Leakers$ kaperten öffentliche LED-Werbetafeln in Ägypten, Malaysia und Brasilien

Eine Werbetafel über der 26.-Juli-Achse in Gizeh, an der Autobahn, die den Verkehr zwischen Kairo und den westlichen Vororten der Stadt trägt, zeigte am Donnerstag, dem 29. Oktober 2026, sexuell explizites Video. Über das Filmmaterial gelegter Text lautete „Leaked by: Ch, 19ylegal never and nivex“, zusammen mit einem Telegram-Handle, @LeakersGov. CNN berichtete am folgenden Tag über den Vorfall.

Zum Weiterlesen: Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen · Eine Firewall-Kampagne legte 70.000 Zugangsdaten offen. Die VPN-Sitzungen sind das größere Risiko..

Bis dahin waren ähnliche Hijacks in Malaysia und Brasilien aufgetaucht. Gizmodo und The Verge sammelten die Berichte am 1. November, und eine Gruppe, die sich Leakers$ nennt, bekannte sich zu der Kampagne.

Drei Länder, drei Eigentümer, drei Ermittlungen. Gemeinsam ist den Fällen die Art des Ziels: ein öffentlicher Bildschirm, dessen Inhalt über ein Netzwerk ankommt, und ein Angreifer, der sagt, er habe die Systeme hinter dem Bildschirm angegriffen, nicht die Hardware selbst.

Drei Länder, drei Betreiber

Ägyptens Bildschirm gehörte laut dem Innenministerium Al Arabia United. Das Unternehmen ist ein ägyptisch-saudisches Joint Venture, das 2022 von United Media Services, dem Medienarm von Ägyptens General Intelligence Service, und der an der saudischen Börse notierten Arabian Contracting Services gegründet wurde. The Cairo Report, von Gizmodo zitiert, beziffert den Bestand auf rund 1.926 Werbetafeln, davon 239 digitale, verteilt auf Kairo, Gizeh, Alexandria und die Nordküste.

Eigentum zählt hier, weil es entscheidet, wer antworten muss. United Media Services ist der Medienarm eines Sicherheitsdienstes, und Arabian Contracting Services ist in Saudi-Arabien börsennotiert, sodass dieser Betreiber gleichzeitig einem Staatsorgan und öffentlichen Aktionären verantwortlich ist. Die ägyptische Reaktion kam über formelle Kanäle: eine Erklärung des Ministeriums, eine Erklärung des Unternehmens und ein Gerichtsverfahren.

Die Darstellung des Ministeriums zum Mechanismus ist kurz und konkret. Al Arabia United habe ein ungenanntes internationales Unternehmen beauftragt, und die Website dieses Unternehmens sei angegriffen worden. Infolgedessen, so das Ministerium, sei das Filmmaterial in mehreren anderen Ländern gleichzeitig ausgestrahlt worden. Es habe rechtliche Schritte eingeleitet, und das internationale Unternehmen habe die Ausstrahlungen ausgesetzt. Al Arabia United erklärte separat, man habe unbefugten Zugriff auf einen Bildschirm entdeckt, ihn vorsorglich abgeschaltet und untersuche den Vorfall mit den Behörden.

in mehreren anderen Ländern gleichzeitig.

Malaysias Fall war kommunal. Die Stadtverwaltung von Kluang in Johor bestätigte, dass mehrere öffentliche LED-Bildschirme gehackt wurden, um obszöne Inhalte zu zeigen, und erklärte, sie habe die betroffenen Bildschirme abgeschaltet, wie The Star berichtete. Die Polizei eröffnete eine Untersuchung, nachdem ein 42-jähriger Mann Anzeige erstattet hatte; er hatte über WhatsApp Screenshots und Videos der Bildschirme erhalten.

In Brasilien stand die Anzeigetafel an einer Avenue nahe der BR-343 in Campo Maior, Piauí. Ferreira & Ferreira Publicidade e Comunicação bestätigte gegenüber G1 einen Cyberangriff, erklärte, das Gerät sofort abgeschaltet, eine Anzeige bei der Polizei erstattet und sich entschuldigt zu haben.

