Eine als „The Gentlemen" bekannte Erpressergang behauptet, bei Confluent, Deloitte, KFC und MoneyGram Daten kopiert zu haben. Für keinen der vier Fälle liegen bislang Datenproben, Angriffsdetails oder eine Bestätigung der betroffenen Unternehmen vor. Eine CVE gibt es nicht, einen CVSS-Score ebenfalls nicht — es geht nicht um eine ausnutzbare Software-Schwachstelle, sondern um eine Erpressungs- und Leak-Behauptung. Belegt ist dagegen die Aktivität derselben Gruppe: Der Datenaustauschdienst FTAPI hat einen Einbruch eingeräumt, und Daten des Air-Canada-Vorfalls hat die Gang nach Angaben der Ausgangsmeldung tatsächlich veröffentlicht.
The Gentlemen: Datenleck-Behauptungen ohne Nachweis
Greifbar ist bislang nur eine Zielbeschreibung. HookPhish führt Deloitte als angebliches Opfer von „thegentlemen" — mit Angriffsdatum 9. Oktober 2026, Entdeckung am 9. Oktober 2026 um 19:21:30 Uhr, Sektor Professional Services, US, 74,5 Mrd. USD Umsatz. Zum Datenumfang steht dort lediglich „Data info soon", also nichts. In den Related-Articles-Kacheln derselben Seite sind zusätzlich KFC, Confluent und BigID mit dem 12. Oktober 2026 gelistet — BigID taucht in der Ausgangsmeldung gar nicht auf.
Datenproben, Angriffsdetails und Unternehmensbestätigungen fehlen für alle genannten Firmen. TechNadu dokumentiert, dass MoneyGram, Deloitte und KFC zwar mit Erpressungsfristen auf der Leak-Site erschienen, aber ohne jede Probe. Ein Eintrag auf einer Erpressungsseite ist eine Behauptung, kein Nachweis — und Erpresser haben ein erkennbares Interesse daran, den Eindruck großer Treffer zu erzeugen, unabhängig davon, ob sie tatsächlich Daten besitzen.
Verifiziert ist bislang nur FTAPI — und Air Canada
Bei zwei anderen Zielen derselben Gruppe sieht die Faktenlage anders aus. Der Datenaustauschdienst FTAPI hat den Einbruch bestätigt; die Gruppe ist dort nachweislich in ein produktives System gelangt. Das ist der entscheidende Kontrast zu den vier aktuellen Behauptungen: Dass eine Gruppe real angreift, macht ihre nächsten Ankündigungen nicht automatisch glaubwürdiger — es macht sie aber auch nicht per se unglaubwürdig. Genau diese Unschärfe ist das Problem für betroffene Unternehmen, weil unklar bleibt, ob sie auf einen echten Abfluss oder auf reinen Erpressungsdruck reagieren.
Auch der Air-Canada-Fall gehört in diese Kategorie: Dort wurden Daten nach Angaben der Ausgangsmeldung veröffentlicht. Beide Fälle zusammen zeigen ein Muster — Ankündigung, Frist, Veröffentlichung —, das bei den neuen vier Namen bislang auf der ersten Stufe hängt.
Deloitte und KFC: alte Vorfälle statt aktueller Belege
Zwei frühere Vorfälle helfen bei der Einordnung, taugen aber nicht als Beleg für 2026. Deloitte wurde bereits im Dezember 2024 von der Gruppe Brain Cipher beschuldigt, 1 TB Daten des UK-Ablegers erbeutet zu haben. Deloitte widersprach damals: Das eigene Netzwerk sei nicht betroffen gewesen, die Behauptung habe sich vermutlich auf ein einzelnes Kundensystem außerhalb des Deloitte-Netzes bezogen. Ein bestrittenes Datenleck-Dementi — die Parallele zur aktuellen Behauptung drängt sich auf.
Ein Muster gibt es auch bei KFC: Der Mutterkonzern Yum! Brands erlitt im Januar 2023 einen Ransomware-Angriff, bei dem rund 300 Restaurants in Großbritannien zeitweise schlossen und Mitarbeiterdaten mit Namen sowie ID-Card- und Führerscheinnummern abflossen. Kundendaten seien nicht betroffen gewesen, erklärte das Unternehmen damals. Wer diese drei Jahre alte, belegte Panne mit der aktuellen KFC-Behauptung gleichsetzt, konstruiert einen Zusammenhang, den keine der Quellen stützt.
Widersprüche bei Opferzahl, Datum und Quellenlage
Auch MoneyGram war schon vor der aktuellen Behauptung Ziel eines Angriffs: Im September erbeutete ein nicht namentlich genannter Angreifer sensible Kunden- und Transaktionsdaten. Ob dieser Vorfall mit „The Gentlemen" zusammenhängt, geht aus den Quellen nicht hervor — eine Attribution wäre Spekulation.
Schon die Zahl der Opfer geht auseinander: Die Ausgangsmeldung nennt vier Unternehmen, TechNadu drei, HookPhish zusätzlich BigID als fünften Namen. Die Datumsangaben auf der Threat-Intel-Seite widersprechen sich selbst: Deloitte ist auf den 9. Oktober 2026 datiert, die Kacheln zu KFC, Confluent und BigID auf den 12. Oktober, der Beitrag selbst trägt den 10. Oktober. Wer daraus eine Chronologie bauen will, baut auf Sand. Auch die Quellenqualität ist begrenzt: HookPhish ist ein Aggregat mit ausdrücklichem Disclaimer und keine Primärbestätigung eines Opfers, TechNadu ein Social-Media-Post. Beides sind Hinweise, keine Beweise.
Fazit: Kein Patch, aber ein klarer Prüfauftrag
Für Administratoren gibt es hier nichts zu patchen: Es existiert weder ein Advisory noch ein Workaround, weil keine Software-Schwachstelle beschrieben ist. Die praktische Konsequenz ist eine andere. Unternehmen sollten Angaben zu den vier Namen nicht ungeprüft weitergeben — weder intern noch gegenüber Kunden. Wer eine Meldung wie diese im eigenen Lagebild führt, sollte sie als unbestätigt markieren, solange keine Datenprobe oder Opferbestätigung vorliegt.
Der einzige Fall mit konkretem Handlungsbedarf ist FTAPI: Dort ist der Einbruch bestätigt. Nutzer der Plattform sollten beim Anbieter nach dem Umfang der betroffenen Daten fragen und prüfen, ob über die Plattform ausgetauschte Zugangsdaten rotiert werden müssen. Bei Confluent, Deloitte, KFC und MoneyGram gilt dagegen: abwarten, beobachten — und die Behauptung nicht mit einem Fakt verwechseln.