Der Schweizer Eisenbahnhersteller Stadler hat sich geweigert, ein Lösegeld von 10 Millionen Schweizer Franken, etwa 12,3 Millionen US-Dollar, zu zahlen, nachdem technische Informationen von einer mit einem seiner Lieferanten geteilten Plattform gestohlen wurden.
Die Cyberkriminalitätsgruppe Everest übernahm die Verantwortung für den Einbruch in einem Erpressungsschreiben an das Unternehmen. Stadler sagte, sie werde den geforderten Betrag nicht zahlen und hat eine Strafanzeige bei der Kantonspolizei in Thurgau, Schweiz, eingereicht.
Laut dem Hersteller erhielten die Angreifer kompromittierte Zugangsdaten für eine Datenaustauschplattform, die von Stadler und einem namenlosen Lieferanten genutzt wurde. Diese Zugangsdaten ermöglichten den unbefugten Zugriff auf technisches Material des Lieferanten.
Stadler erklärte, die Angreifer hätten die interne IT-Infrastruktur nicht kompromittiert. Das Unternehmen erklärte außerdem, dass die globalen Produktionsaktivitäten während des gesamten Vorfalls normal fortgesetzt wurden.
Laut Stadler wurden keine relevanten personenbezogenen Daten gestohlen. Das Unternehmen bezeichnete die abgerufenen Dateien als technische Lieferantendaten, die weder die Eisenbahnsicherheit noch den Betrieb der bereits im Einsatz befindlichen Stadler-Fahrzeuge beeinflussten.
Der Vorfall störte daher nicht die Produktion von Zügen, Straßenbahnen, Lokomotiven oder anderem Eisenbahnmaterial. Stadler sagte außerdem, dass Schienenfahrzeuge, die weltweit verkehren, von den gestohlenen Informationen nicht betroffen seien.
Everest forderte die Zahlung, nachdem er die Verantwortung für den Datendiebstahl übernommen hatte. Stadler lehnte die Forderung öffentlich ab und erklärte, dass unter keinen Umständen ein Lösegeld gezahlt werde.
Der Fall scheint eher ein Erpressungsversuch wegen Datendiebstahls zu sein als ein Angriff, der Stadlers Systeme verschlüsselt hat. Bei solchen Operationen stehlen Kriminelle Dateien und drohen mit der Veröffentlichung oder anderweitigen Missbrauch, es sei denn, die betroffene Organisation zahlt.
Bis zum 24. Juli war Stadler laut Berichten, die die Angebote der Gruppe überwachten, nicht auf der öffentlichen Datenleckseite von Everest erschienen. Zu diesem Zeitpunkt war keine Veröffentlichung des gestohlenen Lieferantenmaterials bestätigt worden.
Das Fehlen eines Eintrags zeigt nicht, was Everest mit den Informationen vorhat. Stadler hat nicht bestätigt, dass die Angreifer die Dateien gelöscht haben, und das Unternehmen hat keine Zahlungen oder Verhandlungen mit der Gruppe gemeldet.
Die Offenlegung des Unternehmens identifizierte Everest, weil die Gruppe sich in der Erpressungsnachricht selbst benannt hat. Diese Zuschreibung basiert auf der eigenen Behauptung der Angreifer und nicht auf einer öffentlich offengelegten Schlussfolgerung der Strafverfolgungsbehörden oder einer unabhängigen forensischen Untersuchung.
Everest agiert als Datendiebstahl- und Erpressungsgruppe und droht, Informationen aus kompromittierten Organisationen preiszugeben. Zuvor hat es auch Angriffe auf Unternehmen aus den Bereichen Energie, Telekommunikation, Einzelhandel und Transport behauptet.
Behauptungen, die von Ransomware- und Erpressungsgruppen veröffentlicht wurden, sind kein Beweis dafür, dass sie auf alle von ihnen beschriebenen Systeme oder Informationen zugegriffen haben. Im Fall von Stadler bestätigte das Unternehmen nur den Diebstahl technischer Lieferantendaten durch kompromittierte Zugangsdaten für die gemeinsame Austauschplattform.
Stadler sagte, der Vorfall sei weiterhin auf diese externe Zufahrtsroute beschränkt. Die eigenen Systeme wurden nicht beschädigt, die Produktionsstätten blieben in Betrieb, und es gab keine Auswirkungen auf die Sicherheit oder den Betrieb der Schienenfahrzeuge.
Das Unternehmen hat eine Strafanzeige bei der kantonalen Polizei Thurgau eingereicht. In den zum Zeitpunkt der Veröffentlichung verfügbaren Informationen wurden keine Festnahmen, formelle Anklagen oder weitere Ergebnisse der polizeilichen Ermittlungen bekanntgegeben.