Il produttore ferroviario svizzero Stadler si è rifiutato di pagare un riscatto di 10 milioni di franchi svizzeri, circa 12,3 milioni di dollari, a seguito del furto di informazioni tecniche da una piattaforma condivisa con uno dei suoi fornitori.
Il gruppo di cybercriminalità Everest ha rivendicato la responsabilità dell’intrusione in una lettera di estorsione inviata all’azienda. Stadler ha dichiarato che non avrebbe pagato l’importo richiesto e ha presentato una denuncia penale presso la polizia cantonale del Turgovia, in Svizzera.
Secondo il produttore, gli aggressori hanno ottenuto credenziali di accesso compromesse per una piattaforma di scambio dati utilizzata da Stadler e da un fornitore non identificato. Tali credenziali consentivano l’accesso non autorizzato al materiale tecnico appartenente al fornitore.
Stadler ha detto che gli aggressori non hanno compromesso la sua infrastruttura IT interna. L’azienda ha inoltre dichiarato che le sue operazioni di produzione globali sono proseguite normalmente durante tutto l’incidente.
Secondo Stadler, non sono state rubate informazioni personali rilevanti. La società ha descritto i file consultati come dati tecnici dei fornitori che non influivano sulla sicurezza ferroviaria né sull’esercizio dei veicoli Stadler già in servizio.
L’incidente quindi non ha interrotto la produzione di treni, tram, locomotive o altre attrezzature ferroviarie. Stadler ha anche affermato che i veicoli ferroviari che operano in tutto il mondo non sono stati colpiti dalle informazioni rubate.
Everest ha richiesto il pagamento dopo aver rivendicato la responsabilità del furto di dati. Stadler respinse pubblicamente la richiesta, affermando che non avrebbe pagato un riscatto in nessun caso.
Il caso sembra essere un tentativo di estorsione per furto di dati piuttosto che un attacco che abbia criptato i sistemi di Stadler. In questo tipo di operazione, i criminali rubano i fascicoli e minacciano di pubblicarli o di usarli in modo improprio a meno che l’organizzazione presa di mira non paghi.
Al 24 luglio, Stadler non era ancora comparso sul sito pubblico di fuga dati di Everest, secondo i rapporti che monitoravano le inserzioni del gruppo. A quel tempo non era stata confermata alcuna pubblicazione del materiale dei fornitori rubati.
L’assenza di un elenco non determina cosa intenda fare l’Everest con queste informazioni. Stadler non ha confermato che gli attaccanti abbiano cancellato i file e l’azienda non ha riferito di aver pagato o negoziato con il gruppo.
La divulgazione dell’azienda ha identificato l’Everest perché il gruppo si è autonominato nel messaggio di estorsione. Questa attribuzione si basa sulla stessa affermazione degli aggressori piuttosto che su una conclusione resa pubblica da parte delle forze dell’ordine o di un’indagine forense indipendente.
Everest ha operato come gruppo di furto di dati ed estorsione, minacciando di esporre informazioni ottenute da organizzazioni compromesse. In passato ha anche denunciato attacchi contro aziende nei settori dell’energia, delle telecomunicazioni, del commercio al dettaglio e dei trasporti.
Le affermazioni pubblicate da gruppi ransomware ed estorsione non sono la prova che abbiano avuto accesso a tutti i sistemi o le informazioni che descrivono. Nel caso di Stadler, l’azienda ha confermato solo il furto di dati tecnici dei fornitori tramite credenziali compromesse per la piattaforma di scambio condiviso.
Stadler ha detto che l’incidente è rimasto limitato a quella via di accesso esterna. I suoi sistemi non furono violati, le sue strutture di produzione rimasero operative e non riscontrò alcun effetto sulla sicurezza o sul funzionamento dei suoi veicoli ferroviari.
L’azienda ha presentato una denuncia penale alla polizia cantonale di Thurgau. Al momento della pubblicazione non erano stati annunciati arresti, accuse formali o ulteriori risultati derivanti dall’indagine della polizia.