zurück zum Artikel

Eine Ransomware-Bande ist bei Under Armour eingedrungen und hat Daten entwendet. 72 Millionen Datensätze sind nun bei Have I Been Pwned.

Das Have-I-Been-Pwned-Projekt (HIBP) hat 72,7 Millionen Datensätze der Bekleidungsmarke Under Armour in den Datenfundus aufgenommen. Die gelangten im Herbst vergangenen Jahres bei einem Einbruch von einer Ransomware-Bande bei dem Unternehmen in die falschen Hände.

Das hat HIBP-Betreiber Troy Hunt nun auf der Have-I-Been-Pwned-Webseite [1] verkündet. Die Cybergang Everest hat im November behauptet, bei Under Armour in die IT-Systeme eingedrungen zu sein und dort Daten entwendet zu haben. Damit hatte sie Under Armour um Lösegeld erpresst, damals mit einer Frist von sieben Tagen. Die hat Under Armour offenbar ohne Reaktion verstreichen lassen. Im Januar tauchten Kundendaten aus dem IT-Vorfall in einem bekannten Internet-Untergrundforum auf.

Umfangreiche Kundendaten abgeflossen

Der Datensatz sollte angeblich 343 GByte groß sein. Laut einem Bericht auf X [2] haben sich in dem entpackt 19,5 GByte großen Datensatz aus dem Untergrundforum 72,7 Millionen E-Mail-Adressen befunden sowie insgesamt mehr als 191 Millionen Einträge, über mehrere Dateien verteilt. „Viele Einträge haben auch persönliche Informationen umfasst wie Namen, Geburtsdaten, Geschlecht, geografischer Ort und Informationen zu getätigten Einkäufen“, schreibt Hunt in seiner Zusammenfassung.

Diese Daten können bösartige Akteure etwa für gezielteres, maßgeschneidertes Phishing missbrauchen. Bei Nachrichten oder E-Mails mit Bezug auf Under Armour sollten Kundinnen und Kunden besondere Vorsicht walten lassen, insbesondere dann, wenn diese Handlungsdruck aufbauen. Under Armor hat sich öffentlich bislang noch nicht zu dem IT-Vorfall geäußert.

Die Cybergang Everest ist im vergangenen Herbst etwa auch beim Passagierabfertigungssystem „MUSE“ von Collins Aerospace eingedrungen und hatte dort Daten abgezogen. Das führte in der Folge zu Beeinträchtigung des Flugverkehrs an mehreren europäischen Flughäfen [3]. Die Online-Kriminellen behaupteten dort, durch jahrelang offenstehende Tore eingedrungen zu sein [4]: Der FTP-Server war öffentlich zugänglich und zudem die Zugangsdaten bereits 2022 von einem Infostealer entwendet worden – womit sie bereits in Datenhalden im Untergrund gelandet waren.

[5]

(dmk [6])

URL dieses Artikels:
https://www.heise.de/-11148785

Links in diesem Artikel:
[1] https://haveibeenpwned.com/Breach/UnderArmour
[2] https://x.com/justabreach/status/2012933753853657288
[3] https://www.heise.de/news/Cyberangriff-behindert-europaeische-Flughaefen-auch-BER-betroffen-10663553.html
[4] https://www.heise.de/news/Collins-Aerospace-Alte-Passwoerter-und-verzoegerte-Reaktion-ermoeglichen-Datenklau-10900172.html
[5] https://pro.heise.de/security/?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[6] mailto:dmk@heise.de

Copyright © 2026 Heise Medien