Sicherheitsforscher hackt Nordkoreaner: 1.640 Firmen betroffen

Ein Cybersicherheitsforscher hat sich Zugang zu den Systemen nordkoreanischer Hacker verschafft und dabei aufgedeckt, dass diese 1.640 Unternehmen in 57 Ländern kompromittiert haben. Vangelis Stykas, CTO bei Kumio, wird seine Ergebnisse am 5. August 2026 auf der Sicherheitskonferenz Black Hat in Las Vegas präsentieren. Er schätzt, dass 700 bis 800 der betroffenen Organisationen schwere Einbrüche erlitten, darunter Root-Zugriff auf Server und Kryptowährungsschlüssel. Stykas gelangte an mehrere Command-and-Control-Server und in einigen Fällen auch an die Arbeitsplätze der Hacker selbst, wodurch er Zugriff auf deren Slack, Discord und rund 5 Terabyte an Daten erhielt. Er identifizierte die Opfer durch die Analyse von Entwicklerschlüsseln und Quellcode und informierte die Betroffenen über die Vorfälle. Auf der Black Hat nennt er öffentlich etwa ein Dutzend Unternehmen, die die Aufarbeitung vorbildlich gehandhabt haben, darunter das Boston Children's Hospital, AEON Smart Technology, Oppo, Coinbase, Uniswap Labs, den Obersten Justizrat Italiens, eine Tochtergesellschaft der Al-Rajhi-Bank und Digitaal Vlaanderen. Das japanische CERT bestätigte die Erkenntnisse und arbeitete mit AEON an der Behebung. Die flämische Regierung wurde am 3. März 2026 informiert und isolierte die betroffene Workstation. Das Boston Children's Hospital erklärte, der Vorfall habe ein persönliches Gerät eines ehemaligen Auftragnehmers betroffen, und es habe keinen unbefugten Zugriff auf seine Systeme gegeben. Coinbase untersuchte einen Auftragnehmer, fand keinen Nordkorea-Bezug, beendete die Zusammenarbeit jedoch innerhalb von 30 Tagen nach der Einstellung wegen Sicherheitsrisiken. Die Hacker nutzten Fake-Vorstellungsgespräche, um Softwareentwickler dazu zu verleiten, Malware zu installieren – eine Taktik, die seit 2022 als „Contagious Interview“ bekannt ist. Kompromittierte Auftragnehmer hatten oft Zugang zu mehreren Unternehmen, was die Schlagkraft des Angriffs erhöhte. Nordkoreas Cyberoperationen sind dynamisch; laut einem Bericht von Dtex gibt es mehrere hundert erfahrene Operateure und Tausende IT-Arbeiter, die Geld für das Regime verdienen. Der Bedrohungsforscher Marcus Hutchins warnt, dass die Hacker zwar auf Kryptodiebstahl fokussiert waren, ein dauerhafter Zugriff jedoch von Spionageteams ausgenutzt werden könnte. Stykas sagt, Hunderte Unternehmen hätten nie auf seine Warnungen reagiert, und täglich kämen neue Opfer hinzu, was dies zu seinem Vollzeitjob mache.