De Zwitserse spoorwegfabrikant Stadler heeft geweigerd een losgeld van 10 miljoen Zwitserse frank te betalen, ongeveer 12,3 miljoen dollar, na de diefstal van technische informatie van een platform dat gedeeld werd met een van zijn leveranciers.
De cybercrimegroep Everest eiste de verantwoordelijkheid voor de inbraak op in een afpersingsbrief die naar het bedrijf werd gestuurd. Stadler zei dat het het gevraagde bedrag niet zou betalen en heeft een strafrechtelijke klacht ingediend bij de kantonale politie in Thurgau, Zwitserland.
Volgens de fabrikant verkregen de aanvallers gecompromitteerde inloggegevens voor een data-uitwisselingsplatform dat werd gebruikt door Stadler en een niet bij naam genoemde leverancier. Die gegevens maakten ongeautoriseerde toegang tot technisch materiaal van de leverancier.
Stadler zei dat de aanvallers de interne IT-infrastructuur niet hadden gecompromitteerd. Het bedrijf verklaarde ook dat de wereldwijde productieactiviteiten normaal doorgingen gedurende het incident.
Volgens Stadler werd er geen relevante persoonlijke informatie gestolen. Het bedrijf beschreef de geraadpleegde bestanden als technische leveranciersgegevens die geen invloed hadden op de spoorwegveiligheid of de werking van reeds in dienst zijnde Stadler-voertuigen.
Het incident verstoorde daarom de productie van treinen, trams, locomotieven of ander spoormaterieel niet. Stadler zei ook dat spoorvoertuigen die wereldwijd rijden niet werden beïnvloed door de gestolen informatie.
Everest eiste de betaling nadat hij verantwoordelijkheid had opgeëist voor de datadiefstal. Stadler wees de eis publiekelijk af en verklaarde dat het onder geen enkele omstandigheid losgeld zou betalen.
De zaak lijkt eerder een poging tot datadiefstal te zijn dan een aanval waarbij Stadlers systemen zijn versleuteld. Bij dit soort operaties stelen criminelen bestanden en dreigen ze te publiceren of anderszins te misbruiken, tenzij de doelgerichte organisatie betaalt.
Op 24 juli was Stadler niet verschenen op de openbare data-leaksite van Everest, volgens berichten die de vermeldingen van de groep volgden. Op dat moment was er geen publicatie van het gestolen leveranciersmateriaal bevestigd.
Het ontbreken van een vermelding maakt niet duidelijk wat Everest met de informatie van plan is. Stadler heeft niet bevestigd dat de aanvallers de bestanden hebben verwijderd, en het bedrijf heeft niet gemeld dat het heeft betaald of met de groep heeft onderhandeld.
De bekendmaking van het bedrijf identificeerde Everest omdat de groep zichzelf in het afpersingsbericht noemde. Die toeschrijving is gebaseerd op de eigen bewering van de aanvallers en niet op een openbaar gemaakte conclusie van de politie of een onafhankelijk forensisch onderzoek.
Everest opereert als een groep voor datadiefstal en afpersing, waarbij wordt gedreigd informatie te onthullen die afkomstig is van gecompromitteerde organisaties. Het heeft ook eerder aanvallen opgeëist tegen bedrijven in de energie-, telecommunicatie-, detailhandels- en transportsector.
Beweringen die door ransomware- en afpersingsgroepen zijn gepubliceerd, zijn geen bewijs dat zij toegang hebben gehad tot alle systemen of informatie die zij beschrijven. In het geval van Stadler bevestigde het bedrijf alleen de diefstal van technische leveranciersgegevens via gecompromitteerde inloggegevens voor het gedeelde uitwisselingsplatform.
Stadler zei dat het incident beperkt bleef tot die externe toegangsroute. De eigen systemen werden niet gehackt, de productiefaciliteiten bleven operationeel en het werd geen effect gevonden op de veiligheid of werking van de spoorvoertuigen.
Het bedrijf heeft een strafrechtelijke klacht ingediend bij de kantonale politie van Thurgau. Er waren geen arrestaties, formele aanklachten of verdere bevindingen uit het politieonderzoek bekendgemaakt in de op het moment van publicatie beschikbare informatie.