienste und kritische Systeme durch.
- Segmentieren Sie Netzwerke und wenden Sie Least-Privilege-Zugriffskontrollen an um seitliche Bewegungen einzuschränken, falls Angreifer Zugriff auf interne Systeme erlangen.
- Implementieren Sie robuste Patch- und Schwachstellenmanagementprogramme, um ausnutzbare Schwachstellen auf Servern, Endgeräten und Netzwerkgeräten zu reduzieren.
- Überwachen Sie den Netzwerkverkehr und zentrale Protokolle auf ungewöhnliche ausgehende Datenübertragungen oder verdächtige Aktivitäten, die auf einen Eindringversuch oder Datendiebstahl hindeuten können.
- Testen Sie Incident-Response- und Disaster-Recovery-Pläne regelmäßig, um sicherzustellen, dass Teams Ransomware-Angriffe schnell erkennen, eindämmen und sich davon erholen können.
Da diese Angriffe häufig den Diebstahl von Zugangsdaten, ungepatchte Schwachstellen und seitliche Bewegungen innerhalb von Netzwerken umfassen, können mehrschichtige Sicherheitskontrollen dazu beitragen, das Risiko zu senken und die potenziellen Auswirkungen zu begrenzen.
Das wachsende Ransomware-Risiko für gemeinnützige Organisationen
Der mutmaßliche Angriff auf England Hockey spiegelt einen breiteren Trend wider: Ransomware-Gruppen nehmen zunehmend Sportverbände, gemeinnützige Organisationen und andere Einrichtungen ins Visier, deren Ressourcen für Cybersicherheit begrenzter sind als die großer Unternehmen.
Diese Organisationen speichern häufig personenbezogene Daten von Sportlern, Freiwilligen und Mitarbeitern und sind daher attraktive Ziele für Cyberkriminelle, die finanziellen Gewinn oder sensible Informationen anstreben.
Dieses zunehmende Risiko ist ein Grund dafür, dass Organisationen auf Zero Trust setzen, um sensible Daten zu schützen und die materiellen Auswirkungen von Sicherheitsverletzungen zu begrenzen.