De Zwitserse treinfabrikant Stadler Rail heeft bevestigd dat het weigert een losgeld van $12,3 miljoen (₣10.000.000) te betalen dat door de Everest-afpersingsbende werd geëist, nadat aanvallers technische gegevens hadden gestolen via het bestandsdeelplatform van een leverancier. Deze bekendmaking viel samen met een ander, maar verwant nieuwsfeit: de aan de Russische staat gelieerde groep Laundry Bear richt zich op ongepatchte Zimbra-e-mailservers. Samen illustreren beide verhalen hoe Russisch-gezinde dreigingsactoren parallelle operaties uitvoeren – de ene tegen industriële toeleveringsketens, de andere tegen e-mailinfrastructuur van bedrijven – en waarom organisaties van elke omvang beide serieus moeten nemen.

De ransomware-aanval achter de weigering van Stadler Rail

Volgens berichtgeving van The Record eiste de Everest-ransomwarebende de verantwoordelijkheid op voor het stelen van technische gegevens van Stadler Rail. Dat gebeurde niet door rechtstreeks in te breken op het netwerk van de treinfabrikant zelf, maar via een bestandsdeelplatform dat door een van zijn leveranciers wordt beheerd. Everest eiste vervolgens ongeveer $12,3 miljoen in ruil voor het niet lekken of verkopen van de gestolen bestanden. Stadler Rail weigerde te betalen.

Dit is een betekenisvolle beslissing. Weigeringen om losgeld te betalen worden vaak louter als een daad van verzet voorgesteld, maar ze brengen een reëel operationeel risico met zich mee: als een bende haar dreigement uitvoert, kunnen gestolen technische gegevens (technische schema’s, leveranciersdetails, interne documentatie) openbaar worden gemaakt of verkocht aan concurrenten en andere criminele groeperingen. De keuze van Stadler Rail om niet te betalen weerspiegelt een bredere kentering onder grote industriële bedrijven, waarvan er veel betalingen inmiddels beschouwen als het belonen van criminele bedrijfsmodellen in plaats van het oplossen van de onderliggende blootstelling.

Waarom een inbraak bij een leverancier evenveel uitmaakt als een directe hack

Wat deze zaak bijzonder leerzaam maakt, is dat het eerste aangrijpingspunt niet de eigen infrastructuur van Stadler Rail was, maar het bestandsdeelsysteem van een leverancier. Dit is een veelvoorkomend patroon bij moderne ransomware-aanvallen: criminele groepen zoeken steeds vaker naar de zwakste schakel in een toeleveringsketen in plaats van een goed verdedigd primair doelwit frontaal aan te vallen. Eén leverancier met lakse toegangscontroles of niet-bijgewerkte software kan het beginpunt worden voor een veel grotere diefstal van gegevens.

Deze dynamiek is niet uniek voor de spoorwegsector. Compromissen in de toeleveringsketen hebben eerder gevoelige overheids- en bedrijfsgegevens blootgelegd via vertrouwde software van derden, zoals de nasleep van de SolarWinds-hack liet zien waarbij alle e-mails van Treasury.gov werden blootgelegd. De les is consistent: de beveiligingspositie van een organisatie is slechts zo sterk als die van de leveranciers en partners waarmee ze gegevens deelt.

Russisch-gelieerd Laundry Bear zet Zimbra-servers onder druk

Naast het verhaal over Stadler Rail meldde de berichtgeving dat Laundry Bear, een Russisch-gelieerde dreigingsgroep, zich richt op ongepatchte Zimbra-e-mailservers. Ongepatchte samenwerkings- en webmailsoftware is al lang een favoriet toegangspunt voor aan staten gelieerde actoren die inloggegevens willen verzamelen of permanente toegang tot de communicatie van een organisatie willen behouden.

Deze campagne past in een patroon waar beveiligingsinstanties herhaaldelijk voor hebben gewaarschuwd. De directeur van GCHQ waarschuwde onlangs in een van de krachtigste waarschuwingen in recente herinnering voor niet-aflatende Russische cyberoperaties tegen kritieke infrastructuur en democratische instellingen. Afzonderlijk verstoorden Amerikaanse autoriteiten een netwerk van gecompromitteerde routers dat in verband stond met de Russische militaire inlichtingendienst GROe. Of het doelwit nu een leverancier van een treinfabrikant is of een ongepatchte e-mailserver, de rode draad is dezelfde: Russisch-gelieerde groepen tasten breed beschikbare, vaak over het hoofd geziene infrastructuur af op zoek naar toegang – niet alleen de publiekstrekkende overheidsnetwerken.

Wat dit voor u betekent

De meeste lezers beheren geen Zimbra-servers en produceren geen treinen, maar de onderliggende risico’s in dit verhaal zijn breed van toepassing. Als u gebruikmaakt van een dienst, van een reisboekingsplatform tot een loyaliteitsprogramma, die uw gegevens deelt met externe leveranciers, zijn die gegevens slechts zo veilig als de beveiliging van die leveranciers zelf. Een inbraak bij een leverancier waar u nog nooit van hebt gehoord, kan alsnog informatie blootleggen die aan u gekoppeld is, of het nu gaat om een bedrijfsaccount, een gedeeld bestand of persoonsgegevens die namens u worden verwerkt.

Voor bedrijven is de conclusie even direct: patchbeheer en toezicht op leveranciers zijn geen optionele begrotingsposten. Ongepatchte software, of het nu een e-mailserver of een tool voor bestandsdeling is, blijft een van de meest gebruikte manieren waarop aanvallers voet aan de grond krijgen. En weigeringen om losgeld te betalen werken als afschrikmiddel op lange termijn alleen als de onderliggende kwetsbaarheden die aanvallers binnenlieten, ook daadwerkelijk worden verholpen.

Concrete handelingsperspectieven

  • Als u met leveranciers of toeleveranciers werkt, vraag dan hoe zij omgaan met patching en toegangscontroles voor gedeelde bestandssystemen, niet alleen voor uw eigen netwerk.
  • Neem elke melding van een inbraak bij een leverancier serieus, zelfs als uw organisatie niet rechtstreeks is gehackt; gegevens kunnen nog steeds via een derde partij worden blootgelegd.
  • Houd software voor samenwerking en e-mailservers onmiddellijk up-to-date; ongepatchte systemen blijven een belangrijk toegangspunt voor zowel ransomware-aanvallen als aan staten gelieerde inbraken.
  • Ondersteun waar mogelijk een beleid om geen losgeld te betalen, omdat betaling verdere aanvallen kan financieren zonder te garanderen dat gegevens niet alsnog worden gelekt.
  • Blijf op de hoogte van Russisch-gelieerde cyberactiviteiten die kritieke infrastructuur en bedrijfssoftware treffen, aangezien deze campagnes vaak gericht zijn op breed gebruikte tools in plaats van op geïsoleerde slachtoffers.