British Airways, BBC, de Britse apothekersketen Boots, de Ierse luchtvaartmaatschappij Aer Lingus en de Canadese provincie Nova Scotia hebben allemaal als gevolg van de zeroday-aanval op MOVEit Transfer met een datalek te maken gekregen. Beveiligingsonderzoeker Kevin Beaumont claimt dat meer dan honderd grote en bekende organisaties door de aanval zijn getroffen.

MOVEit Transfer is een applicatie oor het uitwisselen van bestanden. Allerlei organisaties maken er gebruik van om onder andere vertrouwelijke informatie binnen de organisatie te delen. Door middel van SQL Injection is het mogelijk voor een aanvaller om ongeautoriseerde toegang tot de database van een MOVEit-server te krijgen, om zo vertrouwelijke data te stelen.

Daarnaast blijkt dat de aanvallers een webshell op het systeem installeren om zo toegang te behouden. Ontwikkelaar Progress Software kwam op 31 mei met een beveiligingsupdate en stelde dat klanten hun systemen voor minstens de afgelopen dertig dagen op aanwijzingen van ongeautoriseerde toegang moesten controleren. Vanwege de impact kwamen de Amerikaanse, Duitse en Nederlandse autoriteiten met waarschuwingen.

De aanval is volgens Microsoft het werk van de criminelen achter de Clop-ransomware. In het geval van de BBC zouden identiteitsnummers, geboortedata, adresgegevens en verzekeringsgegevens zijn gestolen. British Airways waarschuwde personeel dat hun bankgegevens mogelijk zijn buitgemaakt. De bedrijven zijn klant van salarisverwerker Zellis, waarvan de MOVEit Transfer-installatie werd gecompromitteerd. "Als afpersing het doel van deze operatie is, verwachten we dat getroffen organisaties de komende dagen of weken afpersingsmails kunnen verwachten", aldus securitybedrijf Mandiant.

Eerder maakte de Clop-groep ook gebruik van zerodaylekken in Fortra GoAnywhere en Accellion File Transfer Appliance (FTA), en een bekende kwetsbaarheid in PaperCut, voor het stelen van gegevens. Vervolgens worden de organisaties met de gestolen data afgeperst. De aanvallen gericht op GoAnywhere en FTA zorgden voor een explosie aan datalekken.