RingCentral: Möglicher Datenverstoß betrifft 1,6 Millionen Menschen

Persönliche Daten bei Social-Engineering-Angriff gestohlen

RingCentral, ein Anbieter cloudbasierter Kommunikations- und Contact-Center-Lösungen für Unternehmen, hat einen Sicherheitsvorfall gemeldet, von dem möglicherweise rund 1,6 Millionen Menschen betroffen sind.

Der unbefugte Zugriff soll im Juli stattgefunden haben. Das Unternehmen führt ihn auf eine ausgefeilte Social-Engineering-Kampagne zurück. RingCentral gibt an, den Angriff entdeckt und blockiert zu haben. Anschließend wurde eine Untersuchung mit Unterstützung eines unabhängigen Forensik-Dienstleisters eingeleitet.

Der Vorfall wurde am 14. August 2026 bekannt. Nach Angaben des Unternehmens wurden nach den Maßnahmen zur Eindämmung und Behebung des Vorfalls keine weiteren unbefugten Aktivitäten festgestellt.

RingCentral zufolge war nur ein begrenzter Teil der Kundschaft betroffen. Die mutmaßlich betroffenen Personen sollen direkt kontaktiert worden sein. Wer keine Mitteilung des Unternehmens erhalten hat, soll demnach nicht von dem Vorfall betroffen sein.

Welche Informationen möglicherweise online veröffentlicht wurden

Der Monitoring-Dienst Have I Been Pwned hat die in dem von den Angreifern veröffentlichten Archiv enthaltenen Informationen am Donnerstag in seine Datenbank aufgenommen.

Der Datensatz soll rund 1,6 Millionen eindeutige E-Mail-Adressen enthalten, die mit folgenden Angaben verknüpft sind:

• Namen;
• Anschriften;
• Telefonnummern.

RingCentral hat die endgültige Zahl der betroffenen Personen jedoch nicht bestätigt. Ebenfalls wurde bislang nicht öffentlich verifiziert, ob das gesamte Archiv authentisch ist oder tatsächlich alle gestohlenen Daten umfasst.

Die Kombination aus E-Mail-Adressen, Namen, Telefonnummern und Anschriften erhöht das Risiko gezielter Angriffe. Kriminelle können diese Informationen nutzen, um glaubwürdige Nachrichten zu verfassen und sich als Kollege, Lieferant, IT-Verantwortlicher oder als RingCentral selbst auszugeben.

Die Gefahr beschränkt sich nicht auf Phishing per E-Mail. Dieselben Daten können auch für betrügerische Telefonanrufe, Identitätsmissbrauch, manipulierte Zahlungsaufforderungen und weitere Social-Engineering-Kampagnen gegen die betroffenen Organisationen genutzt werden.

Behauptung von ShinyHunters muss noch überprüft werden

RingCentral hat den Angriff bislang keiner bestimmten kriminellen Gruppe offiziell zugeschrieben. ShinyHunters nahm das Unternehmen jedoch Ende Juli auf seiner über das Tor-Netzwerk erreichbaren Leak-Website auf.

Die Gruppe behauptete, mehr als 623 GB an Daten gestohlen zu haben. Etwa eine Woche später soll sie nach Ausbleiben der geforderten Zahlung ein 280 GB großes Archiv veröffentlicht und als von RingCentral gestohlenes Material präsentiert haben.

Diese Angaben wurden vom Unternehmen nicht bestätigt. Damit sind mehrere Aspekte des Vorfalls weiterhin ungeklärt: die Identität der Angreifer, die vollständige Authentizität der Dateien, das Gesamtvolumen der gestohlenen Daten sowie die Frage, ob das veröffentlichte Material tatsächlich aus RingCentral-Systemen stammt.

Auch die Zahl von 1,6 Millionen Personen ist als mögliche Schätzung zu verstehen. Der Datensatz enthält rund 1,6 Millionen eindeutige E-Mail-Adressen. Das entspricht jedoch nicht zwangsläufig der Zahl der tatsächlich betroffenen Personen.

