Lapsus$-Gruppe meldet Adidas-Hack und droht mit weiteren Datenleaks

Die Hackergruppe Lapsus$ behauptet, in das Adidas Extranet eingedrungen zu sein und Daten wie Nutzernamen, Passwörter sowie umfangreiche technische Informationen erbeutet zu haben. Die Gruppe kündigte zudem an, dass „etwas Größeres“ bevorstehe. Doch stimmt das wirklich?

Lapsus$ zufolge wurden rund 815.000 Zeilen mit Daten exfiltriert, die Teil des Adidas Extranet sind, einem geschützten Web-Portal für autorisierte Geschäftspartner, Lieferanten, Händler und Mitarbeiter zur direkten Interaktion mit dem Unternehmen.

Die geleakten Daten umfassen angeblich Vornamen, Nachnamen, E-Mail-Adressen, Passwörter, Geburtsdaten, Unternehmensinformationen sowie technische Daten.

Adidas hat sich bislang nicht zu dem Vorfall geäußert. Datenlecks sind allerdings keine neue Entwicklung für das Unternehmen. Erst im Mai 2025 musste der deutsche Sportartikelhersteller einräumen, dass ein Angriff auf einen Drittanbieter zur Kompromittierung von Kundendaten geführt hatte.

Diesmal fügte Lapsus$ hinzu: „Etwas Größeres kommt noch, wartet ab. Es wird euch gefallen.“

Auf Telegram erklärte die Gruppe, dass die Veröffentlichung der Adidas-Extranet-Daten nicht einmal „der große Leak“ gewesen sei, und fügte hinzu, dass die Gruppe weitere 420 GB an Adidas-Daten mit Bezug zum französischen Markt besäße.

Nach Prüfung der Beiträge von Lapsus$ kommen die Cybernews-Sicherheitsforscher jedoch zu dem Schluss, dass die Gruppe stark übertreibt und den Markennamen Adidas im Wesentlichen missbraucht, um zusätzliche Aufmerksamkeit zu erregen.

Vielmehr scheint es, als ob die personenbezogenen Daten in den SQL-Dateien (Structured Query Language) von Kunden und Mitarbeitern von Unternehmen stammen, die Adidas-Produkte weiterverkaufen. Zudem ist die Datenmenge nicht besonders groß, offenbar sind nur rund 130 Nutzerkonten betroffen.

Auch wenn es möglich wäre, auf Basis dieser Daten Phishing-Kampagnen durchzuführen, wäre es laut unserer Expertenredaktion irreführend, von einem „großen Adidas-Datenleck“ zu sprechen.

„Es sind keine direkten Adidas-Daten beteiligt, und die Zahl der offengelegten Zeilen ist stark übertrieben: Selbst Zeilen wie DROP TABLE sind darin enthalten“, erklärten die Sicherheitsforscher.

Den Forschern zufolge stammen die Daten tatsächlich von einem Unternehmen namens Double D, einer 1994 gegründeten französischen Firma. Sie ist seit 2005 globaler Lizenznehmer für Adidas-Kampfsportprodukte.

Allerdings bezeichnete die Computersicherheitsfirma Resecurity die Lapsus$-Gruppe in einem Bericht Ende 2025 gemeinsam mit Scattered Spider und ShinyHunters als die drei berüchtigtsten englischsprachigen Cybercrime-Gruppen, die derzeit aktiv sind. Die Gefahr für Adidas könnte also durchaus real sein.

Entdecke mehr exklusive Cybernews-Reportagen bei YouTube.