N0n – mit einer Null geschrieben – ist eine Erpressergruppe, die im September 2026 mit einer eigenen Leak-Site auftauchte und dort binnen gut drei Wochen 34 Einträge veröffentlicht hat. Zum Auftakt am 21. September 2026 nannte sie gleich mehrere bekannte Namen auf einmal, darunter den US-Sportartikelhändler Fanatics und den Pharmakonzern AstraZeneca; es folgten unter anderem der Marketing-Analytics-Anbieter TapClicks und der irische Cloud-Anbieter Dediserve.
Nach Analysen von Sicherheitsanbietern verschafft sich N0n den Zugang über Zugangsdaten aus Infostealer-Infektionen – also über Passwörter, die Schadsoftware zuvor auf privaten oder beruflichen Rechnern von Beschäftigten abgegriffen hat. Ob die Gruppe zusätzlich verschlüsselt, ist unter Fachleuten umstritten; belegt ist der Datendiebstahl mit Veröffentlichungsdrohung.
Hinweis zur Einordnung: Ein Fall im deutschsprachigen Raum ist nicht dokumentiert. Viele Behauptungen – etwa zu AstraZeneca – sind von den Unternehmen nicht bestätigt. Wir führen N0n wegen des hohen Tempos und weil der Einstiegsweg über gestohlene Zugangsdaten jedes Unternehmen treffen kann.
Aktiv
Eigenständige Erpressergruppe mit eigener Tor-Leak-Site; ein Partnerprogramm (RaaS) ist nicht bekannt
N0n, n0n (mit einer Null geschrieben); auf Tracking-Portalen teils als „New N0n“ geführt
September 2026; erste Einträge auf der Leak-Site am 18. bzw. 21. September 2026
Nicht zugeordnet – Verbindungen zu älteren Gruppen sind öffentlich nicht belegt
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Technologie und SaaS, Online-Handel, Gesundheitswesen, Finanzdienstleistungen, Bildung, Telekommunikation, öffentliche Verwaltung
Schwerpunkt USA, dazu Großbritannien, Irland, Luxemburg, Kanada, Argentinien, Venezuela, Vietnam und Usbekistan. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Öffentlich nicht beziffert
34 gelistete Einträge seit dem 18. September 2026, davon rund 15 mit Namen; am 11. Oktober 2026 erschienen zwölf anonymisierte Einträge auf einmal (Stand: 12. Oktober 2026)
keine belastbare Angabe – eine Verschlüsselung ist nicht belegt
keine belastbare öffentliche Angabe; Ansprache über die Leak-Site mit Fristsetzung
Zu N0n liegt keine veröffentlichte Malware-Analyse vor. Sicherheitsanbieter beschreiben die Gruppe als neue Erpresserbande, deren Einordnung als „Ransomware“ in der Fachwelt umstritten ist: Belegt ist der Datendiebstahl, nicht die Verschlüsselung.
Der entscheidende technische Punkt liegt vor dem Angriff: Die Zugangsdaten stammen nach den vorliegenden Analysen aus Infostealer-Infektionen – oft auf privaten Geräten, auf denen Beschäftigte auch berufliche Konten nutzen. Wer solche Datensätze früh erkennt und die Konten zurücksetzt, nimmt der Gruppe den Einstieg.
N0n kommt nicht mit Schadsoftware, sondern mit echten Zugangsdaten – und sieht deshalb zunächst aus wie ein normaler Benutzer. Die Threat Intelligence von Argos Security beobachtet Infostealer-Daten und Leak-Sites und meldet, wenn Zugangsdaten Ihrer Organisation dort auftauchen, oft lange vor einem Angriff. Das Cyber Defense Center überwacht Anmeldungen und Datenbewegungen in Cloud- und SaaS-Umgebungen rund um die Uhr (24/7) und erkennt ungewöhnliche Zugriffe und Massenexporte.
Im Ernstfall übernimmt unser Incident-Response-Team: Konten und Token sperren, Umfang des Abflusses klären, Beweise sichern und die Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen.