Het Spaanse defensie- en technologiebedrijf Indra Group onderzoekt een ransomware-incident nadat een cybercriminele groep beweerde bedrijfsgegevens te hebben gestolen en dreigde deze te publiceren tenzij de onderhandelingen beginnen.
De ransomwarebende The Gentlemen voegde Indra op 30 juni toe aan haar dark web-leksite, waardoor het bedrijf enkele dagen kreeg om contact te leggen voordat de vermeende gestolen gegevens werden vrijgegeven. Op dit moment hebben noch de aanvallers noch het bedrijf bekendgemaakt welke informatie er naar verluidt is genomen.
Indra is een van Europa’s grootste defensieaannemers en een belangrijke leverancier van de NAVO en de Spaanse strijdkrachten. Het bedrijf ontwikkelt militaire communicatie, radarsystemen, luchtverdedigingstechnologieën, cybersecurityoplossingen en kritieke infrastructuur die wereldwijd door overheden en defensieorganisaties wordt gebruikt.
In een verklaring bevestigde Indra dat een van haar dochterondernemingen een cyberaanval met ransomware had meegemaakt. Het bedrijf zei dat het Computer Security Incident Response Team (CSIRT) onmiddellijk de containmentprocedures heeft geactiveerd en vaststelde dat het incident beperkt was tot een niet-kritieke omgeving. Volgens Indra is er geen bewijs dat de aanval zich heeft verspreid naar andere bedrijven binnen de groep, en de klantenservice is gedurende het onderzoek normaal blijven functioneren.
Het bedrijf zei dat het maatregelen voor beheersing, uitroeiing en herstel heeft ingevoerd en de beveiligingscontroles in de hele infrastructuur heeft versterkt. Onderzoekers blijven het incident onderzoeken om te bepalen hoe aanvallers toegang kregen en of er gegevens zijn geëxfiltreerd.
The Gentlemen is een actieve ransomware-operatie die het steeds vaker voorkomende model van dubbele afpersing volgt. In plaats van uitsluitend te vertrouwen op bestandsversleuteling, beweert de groep ook gevoelige bedrijfsgegevens te stelen en dreigt deze te publiceren als slachtoffers weigeren te onderhandelen. Deze tactiek stelt aanvallers in staat om druk op organisaties uit te oefenen, zelfs wanneer back-ups hen in staat stellen versleutelde systemen te herstellen.
Omdat Indra nauw samenwerkt met overheden, defensie-instanties, transportbedrijven en leveranciers van kritieke infrastructuur, kan elke bevestigde blootstelling van data gevolgen hebben die verder gaan dan het bedrijf zelf. Er is echter momenteel geen openbaar bewijs dat geclassificeerde informatie of klantsystemen zijn gecompromitteerd.