El fabricante ferroviario suizo Stadler se ha negado a pagar un rescate de 10 millones de francos suizos, aproximadamente 12,3 millones de dólares, tras el robo de información técnica de una plataforma compartida con uno de sus proveedores.
El grupo cibercriminal del Everest se atribuyó la intrusión en una carta de extorsión enviada a la empresa. Stadler afirmó que no pagaría la cantidad solicitada y ha presentado una denuncia penal ante la policía cantonal de Turgovia, Suiza.
Según el fabricante, los atacantes obtuvieron credenciales de acceso comprometidas para una plataforma de intercambio de datos utilizada por Stadler y un proveedor no identificado. Esas credenciales permitían el acceso no autorizado a material técnico perteneciente al proveedor.
Stadler afirmó que los atacantes no comprometieron su infraestructura informática interna. La empresa también afirmó que sus operaciones globales de producción continuaron con normalidad durante todo el incidente.
Según Stadler, no se robó información personal relevante. La empresa describió los archivos consultados como datos técnicos de proveedores que no afectaban a la seguridad ferroviaria ni a la operación de los vehículos Stadler ya en servicio.
Por tanto, el incidente no interrumpió la producción de trenes, tranvías, locomotoras u otro equipo ferroviario. Stadler también afirmó que los vehículos ferroviarios que operan en todo el mundo no se vieron afectados por la información robada.
Everest exigió el pago tras asumir la responsabilidad del robo de datos. Stadler rechazó públicamente la demanda, afirmando que no pagaría un rescate bajo ninguna circunstancia.
El caso parece ser un intento de extorsión por robo de datos más que un ataque que cifrara los sistemas de Stadler. En este tipo de operaciones, los criminales roban archivos y amenazan con publicarlos o hacer un uso indebido de ellos a menos que la organización objetivo pague.
A fecha del 24 de julio, Stadler no había aparecido en el sitio público de filtración de datos del Everest, según informes que monitorizaban las listas del grupo. En ese momento no se había confirmado ninguna publicación del material robado del suministrador.
La ausencia de un listado no establece qué pretende hacer Everest con la información. Stadler no ha confirmado que los atacantes eliminaron los archivos, y la empresa no ha informado de haber pagado ni negociado con el grupo.
La divulgación de la empresa identificó a Everest porque el grupo se autodenominó en el mensaje de extorsión. Esa atribución se basa en la propia afirmación de los atacantes y no en una conclusión pública por parte de las fuerzas del orden o una investigación forense independiente.
Everest ha operado como un grupo de robo de datos y extorsión, amenazando con exponer información tomada de organizaciones comprometidas. También ha denunciado anteriormente ataques contra empresas en los sectores de energía, telecomunicaciones, comercio minorista y transporte.
Las afirmaciones publicadas por grupos de ransomware y extorsión no son prueba de que accedieran a todos los sistemas o la información que describen. En el caso de Stadler, la empresa solo confirmó el robo de datos técnicos de proveedores mediante credenciales comprometidas para la plataforma de intercambio compartido.
Stadler afirmó que el incidente seguía limitado a esa ruta de acceso exterior. Sus propios sistemas no fueron vulnerados, sus instalaciones de producción permanecieron operativas y no encontró ningún efecto en la seguridad ni en el funcionamiento de sus vehículos ferroviarios.
La empresa ha presentado una denuncia penal ante la policía cantonal de Thurgau. No se habían anunciado arrestos, cargos formales ni conclusiones adicionales de la investigación policial en la información disponible en el momento de la publicación.