Majinahanashi ist eine Ransomware-Gruppe, deren erstes Opfer auf den 27. Juni 2026 zurückgeht und die seit dem 12. August 2026 öffentlich verfolgt wird. Sie arbeitet nach dem Muster der doppelten Erpressung: Erst werden Daten abgezogen, dann werden die Systeme verschlüsselt – zahlt das Opfer nicht, erscheinen die Daten auf einer Tor-Seite. Verschlüsselte Dateien tragen die Endung .MAJIN.
Bemerkenswert ist die Streuung: 18 Opfer in zwölf Ländern innerhalb weniger Wochen, mit Schwerpunkten in Italien und den USA. Für den deutschsprachigen Raum ist die Gruppe relevant, weil am 12. August 2026 gleich zwei DACH-Einträge erschienen – ein deutsches Handwerks- beziehungsweise Handelsunternehmen und ein Schweizer Bauunternehmen.
Der Name ist Inszenierung: „Majin“ heißt auf Japanisch Dämon, die Leak-Site trägt japanische Schriftzeichen und das Motto „DECISION REQUIRES CLARITY“. Auf die tatsächliche Herkunft der Täter lässt das keinen Schluss zu. Majinahanashi reiht sich damit in eine ganze Serie neuer Gruppen mit japanisch klingenden Namen ein – Yurei, Tengu, Djinn oder Sinobi.
Hinweis zur Einordnung: Majinahanashi ist eine junge Gruppe. Angaben auf der Leak-Site sind bis zu einer unabhängigen Bestätigung mit Vorbehalt zu behandeln – neue Gruppen übertreiben Umfang und Bedeutung ihrer Beute regelmäßig.
Aktiv
Eigenständige Ransomware-Operation mit eigener Tor-Leak-Site; ein offenes Partnerprogramm ist bislang nicht belegt
Majinahanashi; MAJINAHANASHI; auf Tracking-Portalen „majinahanashi“. Der Blog-Titel der Leak-Site lautet „魔人“ (majin, japanisch für Dämon).
Sommer 2026 – frühestes Opfer am 27. Juni 2026, öffentlich getrackt seit dem 12. August 2026
Keine Vorgängergruppe belegt. Majinahanashi gehört zu einer Reihe neuer Verschlüsseler mit japanisch anmutenden Namen (u. a. Yurei, Tengu, Djinn, Sinobi), die 2025 und 2026 aufgetaucht sind. Ob dahinter dieselben Betreiber stehen oder nur eine Mode-Erscheinung der Szene, ist offen – ein technischer Zusammenhang ist bislang nicht nachgewiesen.
Nicht belegt. Der japanisch klingende Name und die japanische Beschriftung der Leak-Site sind Selbstinszenierung und lassen keinen Rückschluss auf japanische Täter zu.
E-Commerce und Handel, Fertigung, Agrar- und Lebensmittelwirtschaft, Dienstleistung, Technologie, vereinzelt Gesundheitswesen
Zwölf Länder in vier Wochen – Schwerpunkte Italien und USA, dazu Frankreich, Portugal, Kolumbien, Litauen, Chile, Bulgarien und Indien. Deutschland und die Schweiz sind mit je einem Eintrag vertreten.
nicht öffentlich beziffert
18 gelistete Opfer in zwölf Ländern seit Ende Juni 2026, davon 10 in den letzten 30 Tagen (Stand: 24. August 2026)
.MAJIN
öffentlich nicht belastbar dokumentiert; die Leak-Site tritt mit dem Motto „DECISION REQUIRES CLARITY“ auf
Verschlüsseler: Die bislang analysierten Muster sind in C/C++ geschrieben, rund 90 KB groß und tragen Kompilierungsdaten Anfang Juli 2026. Verschlüsselt wird mit AES-256; betroffene Dateien erhalten die Endung .MAJIN. Der Verschlüsseler ist damit eine Eigenentwicklung und kein Ableger des vielfach recycelten LockBit- oder Babuk-Bausatzes.
Infrastruktur: eine Tor-Leak-Site mit japanischer Beschriftung (Blog-Titel „魔人“) und dem Motto „DECISION REQUIRES CLARITY“. Die Opfereinträge enthalten Datenproben und Umfangsangaben.
Praktische Folge: Weil eine feste Datei-Endung existiert, lässt sich eine gezielte Erkennungsregel bauen. Sie greift allerdings erst, wenn bereits verschlüsselt wird – der eigentliche Hebel liegt früher: bei kompromittierten Zugangsdaten und beim Datenabzug, der dem Verschlüsseln vorausgeht.
Bei Majinahanashi hilft die belegte Datei-Endung .MAJIN zwar bei der Erkennung, kommt aber spät – in dem Moment, in dem sie auftaucht, wird bereits verschlüsselt. Das Cyber Defense Center von Argos Security setzt deshalb früher an und überwacht rund um die Uhr (24/7) genau die Phasen davor: Anmeldungen mit gestohlenen Zugangsdaten über Fernzugänge, große ausgehende Datentransfers und die Löschung von Schattenkopien.
Ergänzend überwachen wir Infostealer-Leaks zu Ihren Domains – bei dieser Gruppe der wahrscheinlichste Einstiegsweg –, härten Fernzugänge und prüfen die Wiederherstellbarkeit Ihrer Backups. Im Ernstfall übernimmt unser Incident-Response-Team die vollständige Bearbeitung: Eindämmung, Forensik, Bewertung der Leak-Site-Behauptungen und die Behördenmeldungen.