Durante mucho tiempo no hubo declaraciones de Continental sobre el ciberataque, el robo de 40 TB de datos y la demanda de rescate de primero 50 y luego 40 millones de dólares. Continental ahora está aclarando qué sucedió y cómo reaccionar.
El ataque real a Continental probablemente tuvo lugar en agosto de 2022. En ese momento, Continental anunció que todo estaba bien. Se anunció que el ataque había sido notado y evitado. Pero lejos de eso: los piratas probablemente todavía estaban en la red de Continental en ese momento o aún tenían acceso. En las operaciones diarias, se extrajeron más de 40 TB de datos durante un período de tiempo desconocido, sin que Continental se diera cuenta.
Continental ahora está proporcionando información pública
Continental ahora anuncia: “Continental ha sido blanco de ciberdelincuentes. La empresa evitó el ataque a principios de agosto y restauró la integridad de sus sistemas de TI. Las actividades comerciales de Continental nunca se vieron afectadas. Mientras tanto, la investigación del incidente ha revelado que los atacantes también pudieron robar parte de los datos de los sistemas informáticos afectados, a pesar de las precauciones de seguridad establecidas. La investigación, llevada a cabo con el apoyo de expertos externos en ciberseguridad, así como el análisis de datos está actualmente en curso y se está llevando a cabo con la máxima prioridad”.
Curso corto de robo de datos
La propia empresa describe cómo se produjeron algunos pasos del ciberataque. Aquí hay una versión abreviada:
- 4 de agosto de 2022: Continental inmediatamente comienza a investigar el asunto. La empresa también trabaja con expertos externos.
- El atacante se puso en contacto con Continental a mediados de septiembre. Posteriormente, Continental cortó el contacto con los atacantes.
- El 9 de noviembre de 2022, el atacante ofreció borrar o vender los datos por 50 millones de dólares en la dark web. Esto se redujo a $ 29 millones el 2022 de noviembre de 40.
- Además, el 10 de noviembre de 2022, el atacante publicó una lista de los datos que dice tener en su poder. No se publicará ningún contenido detallado del archivo.
- Actualmente, Continental asume una fuga de datos de más de 40 TB. No se ha publicado ningún contenido de archivo en este momento.
- Actualmente, Continental no tiene indicios de que los datos hayan sido manipulados o que los productos se hayan visto comprometidos.
- Continental trabaja con una empresa de auditoría de renombre para el análisis de datos con soporte tecnológico.
Sin pago de rescate: asesoramiento del BSI
Además, la gerencia de la compañía dice que "Continental no aceptará pagos de rescate. Pagar un rescate solo ayudaría a continuar financiando ataques a la seguridad de infraestructuras críticas como suministros de energía y hospitales, instituciones educativas y la economía. Con esta actitud, la empresa también sigue las recomendaciones existentes de la Oficina Federal de Seguridad de la Información (BSI), la Oficina Federal de Policía Criminal (BKA) y el Gobierno Federal”.
¿Por qué nadie se dio cuenta?
Según Continental, esto no es inusual, ya que la experiencia ha demostrado que los ataques de ransomware pasan desapercibidos durante varios meses en promedio. "Una de las razones de esto es que las grandes empresas, en particular, intercambian una gran cantidad de datos, y una transferencia de datos de alrededor de 40 TB, como en el presente caso, no es inmediatamente significativa". Otros informes dijeron que la empresa mueve alrededor de 200 TB por día. Al mismo tiempo, la evaluación forense adicional aún llevará algún tiempo, porque "debido a la cantidad potencial de datos (más de 55 millones de entradas de archivos), el análisis de datos probablemente llevará varias semanas".
¿Cómo entraron los hackers en Continental?
La compañía dice: “La investigación sobre el ataque cibernético aún está en curso, incluida la investigación sobre dónde pudieron comenzar los atacantes. Los hallazgos iniciales sugieren que los atacantes obtuvieron acceso a los sistemas de Continental utilizando malware encubierto ejecutado por un empleado". Según varios medios, se dice que un empleado instaló un navegador no autorizado. Esto ya tenía un código malicioso a bordo o condujo a una fuente correspondiente. No se respondió por qué un empleado tiene los derechos para instalar software.
¿Cuáles son las consecuencias económicas?
Continental también se pregunta qué consecuencias económicas podría tener el ataque cibernético en Continental. La respuesta a esto es solo sucintamente: "Actualmente no hay más detalles disponibles sobre las posibles consecuencias". Sin embargo, las otras empresas no deberían ver las cosas tan simplemente. Porque los datos robados también deberían haber incluido documentos de Mercedes, BMW y VW.. Si el desarrollo de productos u otras cosas se ponen en peligro de esta manera o si los datos llegan a los competidores, esto podría tener más repercusiones para Continental.
Un comentario de Michael Pietsch de Rubrik
El proveedor de automóviles Continental fue víctima de un ataque de ransomware. El caso muestra cuán importante es utilizar soluciones de seguridad que monitoreen continuamente la red y activen una alarma en caso de irregularidades.
“Con ese fin, las organizaciones pueden aprender algo del caso de Continental. El grupo solo notó meses después de que se descubriera el ataque de piratas informáticos que se había robado una gran cantidad de datos de la red. Para abordar esto, existen soluciones de seguridad que monitorean continuamente la red y activan una alarma en caso de irregularidades. Esto permite una acción rápida y evita efectos de largo alcance.
Es por eso que los expertos en ciberseguridad recomiendan construir la seguridad de los datos en torno a tres pilares: resiliencia de datos, visibilidad de datos y recuperación de datos. Los usuarios logran resiliencia a través de copias de seguridad inalterables de sus datos. Los datos inmutables son intocables y los piratas informáticos no pueden cifrarlos. La visibilidad está garantizada por el monitoreo constante de todos los flujos de datos.
Esto también incluye saber en todo momento quién tiene acceso a qué datos y cuándo se utilizaron. Esta información se puede utilizar para identificar y detener actividades sospechosas. Las copias de seguridad se utilizan para restaurar datos importantes. Si se almacenan en un lugar seguro y están disponibles rápidamente, las víctimas de un ataque de ransomware pueden volver a poner sus sistemas en línea de manera oportuna. Aquellos que se adhieren a estos principios pueden minimizar el riesgo y el daño potencial de un ataque cibernético”. entonces Michael Pietsch de Rubrik.
Más en Continental.com