Acht Tage nach Ransomware-Listung: Flex nimmt Einjahresschulden über 3,3 Milliarden Dollar auf

Drei Okta-Logins, dann die Listung auf der Leak-Website

Am 18. September 2026 tauchten drei Mitarbeiter-Logins für den Identitätsdienst Okta von Flex in kriminellen Stealer-Logs auf↗ – Teil eines Pakets aus 21 Zugangsdatensätzen mit Bezug zur Domain flex.com, das zwischen dem 18. und 21. September gesichtet wurde ¹. Drei Tage später listete die Ransomware-Gruppe MetaEncryptor Flex, den an der Nasdaq notierten Elektronik-Auftragsfertiger, auf ihrer Leak-Website↗ ¹². SOCRadar, das die Zugangsdaten aufgedeckt hatte, zählte für die Gruppe in den vorangegangenen 60 Tagen 20 Opfer und stufte Flex als den gewichtigsten Vorfall aus der Fertigungsindustrie in dieser Serie ein ¹.

Acht Tage später: 3,3 Milliarden Dollar auf ein Jahr

Am 29. September, acht Tage nach der Listung, unterzeichnete Flex den Finanzierungsteil seines Schwenks in Richtung KI-Energie: einen Senior-Terminkredit über 3,3 Milliarden Dollar mit Citibank als Administrative Agent↗, bei Unterzeichnung noch nicht abgerufen, fällig 364 Tage nach Auszahlung, gebunden an eine Debt/EBITDA-Obergrenze von 4,50x und eine Mindest-Zinsdeckungsquote von 3,00x ⁵. The Inference hatte über diese Finanzierung am 4. Oktober berichtet; was folgt, ist der September-Befund, den jene Story – und jede Meldung, auf der sie beruht – auslässt.

Der Kredit mindert eine Überbrückungsfinanzierung über 4,4 Milliarden Dollar↗ von Citigroup und Bank of America Dollar für Dollar, die den Barkauf von EPC Power absichert. EPC Power, ein Hersteller von Leistungselektronik, der 2026 voraussichtlich rund 800 Millionen Dollar Umsatz verbucht, ist für die Sparte bestimmt, die Flex im ersten Quartal 2027 abspalten will ³⁴⁵. Im Quartal vor der Unterzeichnung stieg die Verschuldung von Flex gegenüber dem Vorjahresquartal um 39 Prozent auf 5,93 Milliarden Dollar, während der Free Cashflow um 85 Prozent auf 41 Millionen Dollar einbrach ¹¹.

In den Meldungen, die Anleger lesen, steht dazu keine Zeile

Wer beide 8-K-Meldungen im Volltext liest, findet die Finanzierung und ihre Risiken beschrieben – über Seiten hinweg, gespickt mit Vorbehalten zur geplanten Abspaltung. Doch in keinem der beiden Dokumente tauchen die Wörter „Ransomware“, „Sicherheitsverletzung“ oder „Cybersicherheit“ auf ³⁵. Das EDGAR-Register von Flex↗ verzeichnet keine Meldung nach Item 1.05 zu einem Cybersicherheitsvorfall – das Formular, das ein börsennotiertes Unternehmen einreicht, wenn ein Angriff wesentlich wird ⁶. Die anschließende Berichterstattung über den Kredit gab die Konditionen wieder und begnügte sich damit ⁷⁸. Der Kreditvertrag beziffert den Verschuldungsgrad von Flex auf zwei Nachkommastellen genau; die öffentliche Datenlage beziffert sein Cyberrisiko auf null.

21 Zugangsdatensätze – und eine Ransomware-Gruppe unter ihrem dritten Namen

Der Stapel der Zugangsdatensätze verteilt sich wie folgt: drei Okta-Logins, einer für das Innovationssystem einer Flextronics-Tochter, einer für das Admin-Panel der Unternehmenswebsite, acht Mitarbeiterzugänge, die auf SaaS-Plattformen Dritter wiederverwendet wurden, und acht externe Nutzer dieses Panels ¹. Der Okta-Zugang wiegt schwer, denn ein einziges Login kann jeden angebundenen Cloud-Mandanten freischalten. Deshalb stellte SOCRadar einen zeitlichen Zusammenhang zwischen dem Auftauchen der Zugangsdaten und der Listung her und wertete den Okta-Zugriff als wahrscheinlichen Eindringweg – eine Schlussfolgerung, die der Dienst ausdrücklich als solche kennzeichnet ¹.

Die Marke ist nicht neu: MetaEncryptor trat 2022 erstmals in Erscheinung und verzeichnete ab Juli 2023 keine neuen Opfer mehr. Forscher brachten die Vorlage der Leak-Website und die Verschlüsselungssoftware der Gruppe mit dem Rebranding zu LostTrust↗ in Verbindung, bevor der Name wieder auftauchte ¹⁰. Vier Tage vor Flex reklamierte derselbe Name AECOM und 1,22 Terabyte Daten für sich – unbestätigt. Binnen drei Tagen zog die Behauptung die Prüfung möglicher Sammelklagen↗ nach sich ⁹.

Warum das auch nichts sein könnte

Listungen auf Leak-Websites sind Erpressungsbehauptungen, keine Beweise. Selbst SOCRadar räumt in seinem Disclaimer ein, dass sich solche Listungen nicht immer verifizieren lassen ¹. Zum Stand des 4. Oktober meldet weder die SOCRadar-Warnung noch der DailyDarkWeb-Post veröffentlichte Flex-Daten; beide Berichte gehen auf ein und dieselbe Listung vom 21. September zurück ¹². Möglich wäre, dass Flex die Logins rotiert und weitergemacht hat – falls ja, waren die Meldungen vollständig, und die Lücke liegt allein im Marketing der Gruppe.

Wo sich der Fall entscheidet

Der EPC-Abschluss, der für das vierte Quartal erwartet wird, und die Form 10, die die Abspaltungsgesellschaft bereits unter dem Namen Axiom Solutions International eingereicht hat, werden den Kreditteil der Transaktion von selbst bepreisen ³⁵. Was die Cyber-Lücke bepreisen würde, sind ein Daten-Dump oder ein Countdown von MetaEncryptor, eine Item-1.05-Meldung oder neue Risikopassagen in der 10-Q, die mit den Quartalszahlen im Oktober erscheint; die vollständige Neufassung der Risikofaktoren wartet auf eine 10-K, die etwa im Mai 2027 kommt ⁶. Beobachten Sie die Leak-Website und das EDGAR-Register – eines von beiden bewegt sich zuerst.