LuxHawk.lu (+352) 27 52 67 45

← Zréck op d'Wëssen

D'Ransomware beim Syndic an d'Dateleck vun de Copropriétairen

Gebai a Miteegentum 11 min Auteur : Arnaud Colin Aktualiséiert : 19/09/2026

Resumé

Wann hire Gestionnaire verschlësselt gëtt, verléiert d'Copropriétéit fir Wochen hir Messagerie, d'Zeréckbezuele vun de Garantien an hir Dossieren, an d'Donnéeë vun hire Copropriétairë riskéieren, verëffentlecht ze ginn, a ginn heiansdo och verëffentlecht, wann d'Léisegeld refuséiert gëtt. DBS Group, Oralia, Encevo a Vivalia weisen, wat et erlaabt, nees unzefänken: getest Offline-Backuppen, getrennte Netzwierker an eng virbereet Kommunikatioun. En Dateleck brauch keen Hacker: SERGIC ass mat 400.000 € sanctionéiert gi fir eng Lück an der Webadress, an e Lëtzebuerger Syndic vun der CNPD mat 1.500 € fir eng Sammelmail.

E Syndic oder e Gestionnaire vun engem Gebai huet fir all seng Mandanten dat an der Hand, wat en Ugräifer sicht: Identitéitspabeieren, Bankkoordinaten, Bailen, Procès-verballen, Kontosituatiounen. Wa seng Informatik vun enger Ransomware verschlësselt gëtt, bleift d'Gebai stoen, mee seng Gestioun steet still: Messagerie ofgeschalt, Loyersgarantien net zeréckbezuelt, Dossieren nei opzebauen. Wann dës Donnéeën no bausse kommen, sinn et d'Copropriétairen an d'Locatairen, déi d'Konsequenzen droen. Wat gëtt aus enger Copropriétéit, wann hire Gestionnaire verschlësselt gëtt oder wann hir Donnéeën no bausse kommen, a wie bezilt? Sechs dokumentéiert Fäll, an der Schwäiz, a Frankräich, an der Belsch an zu Lëtzebuerg, erlaben et, z'äntweren, ouni z'extrapoléieren.

DBS Group, Romandie, 2021: déi verschlësselt Verwaltung, déi refuséiert ze bezuelen

Den 2. Dezember 2021 moies mécht e Mataarbechter vun DBS Group, enger Filial vu Foncia, déi zwielef Marke vun Immobilieverwaltungen an der Romandie regroupéiert, dorënner Domicim a Brolliet, en infizéierten Anhang op a mellt en direkt. D'Meldung verhënnert näischt: d'Servere gi verschlësselt an Donnéeën erausgeholl, laut der RTS an ICTjournal. D'Grupp huet ongeféier véierzeg Agencen a méi wéi 700 Mataarbechter, bei enger IT-Equipe vun ongeféier fofzéng Leit.

D'Messagerie ass ofgeschalt, d'Verwaltunge lafen nëmmen nach lues, Mataarbechter stinn ouni Aarbecht do, an op d'mannst eng Loyersgarantie vun engem Locataire, deen auszitt, huet net kënnen zeréckbezuelt ginn. D'Direktioun refuséiert ze bezuelen, op Empfeelung vun der Police, déi drun erënnert, datt eng Bezuelung a kenger Weis garantéiert, datt d'Täter kooperéieren; eng Plainte gëtt am Kanton Vaud virbereet. Méindes, den 13. Dezember owes, verëffentlechen d'Ugräifer ongeféier 750 MB, presentéiert als Echantillon vu 5 %: Bailen, Kontrakter, Devisen, Iwwerweisungsschäiner mat Bankkoordinaten, Loyersgarantien, intern E-Mailen, Pläng an Tabellen, mat Nimm, Adressen, Ënnerschrëften, Loyersbeträg an heiansdo Nummereschëlter, aus alle franséischsproochege Kantone vun der Schwäiz (RTS Genève). De Stëllstand war bis Mëtt Januar 2022 ugekënnegt; an der Tëschenzäit goufen d'Clienten op den Telefon ëmgeleet.

Oralia an Happy-Immo, Frankräich, 2022-2023: déi grouss Grupp an déi kleng Agence

Mëttwochs, den 20. Abrëll 2022, stellt Oralia, en Immobilieverwalter a Filial vun Nexity, en Ugrëff op säin Netzwierk fest an informéiert seng Clienten nach dee selwechten Dag, duerch eng E-Mail vu senger Generaldirektesch, mat enger einfacher Uweisung: „keng Donnéeë per Mail weiderginn“ (LeMagIT). D'Messagerie leeft den 22. Abrëll nees. Tëscht dem 24. an dem 27. Abrëll revendiquéiert d'Grupp Black Basta, déi laut dem Avis AA24-131A vun der CISA dee selwechte Mount opgetaucht ass, den Ugrëff a stellt ongeféier sechzeg Gigabyte online, 63 GB laut ZATAZ: Kopië vun Identitéitskaarten, Cartes Vitale, intern Dokumenter an eng Kaart vum Informatiounssystem. Den Agangspunkt ass net ëffentlech gemaach ginn.

