Orova ist eine im Sommer 2026 aufgetauchte Erpressergruppe, die vor allem über gestohlene Daten Druck aufbaut. Am 4. August 2026 veröffentlichte sie in einem Schwung 24 Opfer auf ihrer Tor-Leak-Site, binnen weniger Tage wuchs die Liste auf 35. Die Angriffe selbst liegen deutlich weiter zurück: Zwischen Angriff und Veröffentlichung vergehen im Schnitt rund 38 Tage, die ersten Zugriffe werden auf Mai 2026 datiert.
Bemerkenswert ist die Opferstruktur. Neben mittelständischen Unternehmen aus Industrie, IT und Finanzwesen trifft es auffallend viele sehr kleine Organisationen – Zahnarztpraxen, Handwerksbetriebe, Kirchengemeinden, Wohnungseigentümergemeinschaften. Das spricht für ein opportunistisches Vorgehen entlang leicht erreichbarer Zugänge statt für gezielte Großangriffe. Ein DACH-Opfer ist bislang nicht bekannt; die Gruppe ist wegen ihres Tempos dennoch beobachtenswert.
Aktiv
Menschlich gesteuerte Erpressung mit Schwerpunkt auf Datendiebstahl („Data Broker“): Tor-Leak-Site, separates Tor-Verhandlungsportal und ein Tox-Kontakt; neben der Doppelten Erpressung werden Daten teils kostenlos freigegeben.
OROVA; Leak-Site „Orova“
Erste Angriffe ab Mai 2026; öffentlicher Auftritt der Leak-Site im August 2026
Keine Vorgängergruppe belegt. Der zügige Start mit einem großen Erstschwung an Opfern deutet auf erfahrene Betreiber hin, eine Zuordnung zu einer früheren Marke ist öffentlich aber nicht dokumentiert.
Nicht zugeordnet – eine belastbare Herkunftszuschreibung liegt öffentlich nicht vor
Gesundheitswesen, Fertigung, IT- und Technologiedienstleister, Finanzwesen, Telekommunikation und Einzelhandel; dazu zahlreiche Kleinstorganisationen aus dem Dienstleistungs-, Vereins- und Immobilienumfeld.
International, Opfer aus sechs Ländern – Schwerpunkt USA, dazu Hongkong (fünf Unternehmen im August 2026), Kanada, Brasilien, Japan, Taiwan und Großbritannien. <strong>Bislang kein Opfer in Deutschland, Österreich oder der Schweiz.</strong>
Nicht öffentlich beziffert; Verhandlung über ein Tor-Portal und einen Tox-Kontakt.
35 gelistete Opfer (Stand: 10. August 2026), Opfer aus sechs Ländern; bislang kein DACH-Opfer bekannt
.orova
Öffentlich nicht eindeutig dokumentiert
Zur eingesetzten Schadsoftware liegen bislang nur wenige belastbare öffentliche Angaben vor – die Gruppe ist erst seit August 2026 sichtbar. Dokumentiert ist die Datei-Endung .orova für verschlüsselte Dateien. Verschlüsselungsverfahren, Erpressernotiz und Plattformunterstützung sind öffentlich nicht sauber belegt und werden hier bewusst nicht gemutmaßt.
Klarer ist das Betriebsmodell: Orova betreibt eine Tor-Leak-Site zur Veröffentlichung gestohlener Dateien, ein separates Tor-Portal für die Verhandlung sowie einen Tox-Kontakt für die direkte Ansprache. Der Schwerpunkt liegt erkennbar auf dem Datendiebstahl – einschlägige Tracker führen die Gruppe als „Data Broker“.
Bei einer Gruppe, die ihre Opfer erst Wochen nach dem Zugriff veröffentlicht, entscheidet die frühe Erkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und achtet auf die Vorzeichen: Anmeldungen mit gestohlenen Zugangsdaten, Erkundung im Netz und ungewöhnlich große Datenausleitungen. Unsere Threat Intelligence beobachtet zugleich Leak-Sites und Infostealer-Funde und meldet, wenn Ihre Domäne oder Ihr Unternehmen dort auftaucht – idealerweise bevor die Erpressung beginnt. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik, Wiederanlauf und die Abstimmung der Meldepflichten.