The Gentlemen setzt MoneyGram auf Leak-Seite, ohne Datenproben zu zeigen

Der Eintrag nannte MoneyGram neben KFC, Deloitte und Confluent, berichtete National Technology News. Die Einträge seien bis zum 10. Oktober erschienen, hieß es unter Berufung auf die deutsche Publikation Heise. Sie enthielten keine Angaben zur Art oder zum Umfang der angeblich entwendeten Daten. PYMNTS meldete am 12. Oktober unter Berufung auf Cybernews, die Bande wolle die Daten veröffentlichen, falls MoneyGram keine Verhandlungen aufnehme. Keines der vier Unternehmen habe auf Anfragen nach einer Stellungnahme reagiert, schrieb National Technology News.

Security Magazine merkte an, es seien keine Proben der erbeuteten Daten veröffentlicht worden. Das stelle die Behauptung der Bande infrage. Rebecca Moody, Leiterin der Datenforschung bei Comparitech, sagte, es gebe dennoch Grund, ihr zu glauben. "The Gentlemen ist in den vergangenen Jahren zu einer der produktivsten Ransomware-Gruppen geworden und dafür bekannt, seine Behauptungen nicht zu erfinden", sagte sie.

Womit MoneyGram-Kunden rechnen müssen

Moody sagte, Kunden und Beschäftigte von MoneyGram sollten bei Phishing-Nachrichten und unberechtigten Kontobewegungen besonders wachsam sein. Das Unternehmen müsse schnell eine Erklärung abgeben, entweder um Kunden zu beruhigen, dass es keinen Vorfall gab, oder um sie vor unberechtigtem Zugriff zu warnen.

Sie warnte zudem, dass eine Zahlung keine Löschung garantiert. Moody sagte, die Bande habe im Juni 2026 das südafrikanische Technologieunternehmen MIP Holdings getroffen. MIP habe für die Löschung der gestohlenen Daten gezahlt, und The Gentlemen habe seitdem begonnen, die Kunden von MIP mit eigenen Erpresserbriefen zu kontaktieren. "Unabhängig davon, ob Verhandlungen erfolgreich sind, könnten einzelne Kunden von der Gruppe kontaktiert werden", sagte sie.

Warum ein Zahlungsunternehmen diese Gruppe anzieht

Moody sagte, Finanzorganisationen seien ein Hauptziel, weil sie hochsensible Daten verarbeiten. The Gentlemen habe in diesem Jahr bislang 46 Angriffe auf solche Unternehmen für sich reklamiert. Comparitech zählte im vergangenen Quartal 202 claims der Bande, nur Qilin lag mit 353 darüber, berichtete Dark Reading.

BleepingComputer berichtete, die Bande habe seit ihrem Auftauchen um Mitte 2025 öffentlich rund 320 Opfer für sich reklamiert, die meisten Angriffe in diesem Jahr. ESET datiert das Auftauchen der Gruppe auf Ende 2025. Dillon Ashmore von NCC Group sagte gegenüber Dark Reading, The Gentlemen habe nach neun Monaten 150 Opfer überschritten, während DragonForce dafür fast zwei Jahre gebraucht habe. Die Zahlen stammen aus verschiedenen Trackern und decken unterschiedliche Zeiträume ab.

Die Bande hinter der Behauptung

The Gentlemen betreibt Ransomware-as-a-Service und lässt Affiliates die eigene Infrastruktur nutzen, um einzudringen und zu verschlüsseln. Die Gruppe arbeitet mit doppelter Erpressung: Sie verschlüsselt Daten und droht mit deren Veröffentlichung, falls das Lösegeld nicht gezahlt wird. ESET fand heraus, dass die Bande 10% der Lösegeldzahlungen einbehält und Affiliates 90% überlässt, während der übliche Anteil der Betreiber in der Branche 20% beträgt.

ESET zufolge häufen sich die Opfer der Bande in Südostasien, Südamerika und Westeuropa statt in den Vereinigten Staaten. Die Gruppe sei Berichten zufolge von einem verärgerten ehemaligen Qilin-Affiliate gegründet worden, nach einem gemeldeten Streit über unbezahlte Provisionen im Jahr 2025.

Was an der Behauptung unbestätigt ist

Das Ausmaß eines möglichen Eindringens ist unbekannt. Nichts von dem, was bislang veröffentlicht wurde, belegt, welche Systeme betroffen waren, wie Angreifer Zugang erlangt hätten oder ob Kunden- oder Finanzdaten entwendet wurden. MoneyGram meldete im September 2024 einen separaten Vorfall, als es zu einem Netzwerkausfall kam und das Unternehmen nach eigenen Angaben ein "Cybersecurity-Problem" feststellte.