Der Pariser Top-14-Rugbyverein Stade Français hat bestätigt, Opfer eines Cyberangriffs geworden zu sein, wobei Berichten zufolge Identitätsdokumente von Spielern als Lösegeld zurückbehalten werden.

Cyberkriminelle haben Berichten zufolge damit gedroht, Dokumente von Spielern zu veröffentlichen, und bereits identifizierbare Dokumente von 18 Spielern offengelegt. Die Exposition von Identitätsdokumenten wie Pässen oder Personalausweisen birgt ein erhebliches Risiko für Identitätsdiebstahl und Betrug bei den betroffenen Personen – eine Besorgnis, die unter Frankreichs strengem Datenschutzregime zusätzlich verschärft wird. Dort sind Organisationen verpflichtet, die CNIL, die nationale Datenschutzbehörde, über schwerwiegende Verstöße gegen den Schutz personenbezogener Daten unverzüglich zu informieren.

„Sofortige Eindämmungs-, Ermittlungs- und Wiederherstellungsmaßnahmen wurden ergriffen, um die betroffenen Systeme zu sichern und die Geschäftskontinuität zu gewährleisten“, erklärte der französische Rugbyverein in einer Stellungnahme.

Stade Français wird in diesem Jahr in der Investec Champions Cup auf die Vodacom Bulls, Northampton Saints, Bath Rugby und Cardiff Rugby treffen. Der Verein wird unter anderem vom ehemaligen Harlequins-Cheftrainer Paul Gustard betreut und spielte in der vergangenen Saison mit dem englischen Innenverteidiger Joe Marchant, der vor der kommenden Saison in die Premiership zurückgekehrt ist.

Einigen Berichten zufolge soll der Urheber des Angriffs Qilin sein, eine russischsprachige Ransomware-Gruppe. Qilin hat traditionell hohe Lösegeldzahlungen gefordert und war Berichten zufolge im Jahr 2024 für den Hack des NHS-Medizindienstleisters Synnovis verantwortlich. Ransomware-Betreiber wie Qilin wenden häufig ein „Doppelte Erpressung"-Modell an, bei dem sie die Systeme der Opfer verschlüsseln und gleichzeitig damit drohen, die gestohlenen Daten zu veröffentlichen, um den Zahlungsdruck zu erhöhen. Dies macht Sportorganisationen – die Verwahrer sensibler vertraglicher, medizinischer und persönlicher Informationen sind – zu besonders attraktiven Zielen.

Online-Dienste nicht betroffen

Der Online-Ticketverkauf, der weitere Club-Shop und die Merchandising-Websites sind von dem Vorfall nicht betroffen.

Der Angriff ist der letzte in einer Reihe von Cyberangriffen auf Sportorganisationen im vergangenen Jahrzehnt. Im Jahr 2021 erhielten die Houston Rockets aus der NBA Drohungen mit einem massiven Datenleck, während beim Fußballklub Ajax in diesem Jahr durch Cyberkriminelle Schwachstellen im Web aufgedeckt wurden.

Auch die Olympischen Spiele wurden sowohl 2018 als auch 2026 ins Visier genommen, und die Französische Rugby-Föderation war zuvor Opfer einer operativen Sperrung infolge von Ransomware geworden.

Branchenberichte aus dem Jahr 2023 deuteten darauf hin, dass Stade Français, einer von zwei Pariser Top-14-Clubs, versehentlich seinen Server-Quellcode geleakt hatte, wodurch Informationen öffentlich zugänglich gemacht wurden, die es Akteuren hätten ermöglichen können, Änderungen an der Website des Vereins vorzunehmen.

Stade Français hat vor der Rückkehr der Top 14 im September eine Beschwerde bei den zuständigen Behörden eingereicht, wobei der Verein gegen Perpignan antreten wird.