Wynn Resorts hat bestätigt, dass ein unbefugter Dritter auf Mitarbeiterdaten zugegriffen hat, nachdem das Unternehmen auf der Leak-Website der Erpressergruppe ShinyHunters aufgetaucht war.
Der Casino- und Hospitality-Konzern erklärte, er habe unmittelbar nach der Entdeckung des Eindringens seinen Incident-Response-Plan aktiviert.
„Wir haben erfahren, dass ein unbefugter Dritter bestimmte Mitarbeiterdaten erlangt hat“, Wynn erklärte in einer gegenüber BleepingComputer veröffentlichten Stellungnahme.
Weiter hieß es: „Der unbefugte Dritte hat erklärt, dass die gestohlenen Daten gelöscht wurden. Wir beobachten die Situation und haben bis heute keine Hinweise darauf gesehen, dass die Daten veröffentlicht oder anderweitig missbraucht wurden.“
Der Datenleak bei Wynn Resorts
Der Vorfall verdeutlicht das zunehmende Risiko durch Erpressergruppen, die auf HR- und ERP-Systeme von Unternehmen abzielen, in denen große Mengen sensibler Mitarbeiterinformationen gespeichert sind.
Laut BleepingComputer behauptete ShinyHunters, mehr als 800.000 Datensätze mit personenbezogenen Daten (PII), darunter Sozialversicherungsnummern, aus der Umgebung von Wynn Resorts gestohlen zu haben.
Wynn hat zwar die genaue Zahl der betroffenen Personen nicht bestätigt, doch die Gruppe behauptete, die Daten seien aus der Oracle-PeopleSoft-Plattform des Unternehmens entwendet worden.
Oracle PeopleSoft ist ein weit verbreitetes ERP- und Personalverwaltungssystem, das Gehaltsabrechnungen, Steuerunterlagen, Leistungsdaten und Identifikationsdaten von Mitarbeitern zentralisiert.
Da diese Plattformen hochsensible Personaldaten in einer einzigen Umgebung bündeln, sind sie attraktive Ziele für Angreifer, die sich größtmögliche Erpressungsmöglichkeiten verschaffen wollen.
Eine erfolgreiche Kompromittierung eines HR-Systems kann alles offenlegen – von staatlich ausgestellten Identifikationsnummern bis hin zu Vergütungsdetails – und damit Informationen, die für Identitätsdiebstahl, Steuerbetrug oder weitere gezielte Social-Engineering-Angriffe missbraucht werden können.
So funktioniert das Erpressungsmodell von ShinyHunters
ShinyHunters ist dafür bekannt, ein Daten-Erpressungsmodell einzusetzen, bei dem der Diebstahl gegenüber Betriebsstörungen Vorrang hat.
Statt Ransomware einzusetzen, um Systeme zu verschlüsseln, stiehlt die Gruppe sensible Daten und droht mit deren Veröffentlichung, sofern kein Lösegeld gezahlt wird.
In einem inzwischen gelöschten Beitrag auf ihrer Leak-Website warnte die Gruppe Wynn, bis zum 23. Februar 2026 Kontakt aufzunehmen, andernfalls würden die Daten öffentlich veröffentlicht.
Laut BleepingComputer hieß es in dem Beitrag: „Mehr als 800.000 Datensätze mit personenbezogenen Daten (SSNs usw.) und Mitarbeiterdaten wurden kompromittiert.“
Kurz nachdem der Eintrag öffentlich geworden war, wurde Wynns Eintrag entfernt – ein Vorgang, der häufig darauf hindeutet, dass Verhandlungen laufen oder die Behauptungen bestritten werden.
Wynns Reaktion
Wynn erklärte, der unbefugte Dritte habe versichert, dass die gestohlenen Daten gelöscht worden seien, und das Unternehmen habe bis heute keine Hinweise auf eine Veröffentlichung oder einen Missbrauch festgestellt.
