Bericht
FulcrumSec
Umfassendes Bedrohungsakteur-Intelligence-Dossier
Keine Registrierung erforderlich!
FulcrumSec: Der Bedrohungsakteur hinter dem mutmaßlichen Sicherheitsvorfall bei der Manchester Airports Group
FulcrumSec hat die Verantwortung für einen Datenerpressungsangriff auf die Manchester Airports Group übernommen. Sollte sich dies bewahrheiten, wäre es der erste dokumentierte Fall, in dem dieser Akteur in kritische Verkehrsinfrastrukturen (KRITIS) eingedrungen ist. Dieses Dossier bietet Sicherheitsverantwortlichen ein fundiertes, mit detaillierten Nachweisen versehenes Profil der Gruppe: wie sie sich Zutritt verschafft, welche Aktivitäten sie im System ausführt und welche Konsequenzen dies für Organisationen hat, die kundenorientierte digitale Dienste parallel zu oder in der Nähe von Operational Technology (OT) betreiben.
Wer FulcrumSec ist und warum dieser Bericht erstellt wurde
FulcrumSec ist eine finanziell motivierte Gruppe für Datendiebstahl und Erpressung, die seit ihrem ersten Auftreten in Berichten um September/Oktober 2025 von mehreren unabhängigen Threat-Intelligence-Anbietern öffentlich verfolgt wird. Sie setzt keine Ransomware ein. Sie verschlüsselt keine Systeme. Ihr Modell ist einfacher und in vielen Umgebungen schwerer zu erkennen: Datendiebstahl mithilfe legitimer Cloud- und SaaS-Tools und die anschließende Erpressung des Opfers.
Dieses Modell ist von Bedeutung, da die meisten Unternehmen die letzten Jahre damit verbracht haben, sich gegen verschlüsselungsbasierte Ransomware zu wappnen, indem sie EDR-Systeme auf Verschlüsselungsverhalten abgestimmt, in die Resilienz von Backups investiert und Playbooks für Erpresserschreiben und gesperrte Dateisysteme erstellt haben. Der Ansatz von FulcrumSec umgeht all dies. Es gibt keine Binärdatei, die erkannt werden kann, und kein Erpresserschreiben, das einen Incident-Response-Prozess auslöst. Das Anzeichen ist ein unbemerkt missbrauchtes Benutzerkonto, ein ungepatchtes Framework oder ein offener Cloud-Speicher-Bucket.
Dieses Dossier wurde erstellt, um diese Sicherheitslücke zu schließen. Es wendet einen disziplinierten vierstufigen Beweisstandard an – FAKT (FACT), BEWERTUNG (ASSESSMENT), BEHAUPTUNG (CLAIM) und UNBEKANNT (UNKNOWN) – um jede Aussage zu validieren, damit Sicherheits- und Risikoverantwortliche ihre Vorstände und Aufsichtsbehörden (gemäß KRITIS-Vorgaben) präzise über das informieren können, was bestätigt ist, was behauptet wird und was tatsächlich ungeklärt bleibt.
Warum dieser Bericht gerade jetzt von kritischer Bedeutung ist
Drei Entwicklungen machen diese Lektüre für Sicherheits- und Risikoverantwortliche derzeit besonders relevant:
Ein Betreiber kritischer Infrastrukturen (KRITIS) wurde identifiziert. FulcrumSec hat einen Einbruch in die Manchester Airports Group vermeldet und gegenüber BleepingComputer erklärt, ca. 86 GB an Kundendaten über offengelegte API-Anmeldedaten in clientseitigem JavaScript exfiltriert zu haben. Die MAG hat eine Sicherheitsverletzung bestätigt, die schätzungsweise 8,7 Millionen Kunden betrifft, hat jedoch weder die Identität des Angreifers noch den technischen Tathergang offiziell bestätigt.
Das Zugriffsmuster ist keineswegs exotisch, sondern gängige Praxis. Jeder dokumentierte FulcrumSec-Einbruch lässt sich auf eines von drei „Einfallstore“ zurückführen: offengelegte oder fest codierte Anmeldedaten (Credentials), eine einzelne bekannte (bereits gepatchte) Schwachstelle (CVE) oder fehlkonfigurierter Cloud-Speicher. Keines dieser Szenarien erfordert neuartige Angriffstechniken. Für das Aufspüren aller drei Schwachstellen verfügen die meisten IT-Sicherheits-Teams bereits über die entsprechenden Werkzeuge.
Die Gruppe skaliert rasant. Berichte von Sicherheitsdienstleistern zeigen, dass FulcrumSec von einem einzigen bestätigten Opfer im Dezember 2025 auf etwa 25 gemeldete Opfer in 11 Ländern bis Mitte 2026 angewachsen ist – begleitet von einem medienwirksamen Erpressungsversuch in Höhe von 25 Millionen US-Dollar gegen Novo Nordisk. Die operative Dynamik ist real, auch wenn einzelne Behauptungen einer genauen Überprüfung bedürfen.
