Il produttore svizzero di treni Stadler Rail ha confermato di aver rifiutato di pagare un riscatto di 12,3 milioni di dollari (10.000.000 di franchi) richiesto dalla banda di estorsione Everest dopo che gli aggressori hanno rubato dati tecnici attraverso la piattaforma di condivisione file di un fornitore. La notizia è emersa nello stesso ciclo di notizie di uno sviluppo separato ma correlato: il gruppo legato allo Stato russo Laundry Bear ha preso di mira i server di posta elettronica Zimbra non aggiornati. Insieme, le due storie illustrano come gli attori delle minacce allineati alla Russia stiano conducendo operazioni parallele, una contro le catene di approvvigionamento industriali, un'altra contro l'infrastruttura di posta elettronica aziendale, e perché le organizzazioni di ogni dimensione devono prendere entrambe sul serio.

L'attacco ransomware dietro il rifiuto di Stadler Rail

Secondo quanto riportato dal Record, la banda ransomware Everest ha rivendicato la responsabilità del furto di dati tecnici appartenenti a Stadler Rail, non violando direttamente la rete del produttore di treni, ma compromettendo una piattaforma di condivisione file gestita da uno dei suoi fornitori. Everest ha quindi chiesto circa 12,3 milioni di dollari in cambio della non diffusione o vendita dei file rubati. Stadler Rail ha rifiutato di pagare.

Si tratta di una decisione significativa. I rifiuti di pagare i riscatti sono spesso presentati unicamente come atti di sfida, ma comportano un rischio operativo reale: se una banda porta a termine la sua minaccia, i dati tecnici rubati (schemi ingegneristici, dettagli dei fornitori, documentazione interna) possono finire pubblicati o venduti a concorrenti e altri gruppi criminali. La scelta di Stadler Rail di non pagare riflette un cambiamento più ampio tra le grandi aziende industriali, molte delle quali ora considerano i pagamenti di riscatti come un premio ai modelli di business criminali piuttosto che una soluzione all'esposizione sottostante.

Perché una violazione di un fornitore conta quanto un attacco diretto

Ciò che rende questo caso particolarmente istruttivo è che il punto iniziale di compromissione non è stata l'infrastruttura di Stadler Rail, ma il sistema di condivisione file di un fornitore. Questo è uno schema comune negli attacchi ransomware moderni: i gruppi criminali cercano sempre più l'anello più debole in una catena di approvvigionamento piuttosto che attaccare frontalmente un obiettivo primario ben difeso. Un singolo fornitore con controlli di accesso lassisti o software non aggiornato può diventare il punto di ingresso per un'operazione di furto di dati molto più ampia.

Questa dinamica non è esclusiva del settore ferroviario. Le compromissioni della catena di approvvigionamento hanno in precedenza esposto dati sensibili governativi e aziendali tramite software di terze parti fidati, come dimostrato dalle conseguenze dell'attacco SolarWinds che ha esposto tutte le email di Treasury.gov. La lezione è coerente: la postura di sicurezza di un'organizzazione è forte solo quanto i fornitori e i partner con cui condivide i dati.

Laundry Bear, legato alla Russia, aumenta la pressione sui server Zimbra

Accanto alla storia di Stadler Rail, i resoconti hanno segnalato che Laundry Bear, un gruppo di minacce legato alla Russia, ha preso di mira i server di posta elettronica Zimbra non aggiornati. I software di collaborazione e webmail non aggiornati sono da tempo un punto di ingresso favorito per gli attori statali che cercano di raccogliere credenziali o mantenere un accesso persistente alle comunicazioni di un'organizzazione.

Questa campagna si inserisce in uno schema che le agenzie di sicurezza hanno segnalato ripetutamente. Il direttore del GCHQ ha recentemente lanciato uno degli avvertimenti più diretti a memoria recente sulle incessanti operazioni informatiche russe contro le infrastrutture critiche e le istituzioni democratiche. Separatamente, le autorità statunitensi hanno smantellato una rete di router compromessi legati all'unità di intelligence militare russa, il GRU. Che l'obiettivo sia il fornitore di un produttore di treni o un server di posta elettronica non aggiornato, il filo conduttore è lo stesso: i gruppi allineati alla Russia stanno sondando infrastrutture ampiamente diffuse e spesso trascurate per ottenere accesso, non solo le reti governative che fanno notizia.

Cosa significa per te

La maggior parte dei lettori non gestisce server Zimbra né produce treni, ma i rischi di fondo in questa storia sono ampiamente applicabili. Se utilizzi un qualsiasi servizio, da una piattaforma di prenotazione viaggi a un programma fedeltà, che condivide i tuoi dati con fornitori terzi, quei dati sono sicuri solo quanto le difese del fornitore stesso. Una violazione presso un fornitore di cui non hai mai sentito parlare può comunque esporre informazioni legate a te, che si tratti di un account aziendale, un file condiviso o dettagli personali elaborati per tuo conto.

Per le aziende, il messaggio è altrettanto diretto: la gestione delle patch e la supervisione dei fornitori non sono voci opzionali. Il software non aggiornato, che si tratti di un server di posta elettronica o di uno strumento di condivisione file, rimane uno dei modi più comuni con cui gli aggressori riescono a prendere piede, e i rifiuti di pagare i riscatti funzionano come dissuasivo a lungo termine solo se le vulnerabilità sottostanti che hanno permesso agli aggressori di entrare vengono effettivamente risolte.

Azioni concrete

  • Se lavori con fornitori o terze parti, chiedi come gestiscono l'aggiornamento delle patch e i controlli di accesso per i sistemi di condivisione file, non solo la tua rete.
  • Prendi seriamente qualsiasi avviso di violazione di un fornitore, anche se la tua organizzazione non è stata direttamente violata; i dati possono comunque essere esposti tramite terzi.
  • Aggiorna tempestivamente il software di collaborazione e i server di posta elettronica; i sistemi non aggiornati rimangono un punto di accesso principale sia per gli attacchi ransomware che per le intrusioni legate a Stati.
  • Sostieni una politica di non pagamento dei riscatti ove possibile, poiché il pagamento può finanziare ulteriori attacchi senza garantire che i dati non vengano comunque diffusi.
  • Tieniti informato sull'attività informatica legata alla Russia che colpisce le infrastrutture critiche e il software aziendale, poiché queste campagne spesso prendono di mira strumenti ampiamente utilizzati piuttosto che vittime isolate.