A fabricante ferroviária suíça Stadler recusou-se a pagar um resgate de 10 milhões de francos suíços, aproximadamente 12,3 milhões de dólares, após o roubo de informações técnicas de uma plataforma compartilhada com um de seus fornecedores.
O grupo de cibercrime Everest assumiu a responsabilidade pela invasão em uma carta de extorsão enviada à empresa. Stadler afirmou que não pagaria o valor solicitado e registrou uma queixa criminal na polícia cantonal em Thurgau, Suíça.
Segundo o fabricante, os atacantes obtiveram credenciais de login comprometidas para uma plataforma de troca de dados usada por Stadler e um fornecedor não identificado. Essas credenciais permitiram acesso não autorizado a material técnico pertencente ao fornecedor.
Stadler afirmou que os atacantes não comprometeram sua infraestrutura interna de TI. A empresa também afirmou que suas operações globais de produção continuaram normalmente durante todo o incidente.
Nenhuma informação pessoal relevante foi roubada, segundo Stadler. A empresa descreveu os arquivos acessados como dados técnicos de fornecedores que não afetavam a segurança ferroviária nem a operação dos veículos Stadler já em serviço.
Portanto, o incidente não atrapalhou a produção de trens, bondes, locomotivas ou outros equipamentos ferroviários. Stadler também afirmou que veículos ferroviários operando ao redor do mundo não foram afetados pelas informações roubadas.
Everest exigiu o pagamento após assumir a responsabilidade pelo roubo de dados. Stadler rejeitou publicamente a exigência, afirmando que não pagaria resgate sob nenhuma circunstância.
O caso parece ser uma tentativa de extorsão por roubo de dados, e não um ataque que criptografou os sistemas de Stadler. Nesse tipo de operação, criminosos roubam arquivos e ameaçam publicá-los ou usá-los indevidamente, a menos que a organização alvo pague.
Até 24 de julho, Stadler não havia aparecido no site público de vazamento de dados do Everest, segundo reportagens que monitoravam as listagens do grupo. Nenhuma publicação do material roubado do fornecedor havia sido confirmada naquele momento.
A ausência de uma listagem não estabelece o que o Everest pretende fazer com as informações. Stadler não confirmou que os atacantes apagaram os arquivos, e a empresa não relatou pagamentos ou negociações com o grupo.
A divulgação da empresa identificou o Everest porque o grupo se autonomeou na mensagem de extorsão. Essa atribuição baseia-se na própria alegação dos atacantes, e não em uma conclusão publicamente divulgada por autoridades ou uma investigação forense independente.
A Everest atuou como um grupo de roubo de dados e extorsão, ameaçando expor informações retiradas de organizações comprometidas. Também já reivindicou anteriormente ataques contra empresas nos setores de energia, telecomunicações, varejo e transporte.
Alegações publicadas por grupos de ransomware e extorsão não são prova de que eles acessaram todos os sistemas ou informações que descrevem. No caso de Stadler, a empresa confirmou apenas o roubo de dados técnicos de fornecedores por meio de credenciais comprometidas para a plataforma de troca compartilhada.
Stadler disse que o incidente permaneceu limitado àquela rota de acesso externa. Seus próprios sistemas não foram violados, suas instalações de produção permaneceram operacionais e não houve efeito na segurança ou funcionamento de seus veículos ferroviários.
A empresa apresentou uma queixa criminal à polícia cantonal de Thurgau. Nenhuma prisão, acusação formal ou conclusão adicional da investigação policial foi anunciada nas informações disponíveis no momento da publicação.