D'Kommunikatioun ass direkt erausgaangen, iwwer e Kanal, deen net déi kompromettéiert Messagerie war, mam Verbuet, wärend der Kris Donnéeë per E-Mail ze schécken. An d'Servere vun Oralia ware vun deene vun Nexity isoléiert: eng Ausbreedung op d'Mammenhaus war net ze fäerten. De Clientsberäich war e puer Deeg laang net erreechbar, an d'Persounen, deenen hir Dokumenter verëffentlecht goufen, bleiwe geziilte Phishing-Ugrëffer ausgesat.

Eng vill méi kleng Agence huet bal ee Joer méi spéit dat Selwecht erlieft. Den 10. Mäerz 2023 um 5.36 Auer kënnt eng Ransomware bei Happy-Immo iwwer e Computer eran, dee mam Server verbonnen ass; 450 Clientsdossiere gi geläscht. D'Léisegeld vun 100.000 €, duerno op 10.000 € erofgesat, gëtt net bezuelt. D'Agence verbréngt eng Woch ouni Aktivitéit, mobiliséiert hir 85 Mataarbechter, deposéiert Plainte a mellt den Incident bei der CNIL an der ANSSI; um Datum vum Reportage vu France 3 Hauts-de-France, de 16. Mäerz 2023, waren ongeféier honnert Dossiere vun Hand rekonstruéiert.

Encevo, Creos an Enovos, Lëtzebuerg, 2022: d'Portaler betraff, d'Versuergung verschount

An der Nuecht vum 22. op den 23. Juli 2022 ginn d'Lëtzebuerger Entitéite vun der Grupp Encevo, engem Stroum- a Gasbedreiwer, dorënner Creos an Enovos, Affer vun enger Cyberattack. De Communiqué vum 25. Juli, iwwerholl op der Säit vun Encevo zu der Cyberattack, kënnegt gestéiert Clientsportaler, e Krisestab an eng wesentlech Präzisioun un: d'Versuergung mat Stroum a Gas ass net betraff, an den Depannage bleift garantéiert. Den 28. Juli confirméiert d'Grupp, datt eng gewëss Quantitéit un Donnéeën erausgeholl gouf (BleepingComputer). Samschdes, den 30. Juli, setzt d'Grupp ALPHV/BlackCat Creos op hir Erpressungssäit an dreet domat, 180.000 Dateien, also 150 GB, ze verëffentlechen: Kontrakter, Accorden, Päss, Rechnungen, E-Mailen (Le Quotidien, Paperjam). Dës Volumme sinn déi vun der Revendicatioun; weder de Betrag vum Léisegeld nach den Agangspunkt sinn ëffentlech gemaach ginn.

Creos hat deemools ronn 300.000 Clienten am Stroum an 49.000 am Gas, laut Le Quotidien. D'Reaktioun hat eng kloer Reiefolleg: Plainte bei der Police grand-ducale, Notifikatioun un d'CNPD, den ILR an déi zoustänneg Ministèren, Analys vun den Donnéeën, déi erausgeholl goufen, fir déi betraffe Persounen z'informéieren, a Rot un d'Clienten, hir Zougangsdaten z'änneren, och soss anzwousch, wa si dat selwecht Passwuert do benotzt hunn. De Communiqué ënnerscheet selwer den Informatiounssystem an d'Portaler, déi betraff sinn, vun der physescher Exploitatioun, déi verschount bliwwen ass: näischt deit dorop hin, datt Compteure betraff gewiescht wieren.

Vivalia, Provënz Lëtzebuerg, 2022: e ganzt Gebai geet nees op Pabeier iwwer

Dëse Fall ass net dee vun engem Syndic, mee e weist, wat eng Ransomware mat engem ganze Gebai mécht, ouni seng technesch Installatiounen ze beréieren. An der Nuecht vu Freideg, dem 13., op Samschdeg, de 14. Mee 2022, kuerz virun 3.30 Auer, gëtt eng Ransomware um Netzwierk vu Vivalia detektéiert, enger Grupp vu Gesondheets- a Fleegeetablissementer aus der Provënz Lëtzebuerg, an der Belsch, e puer Kilometer vun der Grenz zum Groussherzogtum ewech: sechs Spidolsstanduerter, eng Polyclinique, véier Alters- a Fleegeheemer, e psychiatrescht Fleegeheem an dräi Crèchen, fir 47 ugeschloss Gemengen, laut dem Communiqué, deen de 14. Mee vun der belscher Press iwwerholl gouf. Ronn 200 Serveren an 1.500 Computere si betraff; Consultatiounen, net dréngend Operatiounen an Examen vun der Imagerie ginn ofgesot, an d'Patientendossiere gi vun Hand gefouert. Den 18. Mee revendiquéiert d'Grupp LockBit den Ugrëff a setzt en Ultimatum op de 26. Mee; deen Dag gëtt d'Drohung mat enger Verëffentlechung zeréckgezunn, ouni datt eng Verëffentlechung bekannt wier, an ouni datt eng Bezuelung jeemools confirméiert gi wier. D'Reprise op véier Standuerter kënnt eréischt den 28. Juni, ongeféier sechs Woche méi spéit (CERT Santé).