Für CISOs in Organisationen mit kundenspezifischen Daten in Cloud-Hosting-Umgebungen, SaaS-/Marketing-Integrationen von Drittanbietern oder öffentlich zugänglichen Webanwendungen stellt dies ein unmittelbar relevantes, derzeit aktives Bedrohungsprofil dar – und kein hypothetisches Szenario.
Was dieses Dossier für Sie lesenswert macht
Die meisten Berichte über Bedrohungsakteure auf FulcrumSec sind fragmentiert – hier ein Blogbeitrag eines Anbieters, dort eine Benachrichtigung über eine Datenpanne. Dieses Dossier konsolidiert und referenziert diese Informationen in einem einzigen, strukturierten Referenzwerk und bietet zusätzliche Analysen, die Sie in keiner anderen Einzelquelle finden:
Eine dedizierte Fallstudie zum Vorfall bei der Manchester Airports Group, einschließlich einer Tabelle für Behauptungen, Beweise, Quellen und
Vertrauenswürdigkeit sowie einer formalen Bewertung der Zuweisungssicherheit (eingestuft als „Moderat“, nicht als „Fakt“).
Ein MITRE ATT&CK-Mapping, das ausschließich auf direkt nachgewiesenen Techniken basiert, ohne dass standardmäßig generische Annahmen über Ransomware-Akteure getroffen werden.
Eine vollständige Analyse des Angriffslebenszyklus, die explizit aufzeigt, für welche Phasen (wie klassische laterale Bewegung im internen Netzwerk) keinerlei Belege vorliegen, damit Ihr Team Ressourcen nicht in falsche Erkennungsmaßnahmen investiert.
Ein Threat-Hunting-Playbook mit vier evidenzbasierten Hypothesen und illustrativer Abfragelogik für Splunk, Microsoft Sentinel und Elastic.
Eine Detektionsmatrix, priorisiert danach, wie direkt sich das jeweilige Verhalten auf die bestätigten oder mutmaßlichen Aktivitäten von FulcrumSec abbilden lässt.
Eine OT/ICS-Relevanzbewertung, die das tatsächlich Dokumentierte von dem abgrenzt, was analytisch plausibel, aber unberücksichtigt ist – eine Unterscheidung, die bei den meisten herkömmlichen Anbieterinhalten verschwindet.
Eine CISO-Maßnahmen-Checkliste, gegliedert in sofortige (0–7 Tage), nahe, mittelfristige und strategische Horizonte.
Das Ergebnis ist ein Bericht, den Sie direkt an Ihr SOC für das Threat Hunting, an Ihren Vorstand zur Berichterstattung sowie an Ihr Third-Party-Risk-Team zur Überprüfung von Drittanbietern weitergeben können – ohne weiteren Übersetzungsaufwand.
Wesentliche Erkenntnisse des Dossiers
FulcrumSec operiert nach einem „Steal-and-Squeeze“-Modell: Datendiebstahl, direkte Lösegeldverhandlungen und, falls keine Zahlung erfolgt, die Veröffentlichung auf einer Leak-Site oder der private Verkauf. In keinem der untersuchten Fälle wurden Verschlüsselungen oder destruktive Payloads dokumentiert.
Der primäre Vektor des Erstzugriffs (Initial-Access Vector) der Gruppierung sind offengelegte oder fest im Code hinterlegte Anmeldedaten (Credentials), API-Keys und Token, die in clientseitigem JavaScript, öffentlichen Repositories und CI/CD-Artefakten gefunden werden. Dieses Muster wiederholt sich in jedem gut dokumentierten Fall, einschließlich des behaupteten MAG-Eindringens.
Die einzige öffentlich und verlässlich zugeschriebene CVE ist CVE-2025-55182 („React2Shell“) – eine bekannte, bereits gepatchte Schwachstelle und kein Zero-Day-Exploit. Berichten zufolge blieb diese in mindestens einer betroffenen Systemumgebung über zwei Monate nach der öffentlichen Bekanntmachung der aktiven Ausnutzung ungepatcht.
Die „Lateral Movement“-Erkennung von FulcrumSec bezieht sich auf das Pivoting von Identität zu Identität (Credential-to-Credential) über Cloud- und SaaS-Plattformen hinweg, nicht auf herkömmliche Bewegungen im internen Netzwerk. Für klassische Windows/AD-Techniken sowie netzwerkbasiertes Lateral Movement liegen keine entsprechenden Nachweise vor.