Kern der Plattform soll nicht kompromittiert worden sein

RingCentral bietet Unternehmens-Telefonie, Team-Messaging, Videokonferenzen und KI-gestützte Collaboration-Tools an. Zum Angebot gehören außerdem Funktionen für Contact Center und Kundeninteraktionen.

Nach Angaben des Unternehmens war der Kern der Plattform nicht betroffen, und es kam zu keinen Betriebsunterbrechungen. Die Dienste funktionieren daher weiterhin, während sich die Untersuchung auf die Umgebung konzentriert, aus der die Daten mutmaßlich entwendet wurden.

Diese Unterscheidung verringert die Auswirkungen auf die Vertraulichkeit nicht automatisch. Ein Angriff kann die zentralen Dienste verfügbar lassen und gleichzeitig genügend Informationen offenlegen, um Nutzer, Mitarbeiter oder Kunden in späteren Kampagnen anzugreifen.

Technische Schwachstellen, betroffene Softwareversionen oder CVE-Kennungen wurden nicht genannt. Der Vorfall betrifft eine auf Social Engineering zurückgeführte Kompromittierung und keine öffentlich klassifizierte Software-Schwachstelle. Daher gibt es bislang keine Anhaltspunkte für eine Verbindung zum KEV-Katalog der CISA.

Von RingCentral ergriffene Maßnahmen

RingCentral gibt an, die unbefugte Aktivität beendet und mit Unterstützung eines externen Forensik-Dienstleisters eine interne Untersuchung eingeleitet zu haben.

Zu den vom Unternehmen genannten Maßnahmen gehören:

1. die Blockierung der verdächtigen Aktivitäten;
2. die Untersuchung der betroffenen Umgebung;
3. die anschließende Überwachung der Systeme;
4. die Überprüfung, dass keine weiteren unbefugten Aktivitäten stattfanden;
5. die direkte Benachrichtigung der mutmaßlich betroffenen Personen;
6. die Aufrechterhaltung des unterbrechungsfreien Betriebs.

Unklar ist, ob weitere technische Informationen zur Vorgehensweise der Angreifer, zu den erreichten Systemen oder dazu veröffentlicht wurden, wie das Social Engineering die anfänglichen Sicherheitskontrollen überwinden konnte.

Was Nutzer und Unternehmen tun sollten

RingCentral-Nutzer sollten die vom Unternehmen erhaltenen Mitteilungen prüfen. Der Absender sollte jedoch über unabhängige Kanäle verifiziert werden; Links in den Nachrichten sollten nicht verwendet werden.

Besondere Vorsicht ist geboten bei:

• E-Mails mit Aufforderungen zum Zurücksetzen des Passworts;
• Anrufen mit dringenden Anfragen zur Verifizierung;
• Nachrichten, in denen Zahlungen oder Unternehmensdaten verlangt werden;
• Aufforderungen zur Installation von Software oder zur Weitergabe von Authentifizierungscodes;
• personalisierten Mitteilungen mit Angaben zu Kunden, Standorten oder Kollegen.

Potenziell offengelegte Zugangsdaten sollten nicht für andere Dienste wiederverwendet werden. Wurde ein Passwort auch an anderer Stelle eingesetzt, sollte es durch ein einzigartiges und sicheres Passwort ersetzt werden. Wo möglich, sollte zudem die Multi-Faktor-Authentifizierung aktiviert werden.

Unternehmen sollten außerdem Finanz-, Verwaltungs- und Kundenservice-Teams vor einer möglichen betrügerischen Nutzung echter Daten warnen. Jede Zahlungsaufforderung, Änderung von Bankverbindungen oder Anfrage zum Kontozugriff sollte über einen bereits bekannten zweiten Kommunikationskanal überprüft werden.

Dass es zu keiner Unterbrechung der Dienste kam, schließt weitere Betrugsversuche nicht aus. Für Nutzer, die eine Benachrichtigung erhalten haben, könnte das größte Risiko in den kommenden Phishing-Kampagnen liegen, die auf den veröffentlichten Daten basieren.