Der Einstiegspunkt, wie die Gruppe ihn beschreibt

Leakers$ gab dem Cairo Report seine Version der Methode. Die Gruppe sagte, sie habe eine Schwachstelle in der Software ausgenutzt, die zur Übertragung von Inhalten an LED-Displays verwendet wird, nicht Schwächen in einzelnen physischen Werbetafeln. Ein Vertreter sagte, vier Beteiligte unter den Pseudonymen Never, 19ylegal, CH und Nivex hätten durch einen automatisierten Zufallsscan von rund zwei Stunden Tausende exponierte Systeme gefunden. Diese Systeme seien angeblich über Webseiten und Oberflächen erreichbar gewesen, denen grundlegende Schutzmaßnahmen fehlten.

Jeder Teil dieser Darstellung stammt von der Gruppe. Für die beschriebene Schwachstelle wurde keine Herstellerwarnung und keine CVE veröffentlicht, und keine veröffentlichte forensische Arbeit verbindet die drei nationalen Vorfälle mit einem einzigen Fehler. Beamte in Ägypten, Malaysia und Brasilien haben bestätigt, dass unbefugter Zugriff stattfand; sie haben keine technische Ursache genannt.

Die Gruppe sagt außerdem, sie suche weder Spenden noch Lösegeld und sei keine Ransomware-Operation, und stellt ihre Aktivität als Bloßstellung schlecht gesicherter Infrastruktur dar. Am Freitag nach den Hijacks veröffentlichte sie eine politische Erklärung zu Ägypten. Diese Rahmung lädt zur Skepsis ein, denn explizites Material auf einer öffentlichen Straße zu veröffentlichen ist eine Entscheidung darüber, wer die Kosten der Botschaft trägt, und die Menschen im Verkehr auf der 26.-Juli-Achse hatten keine Stimme.

Eine Website-Kompromittierung kann eine Straßenecke erreichen

Die Darstellung des ägyptischen Ministeriums beschreibt eine Kette mit zwei Gliedern: Eine Unternehmenswebsite wurde angegriffen, und Bildschirme in mehreren Ländern zeigten das Ergebnis. Das erste Glied ist gewöhnliche Websicherheit. Das zweite ist der Teil, der die Öffentlichkeit erreicht. Eine Anzeigetafel, die ihre Playlist aus einem Fernverwaltungssystem bezieht, erbt die Sicherheit dieses Systems, und niemand vor dem Bildschirm kann erkennen, ob die Playlist autorisiert war.

Ägypten sagt, rechtliche Schritte seien eingeleitet. Es hat das internationale Unternehmen nicht genannt, keinen Vorfallbericht veröffentlicht und nicht gesagt, wie viele Bildschirme außerhalb Ägyptens über denselben Kanal erreicht wurden. Diese Lücken lassen die Hauptfrage offen: War der schwache Punkt die Website eines Anbieters, die Art, wie Inhalte von ihr ausgeliefert wurden, oder beides?

Das Timing deutet darauf hin, dass die drei Länder keine getrennten Unfälle waren. Aber Gleichzeitigkeit ist auch das, was eine geplante Playlist ausmacht, und die Bestätigung eines gemeinsamen Eindringens würde Protokolle erfordern, die niemand veröffentlicht hat.

Der grenzüberschreitende Teil ist für Betreiber überall wichtig. Das Ministerium sagte, das Filmmaterial habe mehrere Länder gleichzeitig erreicht, was eine gemeinsame Content-Pipeline tut, wenn sie wie vorgesehen funktioniert. Derselbe Zugang, der einen Werbetreibenden eine Kampagne über eine Region planen lässt, lässt jeden, der das Konto hält, etwas anderes planen. Zwischen dem Content-System und der Anzeigetafel sitzt keine Grenzkontrolle.

Ein Muster, das älter ist als diese Kampagne

Öffentliche Bildschirme wurden schon früher gekapert. Jakartas waren 2016 betroffen, Brisbanes 2022 und Bagdads im August 2023, laut den Vorfällen, die Gizmodo auflistet. Digital Signage ist operative Technologie, die im Freien steht, häufig als Managed Service gekauft wird, und der Vertrag, der sie abdeckt, handelt meist von Verfügbarkeit und Werbereichweite, nicht von Incident Response.

Eine Website-Verunstaltung lässt sich an einem Nachmittag rückgängig machen. Ein Bildschirm über einer Autobahn nicht, und das Publikum kann keinen Tab schließen.