Die Gruppierung kontaktiert proaktiv unabhängige Sicherheitsforscher und Journalisten mit Datenproben, um den Erpressungsdruck zu erhöhen – ein dokumentiertes, wiederkehrendes Verhalten, das in Incident-Response- und Kommunikationsplänen antizipiert werden sollte.
Die Zuschreibung des Vorfalls bei MAG wird mit mittlerer Vertrauenswürdigkeit (Moderate confidence) bewertet: Die Behauptung ist plausibel, technisch konsistent mit dem bekannten Verhaltensmuster der Gruppe und wird teilweise durch eine unabhängig validierte Datenstichprobe untermauert, ist jedoch vom Betroffenen nicht bestätigt und wird nicht durch forensische oder regulatorische Erkenntnisse gestützt.
In keinem der untersuchten Fälle, einschließlich des Vorfalls bei MAG, gibt es verlässliche Beweise dafür, dass FulcrumSec mit OT, ICS, SCADA, Sicherheitssystemen oder der operationellen Technologie in der Luftfahrt in Verbindung steht. Die eigenen Erklärungen von MAG sowie unabhängige Berichte bestätigen übereinstimmend, dass keinerlei Auswirkungen auf den Flugbetrieb oder die Flugsicherheit vorlagen.
Wie Shieldworkz Ihre Reaktion auf Vorfälle unterstützt
Shieldworkz is ein spezialisiertes OT/ICS-Cybersicherheitsunternehmen, das Betreiber kritischer Infrastrukturen (KRITIS) und Industrieunternehmen in den Sektoren Energie, Öl und Gas, verarbeitendes Gewerbe, Versorgungsbetriebe, Transport sowie Verteidigung unterstützt. Das FulcrumSec-Dossier spiegelt denselben evidenzbasierten und auf professioneller Methodik (Tradecraft) beruhenden Ansatz wider, den wir in all unseren Dienstleistungen anwenden:
OT-Sicherheitsbewertungen, powered by OThello Assess, mit Bewertungszyklen von unter 24 Stunden zur Identifizierung von Identitätsdaten-, Konfigurations- und Segmentierungsrisiken, bevor ein Angreifer wie FulcrumSec diese zuerst findet.
Unterstützung bei der regulatorischen Konformität für NIS2, IEC 62443, NERC CIP sowie regionale Vorgaben, einschließlich der saudi-arabischen OTCC/ECC, SOCI und des Singapore Cybersecurity Act – hochrelevant überall dort, wo Vorfälle mit Kundendaten die Meldepflichten für Kritische Infrastrukturen (KRITIS) betreffen.
OT-Threat-Intelligence-Lageberichte, die dieselbe evidenzbasierte Disziplin wie dieses Dossier aufweisen, damit Ihr Team über gesicherte Erkenntnisse informiert ist und nicht nur über aktuelle Trends.
Konzeption und Implementierung eines OT-SOC, einschließlich der identitäts- und cloudzentrierten Erkennungslogik, die die TTPs dieses Akteurs erfordern, der Überwachung im CIEM-Stil, der Integration von Secrets-Scanning sowie der Segmentierungsverifizierung zwischen IT/Cloud- und OT-Umgebungen.
Patch-Management- und Behebungsrichtlinien zum Schließen der spezifischen Schwachstelle – ungepatchte Webanwendungen mit Internetanbindung –, die bereits in mindestens einem Fall von FulcrumSec ausnutzt wurde.
Sichern Sie sich das vollständige Dossier & sprechen Sie mit dem Shieldworkz-Team
Das cloud-fokussierte Angriffsmodell, der Missbrauch von Berechtigungsnachweisen und API-Schlüsseln, Datenerpressungstaktiken sowie die Behauptung einer Sicherheitsverletzung bei der Manchester Airports Group durch FulcrumSec.
Trennen Sie bestätigte Fakten von unbestätigten Behauptungen und verstehen Sie, was diese Bedrohung für Unternehmen bedeutet, die Cloud-, SaaS-, kundenorientierte Plattformen und OT-nahe Umgebungen betreiben.
Laden Sie das vollständige Dossier herunter, keine Registrierung erforderlich.
Buchen Sie ein kostenloses, unverbindliches 30-minütiges Beratungsgespräch mit dem Shieldworkz-Team. Besprechen Sie Ihre Sicherheitsbedenken, Ihr Expositionsrisiko oder Fragen zu FulcrumSec und verstehen Sie, worauf es für Ihre IT- und OT-Sicherheitsumgebung ankommt.
Verstehen Sie das reale Gefährdungspotenzial durch FulcrumSec und dessen Bedeutung für Ihre Infrastruktur. Vereinbaren Sie ein 30-minütiges Threat-Intelligence-Briefing mit unseren Experten.
