Das Fintech-Unternehmen Nayax wurde Ziel eines Cyberangriffs auf eine Tochtergesellschaft. Trotz Erpressungsversuchen lehnt das Management Lösegeldzahlungen ab.
Entscheidung gegen die Erpressung
Nach einem Cyberangriff auf seine Systeme hat der Fintech-Spezialist Nayax eine klare Haltung eingenommen: Das Unternehmen, das sowohl an der Nasdaq als auch an der Tel Aviver Börse notiert ist, wird den Lösegeldforderungen der Täter nicht nachkommen [1]. Die Entscheidung des Vorstands stützt sich auf die Einschätzung, dass eine Kooperation mit Kriminellen weder im langfristigen Interesse der Kunden und Partner noch der Mitarbeiter und Aktionäre liege [1].
Der Vorfall ereignete sich in einer Cloud-Umgebung, die zu einer Tochtergesellschaft des Unternehmens gehört. Nach ersten Berichten über einen Sicherheitsvorfall an die US-Börsenaufsicht SEC hat Nayax nun die Ergebnisse einer internen Untersuchung veröffentlicht. Diese zeigt, dass die Angreifer zwar Zugriff auf bestimmte Datenbestände erlangen konnten, die Kernsysteme und die Produktionsumgebung des Unternehmens jedoch unangetastet blieben [1].
Umfang des Datendiebstahls
Die Untersuchungen ergaben, dass die Angreifer eine Sicherungskopie (Backup) aus einem Cloud-Account der Tochtergesellschaft entwenden konnten [1]. Diese Daten umfassen neben allgemeinen Geschäftsinformationen auch Sicherungskopien von Transaktionsdatensätzen [1]. Trotz des Diebstahls gibt das Management Entwarnung für die Kunden: Die betroffenen Backups enthielten keine sensiblen Zahlungsdaten. Nayax betonte ausdrücklich, dass Informationen wie Karteninhabernamen, CVV-Prüfnummern oder andere Identifikationsnummern in diesen Systemen weder erhoben noch gespeichert werden [1].
Schutz durch Tokenisierung
Ein entscheidender Faktor für die Sicherheit der Kundengelder ist die weit verbreitete Nutzung digitaler Bezahldienste wie Apple Pay und Google Pay. Diese Systeme arbeiten mit einer Tokenisierung, bei der die eigentlichen Zahlungsdaten durch ein einmaliges, nicht wiederverwendbares Token ersetzt werden [1]. Sollten diese Tokens in die Hände Unbefugter gelangen, sind sie wertlos, da mit ihnen keine neuen Transaktionen initiiert werden können [1]. Auf Basis der bisherigen Erkenntnisse geht das Unternehmen daher davon aus, dass die Gelder der Kunden zu jedem Zeitpunkt sicher waren und kein unbefugter Zugriff auf Kundenkonten stattfand [1].
Einordnung und Ausblick
Nayax hat die technischen Untersuchungen und Sicherheitsmaßnahmen mittlerweile abgeschlossen und die betroffenen Systeme bereinigt [1]. Trotz der laufenden Kosten für Forensik, Krisenmanagement und Systemwiederherstellung erwartet das Unternehmen keine wesentlichen negativen Auswirkungen auf seine Finanzlage oder die Jahresergebnisse [1]. Die Drohung der Angreifer, die gestohlenen Daten bei Nichtzahlung bis zum 21. Juli zu veröffentlichen, bleibt zwar bestehen, doch die Strategie des Unternehmens – Transparenz gegenüber den Behörden und Verweigerung der Erpressung – scheint darauf abzuzielen, das Vertrauen der Investoren durch eine robuste Governance zu sichern.
Der Fall Nayax unterstreicht die wachsende Bedrohungslage für Fintechs, die vermehrt Ziel von Ransomware-Angriffen werden. Die konsequente Weigerung, Lösegelder zu zahlen, ist dabei ein zunehmend prominenter Ansatz in der Unternehmenssicherheit, da Experten und Strafverfolgungsbehörden davor warnen, dass Zahlungen weitere Angriffe provozieren könnten.