TFG London: Cyberangriff trifft Phase Eight, Hobbs, Whistles

TFG London, das Unternehmen hinter den britischen Modemarken Phase Eight, Hobbs und Whistles, ist Ziel eines Cyberangriffs geworden. Kunden der drei Marken wissen noch nicht, ob ihre persönlichen Daten offengelegt wurden.

TFG London ist der britische Ableger der Foschini Group (TFG), eines Handelskonzerns mit Sitz in Südafrika. Das Unternehmen bemerkte den Vorfall am Sonntag, dem 11. Oktober 2026, und machte ihn am Dienstag in einer Stellungnahme öffentlich.

Drei Marken betroffen, zwei verschont

Der Angriff traf einen Teil der IT-Systeme von TFG London, und zwar jene, die Phase Eight, Hobbs und Whistles nutzen. Inside Story und White Stuff, die zum selben britischen Geschäftsbereich gehören, waren nicht betroffen.

Geschlossen wurden wegen der Störung keine Geschäfte. "Die Filialen von TFG London bleiben geöffnet und verkaufen weiter, auch wenn mehrere IT-Systeme weiterhin nicht verfügbar sind", erklärte das Unternehmen.

Auch der übrige Konzern scheint nicht betroffen zu sein. "Der Betrieb der Gruppe bei TFG Africa und TFG Australia läuft auf getrennten Systemen und ist nicht betroffen", heißt es weiter in der Stellungnahme. Das deutet darauf hin, dass die Trennung zwischen den regionalen Geschäftsbereichen des Konzerns die Auswirkungen auf das britische Geschäft begrenzt hat.

Reaktion und Untersuchung

Nachdem TFG London den Einbruch entdeckt hatte, setzte das Unternehmen seine Notfall- und Betriebskontinuitätspläne in Gang. Außerdem holte es externe Cybersicherheitsexperten hinzu, um den Angriff einzudämmen, und meldete den Vorfall den zuständigen britischen Behörden.

Vieles an dem Angriff ist noch unklar. Das Unternehmen hat weder gesagt, um welche Art von Angriff es sich handelt, noch wie die Angreifer in sein Netzwerk gelangt sind. Zum Zeitpunkt der Veröffentlichung wurde keine Person und keine Gruppe öffentlich mit dem Vorfall in Verbindung gebracht.

Die wichtigste Frage für Kunden ist, ob ihre Daten abgeflossen sind. Laut TFG London wird das noch untersucht.

"Die Untersuchung dauert an, unter anderem um festzustellen, ob persönliche oder andere sensible Informationen kompromittiert wurden", so das Unternehmen.

Sollte die Untersuchung ergeben, dass persönliche oder sensible Informationen kompromittiert wurden, will TFG London die betroffenen Personen und Organisationen benachrichtigen.

Zweiter Angriff auf britischen Händler binnen einer Woche

TFG London ist bereits der zweite britische Händler, der innerhalb einer Woche einen Cyberangriff meldet. Wenige Tage zuvor hatte es den Online-Modehändler ASOS getroffen. Die ASOS-Kunden erfuhren auf ungewöhnliche Weise von dem Vorfall: Die Angreifer verschickten Push-Benachrichtigungen über die ASOS-App direkt an die Nutzer.

Auch außerhalb Großbritanniens steht die Branche unter Druck. H&M Group geht Behauptungen nach, sie sei ins Visier von ShinyHunters geraten, einer cyberkriminellen Gruppe, die für Datendiebstahl und Erpressung bekannt ist. Ein Unternehmenssprecher sagte TheIndustry.fashion, man habe bislang "keine Hinweise darauf gefunden, dass unsere Datenumgebung kompromittiert wurde".

Was Kunden jetzt tun können

TFG London hat keinen Datendiebstahl bestätigt und auch keine konkreten Hinweise für Kunden veröffentlicht. Bis die Untersuchung abgeschlossen ist, sollten Menschen, die bei Phase Eight, Hobbs oder Whistles eingekauft haben, bei unerwarteten E-Mails, SMS oder Anrufen vorsichtig sein, in denen die Marken oder ein Sicherheitsvorfall erwähnt werden. Angreifer nutzen Nachrichten über Datenlecks oft, um Phishing-Nachrichten glaubwürdiger wirken zu lassen.

Grundsätzlich empfiehlt es sich außerdem, das Passwort eines Shopping-Kontos nicht für andere Dienste zu verwenden und auf offizielle Benachrichtigungen des Unternehmens zu achten.

Unsere Einschätzung

Der Vorfall bei TFG London passt in ein Muster von Angriffen auf Modehändler, insbesondere auf britische. Innerhalb weniger Tage wurde bei ASOS die eigene App gegen die Kunden eingesetzt, TFG London verlor den Zugriff auf mehrere IT-Systeme, und H&M Group musste auf Behauptungen rund um ShinyHunters reagieren, eine Gruppe, die auch mit einem Einbruch beim FBI in Verbindung gebracht wird, der auf einen versäumten PeopleSoft-Patch zurückgeführt wird. Es gibt keine öffentlichen Belege dafür, dass diese Vorfälle zusammenhängen, und es wäre ein Fehler, das einfach anzunehmen. Dennoch deutet die Häufung darauf hin, dass Handelsmarken mit großen Kundendatenbanken und regem Onlinegeschäft weiterhin attraktive Ziele sind.

Am bisherigen Vorgehen von TFG London gibt es durchaus Positives. Das Unternehmen machte den Vorfall innerhalb von zwei Tagen öffentlich, hielt die Filialen offen und nannte klar, welche Marken und Regionen nicht betroffen sind. Dass TFG Africa und TFG Australia auf getrennten Systemen laufen, scheint den Schaden begrenzt zu haben - ein Beleg dafür, wie wertvoll Netzwerksegmentierung für große Handelskonzerne ist.

Die Stellungnahme lässt aber auch wichtige Lücken. Wir wissen nicht, um welche Art von Angriff es sich handelt, wie die Angreifer hineingelangt sind oder ob auf Kundendaten zugegriffen wurde. Es lohnt sich zu beobachten, ob sich in den kommenden Tagen eine Ransomware- oder Erpressergruppe zu dem Angriff bekennt und ob TFG London später einen Datendiebstahl bestätigt und mit der Benachrichtigung von Kunden beginnt. Ebenso aufschlussreich wird sein, wie lange die betroffenen IT-Systeme offline bleiben, denn längere Ausfälle würden auf einen schwerwiegenderen Einbruch hindeuten, als ihn die aktuelle Stellungnahme beschreibt.