Den Dossier ass vum belsche Parquet fédéral iwwerholl ginn. Equippe vum CERT.be sinn op d'Plaz komm; d'Uweisung, net ze bezuelen, gouf widderholl, a Computeren ouni Verbindung no bausse goufen an de prioritäre Servicer nei opgestallt. En Defizit vu ronn 9,7 Milliounen Euro gouf Enn Juni 2022 gemellt, eng Zuel, déi net mat de Konte konnt ofgeglach ginn. Fir eng Residenz ass de Punkt, deen ze behalen ass, d'Zäit: sechs Woche Noutbetrib.

SERGIC an e Lëtzebuerger Syndic: d'Dateleck ouni Hacker

Déi zwee lescht Fäll hu keen Ugräifer: en Dateleck brauch keng Ransomware, an am Fall vu SERGIC huet d'CNIL net misse beweisen, datt en Drëtten d'Donnéeë consultéiert hat, fir ze sanctionéieren; d'Accessibilitéit an déi lues Korrektur sinn duergaangen.

Am Mäerz 2018 gëtt SERGIC, engem franséischen Immobilieverwalter, deen och Syndic vu Copropriétéiten ass, eng Sécherheetslück gemellt: d'Dokumenter, déi potenziell Locatairen op senger Websäit eroplueden, sinn zougänglech, andeems een eng Zuel an der Adress vum Dokument ännert, ouni iergendeng Authentifikatioun. Eng Plainte kënnt den 12. August 2018 bei der CNIL un; bei de Kontrolle vum 7. an 13. September lued d'Delegatioun 9.446 Dokumenter erof a stellt fest, datt 290.870 Dateien zougänglech sinn: Identitéitskaarten, Cartes Vitale, Steierbescheeder, Doudes- a Bestietnesschäiner, Scheedungsurteeler, Kontoauszich. D'Korrektur gëtt eréischt de 17. September 2018 wierksam, sechs Méint no der Meldung. Mat hirer Deliberatioun SAN-2019-005 vum 28. Mee 2019 verhänkt d'CNIL eng Amende vu 400.000 € an hir Verëffentlechung: Verstouss géint den Artikel 32 vun der DSGVO, well d'Authentifikatioun als elementar Moossnam agestuuft gëtt, a géint den Artikel 5-1-e, well d'Dossiere vun de Kandidaten, déi net ausgewielt goufen, onbegrenzt gespäichert goufen, obwuel se no der Attributioun vun der Wunneng net méi wéi dräi Méint an der aktiver Datebank däerfe bleiwen. De Conseil d'État huet de Recours de 4. November 2020 verworf: d'CNIL kann eng Sécherheetslück online ouni Virwarnung feststellen an ouni Mise en demeure am Virfeld sanctionéieren. D'DSGVO gëllt genee sou zu Lëtzebuerg.

Zu Lëtzebuerg selwer betrëfft d'Deliberatioun Nr. 18FR/2022 vun der CNPD vum 13. Dezember 2022 e Syndic. Den 11. Februar 2019 schéckt dësen u sechs Empfänger e Rappel fir ausstoend Beträg, mat zwee Bréiwer am Anhang, an deenen déi individuell Kontosituatioune vun 2018 an 2019 an déi privat Adress vun zwee Copropriétaire stinn: Nimm, monatlech Beweegungen an negativ Saldoen, gelies vun hiren Noperen. Déi zwee Copropriétaire froe schonn den 13. Februar den Zougrëff op hir Donnéeën; si kréien de 16. Abrëll nëmmen eng onkomplett Informatiounsnotiz. De Syndic huet sech op de Règlement grand-ducal vum 13. Juni 1975 beruff; d'CNPD hält Verstéiss géint d'Artikelen 5.1.a) an 6.1 vun der DSGVO (Legalitéit vun der Verbreedung) an 12.3, 12.4 a 15.1.b) an c) (Zougrëffsrecht) fest, déi als net gewollt agestuuft ginn. D'Amende beleeft sech op 1.500 €, ouni Korrekturmoossnam, well de Syndic kee Mandat méi huet; en huet no dem 29. Juli 2020 opgehéiert, der Autoritéit z'äntweren. D'Prozedur huet bal véier Joer gedauert, an d'Decisioun ass an anonymer Form ëffentlech.

