Stadler Rail respinge la richiesta di riscatto da 12,3 milioni di dollari del gruppo Everest

Il produttore ferroviario svizzero rifiuta di pagare un riscatto di 12,3 milioni di dollari

Il produttore svizzero di materiale rotabile Stadler Rail ha confermato di aver respinto una richiesta di riscatto di circa 12,3 milioni di dollari (circa 10 milioni di franchi svizzeri) dalla banda di estorsione Everest, a seguito di una violazione che non ha avuto origine all'interno della rete di Stadler, ma attraverso la piattaforma di scambio dati di un fornitore. L'azienda afferma che i propri sistemi IT interni non sono stati toccati. Gli aggressori hanno invece sfruttato una terza parte su cui Stadler fa affidamento per condividere dati tecnici con fornitori e partner.

Questo incidente ricorda chiaramente che il livello di sicurezza informatica di un'azienda è pari a quello dell'anello più debole della propria catena di fornitura. I sistemi di Stadler hanno tenuto; l'esposizione è arrivata dall'esterno del suo perimetro, attraverso una piattaforma che non controlla direttamente.

Come gli aggressori sono riusciti a entrare

In base ai dettagli dell'incidente, il gruppo Everest ha ottenuto l'accesso utilizzando credenziali di accesso rubate associate alla piattaforma condivisa del fornitore. Gli investigatori indicano come causa principale i controlli di sicurezza deboli della terza parte, piuttosto che una qualsiasi falla nelle difese interne di Stadler. Si tratta di uno schema comune nei moderni attacchi alla catena di fornitura: invece di violare direttamente un obiettivo ben difeso, i criminali prendono di mira fornitori, collaboratori e piattaforme condivise che si trovano appena al di fuori del perimetro di sicurezza dell'azienda principale, ma che contengono comunque dati sensibili.

Una volta all'interno, gli aggressori hanno sottratto dati tecnici legati alle attività di Stadler. È importante notare che non si è trattato di un attacco ransomware tradizionale, nel senso che non sono stati crittografati file né bloccati sistemi. L'analisi post-incidente lo descrive come una pura estorsione tramite furto di dati: non è stata utilizzata alcuna crittografia, ma i dati sono stati rubati e usati come leva. La motivazione, come per la maggior parte delle operazioni di Everest, era un semplice guadagno economico attraverso la richiesta di riscatto.

Come precedentemente riportato, Stadler ha confermato pubblicamente la violazione e il suo rifiuto di trattare, una posizione che l'azienda ha mantenuto anche quando l'importo in dollari della richiesta è stato precisato nelle successive cronache.

Perché l'estorsione tramite furto di dati sta diventando il copione predefinito

Vale la pena prestare attenzione al passaggio dal ransomware basato sulla crittografia dei file alla pura estorsione tramite furto di dati. Gli attacchi basati sulla crittografia richiedono che gli aggressori distribuiscano malware in tutta la rete, il che aumenta le possibilità di essere rilevati e dà ai difensori una possibilità concreta di isolare e ripristinare i sistemi. Il furto di dati, al contrario, può avvenire silenziosamente attraverso un accesso dall'apparenza legittima, specialmente quando l'aggressore utilizza credenziali rubate valide su una piattaforma che non è rigorosamente monitorata.

Questo approccio cambia anche il calcolo per le vittime. Non c'è più la corsa a ripristinare i file crittografati o a ricostruire l'infrastruttura. Invece, la pressione deriva interamente dalla minaccia di divulgazione pubblica o vendita dei dati rubati. La decisione di Stadler di rifiutare il pagamento e presentare una denuncia penale riflette una tendenza più ampia tra le organizzazioni prese di mira: pagare un riscatto non offre alcuna garanzia che i dati rubati non vengano comunque diffusi, e ricompensare finanziariamente i gruppi di estorsione non fa altro che alimentare futuri attacchi.

La lacuna della sicurezza delle terze parti

La sicurezza della rete centrale di Stadler sembra aver funzionato come previsto. La violazione è avvenuta perché una piattaforma di un fornitore, utilizzata per scambiare dati tecnici, disponeva di controlli di accesso più deboli che gli aggressori hanno potuto sfruttare con credenziali rubate. È proprio il tipo di lacuna che la tradizionale sicurezza perimetrale non può colmare, poiché il sistema vulnerabile appartiene a un partner commerciale, non all'azienda stessa.

Per i produttori, i gestori di infrastrutture e qualsiasi organizzazione che condivida dati tecnici sensibili con i fornitori, questo incidente sottolinea una sfida persistente: le garanzie contrattuali e tecniche da parte di terzi spesso sono in ritardo rispetto alla realtà di come quei sistemi vengono effettivamente protetti e monitorati.

Cosa significa per voi

Se siete dipendenti, partner o clienti collegati a un'azienda come Stadler Rail, o a qualsiasi organizzazione che si affida a piattaforme condivise con i fornitori, questa violazione ricorda che la sicurezza dei vostri dati dipende da decisioni prese ben al di fuori delle mura dell'azienda principale. Alcuni punti pratici da tenere a mente:

• Il riutilizzo delle credenziali e una scarsa igiene delle password sulle piattaforme di terze parti restano uno dei principali punti di ingresso per gli aggressori, anche quando l'organizzazione primaria dispone di difese robuste.
• L'estorsione tramite furto di dati senza crittografia può essere più difficile da rilevare rapidamente, poiché non interrompe le normali operazioni come fa invece il ransomware tradizionale.
• Le organizzazioni che rifiutano di pagare e segnalano gli incidenti alle forze dell'ordine, come ha fatto Stadler, contribuiscono a ridurre l'incentivo finanziario che alimenta questi attacchi a livello di settore.

Spunti operativi

Per le aziende che vogliono valutare la propria esposizione, questo incidente offre alcune lezioni concrete. Verificate i controlli di accesso e le politiche sulle credenziali di qualsiasi piattaforma di terze parti utilizzata per scambiare dati sensibili, non solo i vostri sistemi interni. Abilitate l'autenticazione a più fattori ovunque vengano utilizzate credenziali, specialmente sulle piattaforme condivise con i fornitori. E trattate le richieste di estorsione per furto di dati con la stessa serietà del ransomware basato sulla crittografia, poiché i dati rubati possono comunque causare danni reputazionali e normativi duraturi anche senza che un singolo file venga bloccato.

Il rifiuto di Stadler Rail di pagare un riscatto di 12,3 milioni di dollari invia un segnale chiaro: cedere all'estorsione non è la risposta predefinita. Ma la lezione di fondo riguarda in realtà la responsabilità nella catena di fornitura. Poiché gli aggressori prendono sempre più di mira gli anelli più deboli collegati alle aziende ben difese, la sicurezza delle terze parti non può più essere un pensiero secondario.