Trotz des mutmaßlichen Datendiebstahls betonte Wynn, dass der Vorfall weder den Gästebetrieb noch die physischen Resortanlagen beeinträchtigt habe, die weiterhin vollständig betriebsbereit seien.
Das Unternehmen erklärte außerdem, den betroffenen Mitarbeitern kostenlose Dienste zur Kreditüberwachung und zum Schutz vor Identitätsdiebstahl anzubieten.
Risiken in HR- und ERP-Plattformen reduzieren
Da Erpressergruppen weiterhin HR- und ERP-Systeme ins Visier nehmen, sollten Unternehmen einen besonnenen und proaktiven Ansatz zum Schutz sensibler Mitarbeiterinformationen verfolgen.
Plattformen, auf denen Gehaltsabrechnungen, Sozialversicherungsnummern und Steuerdaten gespeichert werden, benötigen mehrschichtige Sicherheitskontrollen, die über herkömmliche Perimeterverteidigung hinausgehen.
- Erzwingen Sie Multi-Faktor-Authentifizierung für alle privilegierten Konten und Administratorkonten, implementieren Sie Kontrollen für das Privileged Access Management und wenden Sie in HR- und ERP-Systemen das Prinzip der geringsten Privilegien an.
- Überwachen Sie kontinuierlich Datenbank- und Anwendungsaktivitäten auf anomale Abfragen, Massenexporte und ungewöhnliche Zugriffsmuster mithilfe von Datenbankaktivitätsüberwachung und verhaltensanalytischen Tools.
- Halten Sie ERP-Plattformen wie Oracle PeopleSoft vollständig gepatcht und sicher konfiguriert und überprüfen Sie sie regelmäßig auf Fehlkonfigurationen, exponierte Schnittstellen und nicht geschlossene Schwachstellen.
- Verschlüsseln Sie sensible Mitarbeiterdaten im Ruhezustand und bei der Übertragung, wenden Sie Verschlüsselung auf Feldebene oder Tokenisierung für besonders risikoreiche personenbezogene Daten wie Sozialversicherungsnummern an und segmentieren Sie HR-Systeme, um die laterale Bewegung zu begrenzen.
- Setzen Sie Data Loss Prevention (DLP), Egress-Filterung und Kontrollen für ausgehenden Datenverkehr ein , um unbefugte Versuche zur Datenexfiltration zu erkennen und zu blockieren.
- Stärken Sie das Risikomanagement für Drittanbieter durch die Überprüfung der Sicherheitskontrollen für integrierte Gehaltsabrechnungs-, Identitäts- und Anbietersysteme sowie durch die Einschränkung des API- und Partnerzugriffs.
- Testen und aktualisieren Sie regelmäßig Incident-Response-Pläne durch Planspiele und Simulationen, um die Einsatzbereitschaft für Datenerpressung und Szenarien mit dem Verlust von Mitarbeiterdaten sicherzustellen.
Zusammen tragen diese Maßnahmen dazu bei, die potenzielle Datenpreisgabe zu reduzieren und die organisatorische Einsatzbereitschaft zu stärken.
Die Entwicklung hin zur Datenerpressung
Der Vorfall bei Wynn Resorts spiegelt eine breitere Entwicklung bei Ransomware-Taktiken wider: Angreifer setzen zunehmend auf Datendiebstahl statt auf Betriebsstörungen, um ihre Erpressungsmöglichkeiten zu maximieren.
Selbst wenn kundenorientierte Systeme unberührt bleiben, können Kompromittierungen von HR- und ERP-Plattformen mit Mitarbeiterdaten rechtliche, finanzielle und rufschädigende Folgen haben.
Da Erpressergruppen weiterhin zentrale Speicherorte sensibler Personaldaten ins Visier nehmen, sollten Unternehmen überprüfen, wie sie diese Umgebungen absichern, überwachen und verwalten.
Angesichts der Bedrohung sensibler interner Systeme durch Angreifer setzen viele Unternehmen auf Zero-Trust-Prinzipien, um implizitem Vertrauen ein Ende zu setzen und laterale Bewegungen einzuschränken.