Black X ist eine kleine Erpressergruppe, deren Tor-Leak-Site seit Juni 2026 beobachtet wird. Bis Mitte Oktober hat sie 14 Opfer genannt – weltweit gestreut, von einem vietnamesischen Konsumentenkreditgeber über südkoreanische Fertigungs- und Klinikbetriebe bis zu einem Krankenhaus im Jemen. Die Gruppe bezeichnet sich selbst als Ransomware-Operation und droht mit der Veröffentlichung, wenn das Opfer keinen Kontakt aufnimmt.
Für den deutschsprachigen Raum ist Black X wegen zweier Einträge relevant: „elektroverband-bayern“ im Juni 2026 und – am 9. Oktober 2026 – „bayer“. Die Bayer-Behauptung ist nicht bestätigt: Das Unternehmen hat sich nicht geäußert, unabhängige Berichte oder veröffentlichte Datenproben liegen nicht vor.
Hinweis zur Einordnung: Zu Black X gibt es keine Malware-Analyse und keine Berichte von Behörden oder großen Sicherheitsanbietern. Zwischen geschätztem Angriff und Veröffentlichung liegen im Schnitt rund drei Monate; Angaben der Leak-Site sind bis zur Bestätigung mit Vorbehalt zu lesen – kleine Gruppen arbeiten häufig mit recyceltem Material oder übertriebenen Behauptungen.
Aktiv
Eigenständige Gruppe mit eigener Tor-Leak-Site; ein Partnerprogramm (RaaS) ist nicht bekannt
Black X, BlackX; auf Tracking-Portalen „Black X“ bzw. „blackx“
Leak-Site seit Juni 2026 erfasst (erste Einträge am 2. Juni 2026); ein Tracker datiert einen ersten Eintrag bereits auf Mai 2025
Nicht zugeordnet – Verbindungen zu älteren Gruppen sind öffentlich nicht belegt
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Finanzdienstleistungen, Gesundheitswesen, Fertigung, Technologie und Zahlungsdienste, Unternehmensdienstleistungen, Energie, öffentlicher Sektor und politische Organisationen
Weltweit gestreut: Südkorea, Vietnam, Malaysia, Jemen, Südafrika, Philippinen, Japan und Großbritannien – dazu Deutschland mit zwei Einträgen
Öffentlich nicht beziffert
14 gelistete Opfer seit Juni 2026, davon drei am 9. Oktober 2026 (Stand: 12. Oktober 2026)
keine belastbare öffentliche Angabe
keine belastbare öffentliche Angabe; Ansprache über die Leak-Site
Zu Black X liegt keine veröffentlichte Malware-Analyse vor; auch Behörden und große Sicherheitsanbieter haben zur Gruppe nichts veröffentlicht. Verschlüsselungsverfahren, Datei-Endung und Erpressernotiz sind deshalb nicht belastbar dokumentiert – wir tragen hier bewusst keine Vermutungen ein.
Belegt ist allein die Tor-Leak-Site, auf der die Gruppe Opfer nennt und zur Kontaktaufnahme drängt. Die Erkennung muss deshalb über Verhalten laufen: ungewöhnliche Anmeldungen, Massenzugriffe auf Dateifreigaben, große ausgehende Datentransfers.
Zu Black X gibt es keine technischen Signaturen – Schutz entsteht hier nur über verhaltensbasierte Erkennung. Das Cyber Defense Center von Argos Security überwacht Anmeldungen, Fernzugänge und Datenbewegungen rund um die Uhr (24/7) und erkennt die typischen Vorboten: Zugriffe mit gestohlenen Zugangsdaten, große Datenabflüsse, Eingriffe in Sicherungen. Unsere Threat Intelligence beobachtet Leak-Sites und meldet, wenn Ihr Unternehmen oder Ihre Dienstleister dort auftauchen.
Steht Ihr Name bereits auf einer Leak-Site, klärt unser Incident-Response-Team, was an der Behauptung belegt ist – und begleitet Sie durch Forensik, Kommunikation und die Meldepflichten nach DSGVO und NIS2.