Le constructeur ferroviaire suisse Stadler a refusé de payer une rançon de 10 millions de francs suisses, soit environ 12,3 millions de dollars, suite au vol d’informations techniques sur une plateforme partagée avec l’un de ses fournisseurs.
Le groupe cybercriminel de l’Everest a revendiqué la responsabilité de l’intrusion dans une lettre d’extorsion envoyée à l’entreprise. Stadler a déclaré qu’elle ne paierait pas le montant demandé et a déposé une plainte pénale auprès de la police cantonale du Thurgovie, en Suisse.
Selon le fabricant, les attaquants ont obtenu des identifiants de connexion compromis pour une plateforme d’échange de données utilisée par Stadler et un fournisseur anonyme. Ces identifiants permettaient un accès non autorisé au matériel technique appartenant au fournisseur.
Stadler a déclaré que les assaillants n’avaient pas compromis son infrastructure informatique interne. L’entreprise a également déclaré que ses opérations de production mondiales se sont poursuivies normalement tout au long de l’incident.
Aucune information personnelle pertinente n’a été volée, selon Stadler. La société a décrit les fichiers consultés comme des données techniques des fournisseurs qui n’affectaient pas la sécurité ferroviaire ni l’exploitation des véhicules Stadler déjà en service.
L’incident n’a donc pas perturbé la production de trains, tramways, locomotives ou autres équipements ferroviaires. Stadler a également déclaré que les véhicules ferroviaires circulant dans le monde n’avaient pas été affectés par les informations volées.
Everest a exigé le paiement après avoir revendiqué la responsabilité du vol de données. Stadler rejeta publiquement cette demande, déclarant qu’il ne paierait aucune rançon en aucune circonstance.
L’affaire semble être une tentative d’extorsion par vol de données plutôt qu’une attaque ayant chiffré les systèmes de Stadler. Dans ce type d’opération, les criminels volent des dossiers et menacent de les publier ou de les utiliser à tort à moins que l’organisation ciblée ne paie.
Au 24 juillet, Stadler n’était pas apparu sur le site public de fuites de données de l’Everest, selon des rapports surveillant les listes du groupe. Aucune publication du matériel des fournisseurs volés n’avait été confirmée à ce moment-là.
L’absence d’une liste ne détermine pas ce qu’Everest compte faire de ces informations. Stadler n’a pas confirmé que les attaquants avaient supprimé les fichiers, et l’entreprise n’a pas signalé d’avoir payé ni négocié avec le groupe.
La divulgation de la société a identifié Everest car le groupe s’est lui-même désigné dans le message d’extorsion. Cette attribution repose sur la propre affirmation des attaquants plutôt que sur une conclusion publique des forces de l’ordre ou d’une enquête médico-légale indépendante.
Everest a opéré comme un groupe de vol de données et d’extorsion, menaçant de révéler des informations prises auprès d’organisations compromises. Elle a également déjà revendiqué des attaques contre des entreprises des secteurs de l’énergie, des télécommunications, du commerce de détail et des transports.
Les affirmations publiées par des groupes de ransomware et d’extorsion ne prouvent pas qu’ils ont accédé à tous les systèmes ou informations qu’ils décrivent. Dans le cas de Stadler, la société n’a confirmé que le vol de données techniques des fournisseurs via des identifiants compromis pour la plateforme d’échange partagée.
Stadler a indiqué que l’incident restait limité à cette voie d’accès externe. Ses propres systèmes n’ont pas été compromis, ses installations de production sont restées opérationnelles, et il n’a eu aucun effet sur la sécurité ou le fonctionnement de ses véhicules ferroviaires.
L’entreprise a déposé une plainte pénale auprès de la police cantonale de Thurgau. Aucune arrestation, accusation officielle ou conclusion supplémentaire issue de l’enquête policière n’avait été annoncée dans les informations disponibles au moment de la publication.