Sicherheitslücke bei Oracle
Hacker verkauft 6 Millionen Datensätze: 140 Tsd. Firmen betroffen.

Am 21. März 2025 entdeckte die Cybersecurity-Firma CloudSEK, dass ein Hacker mit dem Namen „rose87168“ 6 Millionen Datensätze aus Oracle Clouds SSO- und LDAP-Systemen gestohlen und auf dem Darknet zum Verkauf anbot. Die Daten umfassten verschlüsselte SSO-Passwörter, JKS-Dateien und Unternehmensschlüssel.

Der Angreifer, der seit Januar 2025 im Hackerforum "BreachForums" aktiv war, nutzte vermutlich eine unbekannte Schwachstelle im Login-System von Oracle Cloud, speziell im Subdomain login.(region-name).oraclecloud.com. Er forderte Lösegeld von über 140.000 betroffenen Unternehmen und bot Belohnungen für die Entschlüsselung der Passwörter an.

Am 22. März 2025 äußerte sich der Hacker auf BreachForums und teilte mit, dass er die Daten aus den Oracle-Cloud-Regionen US2 und EM2 exfiltriert habe. Oracle bestritt den Vorfall und erklärte, es habe keinen Sicherheitsvorfall gegeben.

Nachtrag vom 27.03.2025:

Nachdem die gestohlenen Daten geprüft wurden, steht fest: Sie sind echt und nutzbar. Dies bestätigten mehrere Unternehmenskunden auf Nachfrage. Oracle dementiert die Attacke weiterhin.

Nachtrag vom 02.04.2025:

Ein Team von heise security, das die veröffentlichten Daten ebenfalls analysierte, fand 2100 Domains mit einer ".de"-Endung. Unter ihnen sollen sich diverse bekannte Namen befinden.

Nachtrag vom 04.04.2025:

Oracle hat nun seinen Firmenkunden gegenüber zugegeben, dass ein Angriff stattgefunden hat. Dieser Nachricht zufolge stammen die Informationen aus einem seit 2017 nicht mehr genutzten Datensatz.

Nachtrag vom 10.04.2025:

In einer Meldung an seine Kunden erklärte Oracle am 7. April, der Angriff habe zwei obsolete Server getroffen, die nie Teil ihrer Cloud-Umgebung (OCI) gewesen seien. BlueSky-Nutzer Kevin Beaumont kommentierte die Nachricht und deckte Ungereimtheiten auf: So behauptete Oracle, es habe nie einen Angriff gegeben, gab gleichzeitig aber zu, dass die beiden Server getroffen wurden.

Nachtrag vom 17.04.2025:

Die CISA veröffentlichte am 16. April 2025 eine Warnung an betroffene Unternehmen und Personen, besonders vorsichtig im Bezug auf mögliche Einbrüche in ihre Systeme zu sein.