Die eigene Leitlinie der Branche erkennt die Lücke an. Das OAAA-Dokument ist für Werbetafelbetreiber geschrieben, das richtige Publikum für eine Warnung vor Standardpasswörtern. Ägyptens Darstellung legt nahe, dass die Website des Anbieters auf dieselbe Checkliste gehört, denn der Bildschirm ist der letzte Schritt einer Kette, die ganz woanders beginnt.

Was die Belege stützen und was nicht

Drei Dinge sind belegt. Sexuell explizites Material erschien auf oder um den 29. Oktober auf öffentlichen Bildschirmen in drei Ländern. Behörden oder Betreiber in jedem Land bestätigten unbefugten Zugriff. Und Leakers$ beanspruchte die Operation, mit einem Telegram-Handle auf dem ägyptischen Bildschirm, das zur öffentlichen Identität der Gruppe passt.

Fast alles andere trägt einen Vorbehalt. Die Zuschreibung stützt sich auf die eigenen Beiträge der Gruppe plus offizielle Bestätigung, dass jemand hineingelangt ist. Die Software-Schwachstelle ist die Beschreibung der Gruppe, kein Befund. Der behauptete Zugriff im Irak und in China hat dünnere unabhängige Bestätigung und sollte als Behauptung gelesen werden, bis lokale Betreiber oder Behörden etwas anderes sagen.

Die bisherige Berichterstattung betrifft die Kontrolle von Bildschirmen, nicht den Diebstahl von Daten. Nichts in den Berichten von CNN, The Star oder G1 beschreibt, dass Kundendaten entnommen wurden, und die Erklärung des ägyptischen Ministeriums betrifft den Zugang zur Ausstrahlung, nicht Exfiltration. Das kann sich im Zuge der Ermittlungen ändern, aber derzeit gibt es keine Hinweise darauf.

Ägyptens Darstellung trägt auch die Autorität eines Ministeriums statt die einer unabhängigen forensischen Firma. Sie sagt, eine Website sei angegriffen worden. Sie sagt nicht, wie, von wem oder ob derselbe Zugang Malaysia und Brasilien erreichte. Das parallele Timing ist mit einem gemeinsamen Eindringen vereinbar, doch nur Protokolle des ungenannten Unternehmens würden es belegen.

Was zu beobachten ist

Eine Herstellerwarnung oder eine CVE für die Content-Übertragungssoftware würde die zentrale Behauptung der Gruppe von einer Behauptung zu einem dokumentierten Befund verschieben, und sie würde jedem Betreiber etwas Konkretes zum Patchen geben. Ohne sie bleibt der Branche eine Beschreibung einer Schwachstelle und keine Möglichkeit zu prüfen, ob die eigenen Systeme sie haben.

Dann sind da die Ermittlungen. Malaysias Polizeifall und Brasiliens Polizeibericht könnten technische Details liefern, die Ägyptens Ministerium nicht hat. Ägyptens rechtliche Schritte könnten das internationale Unternehmen nennen, was anderen Kunden dieses Anbieters erlauben würde, ihr eigenes Risiko einzuschätzen. Achten Sie darauf, ob eines der drei Länder eine Ursache veröffentlicht statt einer Erklärung über unbefugten Zugriff.

Die Behauptungen zu Irak und China brauchen eine lokale Bestätigung oder ein Dementi, bevor sie in eine Zählung betroffener Länder gehören.

Und beobachten Sie, was Betreiber ändern. Standard-Zugangsdaten, exponierte Verwaltungsoberflächen und die Trennung zwischen einer öffentlichen Website und dem System, das Inhalte an Bildschirme schickt, sind alles prüfbare Punkte. Ob die Branche diese Woche als Warnung oder als Kuriosität behandelt, wird sich in Beschaffungsdokumenten zeigen, lange bevor es in einer weiteren Schlagzeile auftaucht.

Verträge können sich bewegen, bevor sich das technische Bild bewegt. Das ungenannte Unternehmen, das die Kontrolle über seine Website verlor, ist nun eine Zeile in den Risikobewertungen seiner Kunden, und diese Kunden haben einen Grund zu fragen, welchen Zugang der Anbieter zu ihren Bildschirmen tatsächlich hatte. Andere Kunden dieses Anbieters brauchen seinen Namen, um ihr eigenes Risiko zu prüfen, und Ägypten hat ihn nicht genannt.

Titelbild: „محور 26 يوليو.JPG“ von لا روسا, CC BY-SA 4.0, via Wikimedia Commons (die 26.-Juli-Achse in Ägypten), auf 16:9 zugeschnitten.