Gefängnisstrafe für Datenanalysten, der versuchte, von seinem Arbeitgeber 2,5 Millionen Dollar zu erpressen

Als Cameron Curry erfuhr, dass sein Vertrag als Datenanalyst nicht verlängert werden würde, hätte er sein LinkedIn-Profil aktualisieren oder seinen Lebenslauf verschicken können.

Stattdessen entschied sich der 27-Jährige aus Charlotte, North Carolina, für Erpressung.

Diese Woche musste er feststellen, dass dies nicht gerade seine beste Idee war: Er wurde zu 24 Monaten Haft in einem Bundesgefängnis verurteilt, nachdem man ihn in sechs Fällen der Übermittlung von Nachrichten über Staatsgrenzen hinweg in Erpressungsabsicht schuldig gesprochen hatte.

Curry war als Datenanalyst bei Brightly Software angestellt, einem Technologieunternehmen, das 2022 von Siemens übernommen wurde. Diese Position verschaffte ihm legitimen Zugriff auf sensible Unternehmensinformationen, Firmenunterlagen sowie persönliche Daten und Gehaltsinformationen der Belegschaft.

Im Prozess wurde nachgewiesen, dass Curry seinen privilegierten Zugang missbrauchte, um sensible Unternehmensdaten zu entwenden; diese konnte er nutzen, als er von der Nichtverlängerung seines Vertrags erfuhr.

Curry legte sich die Online-Identität „Loot“ zu und verschickte zwischen Dezember 2023 und Januar 2024 mehr als 60 E-Mails an Kollegen und Führungskräfte. Darin drohte er mit der Veröffentlichung sensibler Informationen, sofern er keine Zahlung in Kryptowährung im Wert von 2,5 Millionen US-Dollar erhielte.

„Loot“ drohte damit, seine Forderung um 100.000 US-Dollar für jeden Monat zu erhöhen, in dem sein ehemaliger Arbeitgeber die Zahlung verweigerte. Zudem setzte er das Unternehmen unter Druck, indem er Screenshots von Tabellenkalkulationen anhängte, die Namen, Privatadressen, Geburtsdaten und Gehaltsinformationen der Mitarbeiter enthielten.

Des Weiteren drohte er damit, Brightly bei der Börsenaufsichtsbehörde SEC zu melden, weil das Unternehmen einen Datenschutzvorfall nicht offengelegt hatte, und kündigte an, Gehaltsunterschiede innerhalb der Belegschaft öffentlich zu machen.

Für Curry kam es jedoch ungünstig, dass er eine Spur hinterlassen hatte, die die Ermittler zu ihm führte. Metadaten in den versendeten E-Mails sowie Nutzerinformationen, die mit dem E-Mail-Konto „lootsoftware@outlook.com“ verknüpft waren, lieferten dem FBI hinreichende Gründe, am 24. Januar 2024 einen Durchsuchungsbeschluss für sein Anwesen zu vollstrecken und Computerhardware zu beschlagnahmen.

Die Tatsache, dass er die Lösegeldzahlung auf ein Coinbase-Konto verlangte, das mit Debitkarten seiner Mutter und seiner Schwester verknüpft war, legt nahe, dass Curry besser bei der Datenanalyse geblieben wäre, anstatt sich auf Cyberkriminalität einzulassen. Eine anschließende digital-forensische Analyse bestätigte, dass Curry die Person hinter dem mysteriösen Alias ​​„Loot“ war.

Zu viele Unternehmen unterschätzen die Bedrohung durch unzufriedene Insider. Ein Angreifer aus den eigenen Reihen muss nicht erst monatelang die Sicherheitsvorkehrungen eines Unternehmens auskundschaften. Vertrauenswürdige Auftragnehmer und Mitarbeiter erhalten legitime Zugangsdaten für genau jene Daten, die später als Waffe gegen das Unternehmen eingesetzt werden können.

Anstatt über Hacker-Fähigkeiten zu verfügen, benötigte Curry lediglich eine Gelegenheit, einen Groll und ein gehöriges Maß an schlechtem Urteilsvermögen.

Die Lehre, die Unternehmen aus solchen Vorfällen ziehen sollten, ist eindeutig: Wenn die Zusammenarbeit mit einem Auftragnehmer oder Mitarbeiter endet, muss dessen Systemzugang umgehend entzogen werden. Denn gerade in dem Moment, in dem jemand erkennt, dass sein Ausscheiden bevorsteht, sollte der Zugriff auf sensible Daten besonders genau überprüft werden.

Aus diesem Grund ist das Risiko im Augenblick des Abschieds am größten – sei es durch Eigenkündigung, Entlassung oder, wie in diesem Fall, durch die Nichtverlängerung eines Vertrags.

Bedrohungen durch Insider werden von Unternehmen oft nicht gemeldet, häufig aus Scham darüber, eingestehen zu müssen, dass ein ehemals vertrauenswürdiger Mitarbeiter Schaden angerichtet hat. Das bedeutet jedoch nicht, dass solche Vorfälle den Geschäftsbetrieb nicht erheblich stören oder dem Ruf des Unternehmens massiv schaden könnten.

Neben einer 24-monatigen Haftstrafe wurde Curry zu einer einjährigen Bewährungszeit sowie zur Zahlung von 7.540,92 US-Dollar verurteilt – genau jener Summe in Bitcoin, die Brightly ihm vor seiner Festnahme gezahlt hatte. Dies ist deutlich weniger als die 2,5 Millionen US-Dollar, die er sich ursprünglich erhofft hatte.