De Betrag ass kleng; wat fir e Syndic schwéier weit, ass, datt all d'Copropriétairen d'E-Mail kritt hunn. D'Kontosituatioun vun engem Copropriétaire ass eng perséinlech Donnée: de Rappel fir ausstoend Beträg geet nëmmen un de Schëldner, an eng Demande op Zougrëff kritt hir Äntwert bannent engem Mount.

Wat e Gebai oder eng Copropriétéit zu Lëtzebuerg doraus léiert

D'Gesten, déi dës sechs Fäll noleeën, gehéieren éischter zur Gouvernance vun der Copropriétéit wéi zur Informatik.

  • D'Wiel vum Gestionnaire ass eng Gouvernance-Decisioun. D'Gebai ierft d'Schwachstelle vu sengem Prestataire, sou wéi d'Cliente vu Creos déi vun hirem Bedreiwer. Ier Dir e Mandat ënnerschreift oder verlängert, frot de Syndic, wou d'Donnéeë vun der Copropriétéit gehost ginn, wien e Backup dovu mécht an, wann e zu enger Grupp gehéiert, ob seng Servere vun deene vun der Grupp isoléiert sinn, sou wéi déi vun Oralia et vun Nexity waren.
  • Offline-Backuppen, déi getest sinn, sinn dat, wat et erlaabt, nees unzefänken. Bei DBS Group huet déi direkt Meldung d'Verschlësselung net verhënnert; bei Happy-Immo hunn déi 450 geläschten Dossiere vun Hand misse rekonstruéiert ginn, a sechs Deeg méi spéit waren et eréischt ongeféier honnert. Déi nëtzlech Fro ass net „Hutt Dir Backuppen?“, mee „Wéini hutt Dir fir d'lescht restauréiert?“.
  • D'Büroinformatik vun der Exploitatioun trennen. De Communiqué vun Encevo ënnerscheet d'Portaler, déi betraff sinn, vun der Energieversuergung, déi verschount bliwwen ass. Dee selwechte Prinzip gëllt tëscht dem Computer vum Syndic an der technescher Gestioun vum Gebai: Heizung, Dieren, Kameraen.
  • Nëmmen dat behalen, wat néideg ass. Päss bei Encevo, Identitéitskaarte bei Oralia, Dossiere vu Kandidaten, déi net ausgewielt goufen, bei SERGIC: wat net gespäichert ass, kann net no bausse kommen, an onbegrenzt ze späicheren ass u sech schonn e Verstouss, dee sanctionéiert gëtt.
  • Eng Sammelmail betrëfft déi ganz Residenz. De Rappel fir ausstoend Beträg geet nëmmen un de Schëldner; wat fir d'Comptabilitéit gëllt, gëllt och fir d'Convocatiounen an d'Procès-verballen, an d'Enn vum Mandat läscht d'Verantwortung net.
  • Eng gemellte Sécherheetslück léist eng Korrektur mat Datum aus. Bei SERGIC hu sechs Méint tëscht der Meldung an der Korrektur bei der Sanctioun schwéier gezielt. Frot d'Firma, déi den Extranet vun de Copropriétaire liwwert, ob en Dokument erreecht ka ginn, andeems een eng Zuel an der Adress ännert.
  • D'Kommunikatioun an d'Positioun zum Léisegeld virbereeden. Oralia huet seng Clienten nach dee selwechten Dag informéiert, ausserhalb vun der kompromettéierter Messagerie. E Syndic muss wëssen, iwwer wéi e Kanal e seng Copropriétairen erreecht, wa seng Messagerie ausfält, an am Viraus decidéieren, ob e bezilt; d'Police huet am Schwäizer Fall recommandéiert, dat net ze maachen, an déi selwecht Uweisung ass am belsche Fall widderholl ginn.
  • Séier mellen, an dann d'Copropriétairen informéieren, ier d'Schwindler et maachen. D'DSGVO léisst 72 Stonnen, fir et der Autoritéit ze mellen (Artikel 33), a verlaangt, déi betraffe Persounen ouni onbegrënnte Retard z'informéieren (Artikel 34). D'Donnéeën, déi no DBS Group an Oralia verëffentlecht goufen, sinn dat, wat et fir en Iwwerweisungsbedruch brauch: no engem Dateleck mussen d'Mandante wëssen, datt all Ännerung vu Bankkoordinaten iwwer en anere Kanal verifiéiert gëtt, an hir Zougangsdaten änneren, sou wéi Encevo et senge Cliente geroden huet.

Quellen