Per molto tempo non ci sono state dichiarazioni da parte di Continental sull'attacco informatico, il furto di 40 TB di dati e la richiesta di riscatto prima di 50 e poi di 40 milioni di dollari. Continental sta ora chiarendo cosa è successo e come reagire.
L'effettivo attacco a Continental è avvenuto probabilmente nell'agosto 2022. A quel tempo, Continental ha annunciato che andava tutto bene. È stato annunciato che l'attacco era stato notato e respinto. Ma tutt'altro: gli hacker erano probabilmente ancora sulla rete continentale in quel momento o avevano ancora accesso. Nelle operazioni quotidiane, più di 40 TB di dati sono stati sottratti in un periodo di tempo sconosciuto, senza che Continental se ne accorgesse.
Continental sta ora fornendo informazioni pubbliche
Continental ora annuncia: “Continental è stata presa di mira dai criminali informatici. L'azienda ha evitato l'attacco all'inizio di agosto e ha ripristinato l'integrità dei suoi sistemi IT. Le attività commerciali di Continental non sono mai state influenzate. L'indagine sull'incidente ha intanto rivelato che gli aggressori sono riusciti anche a sottrarre parte dei dati dai sistemi informatici interessati, nonostante le misure di sicurezza stabilite. L'indagine, condotta con il supporto di esperti esterni di sicurezza informatica, così come l'analisi dei dati è attualmente in corso e viene svolta con la massima priorità".
Breve corso di furto di dati
L'azienda stessa descrive come si sono svolti alcuni passaggi dell'attacco informatico. Ecco una versione ridotta:
- 4 agosto 2022: Continental inizia immediatamente a indagare sulla questione. L'azienda si avvale anche di esperti esterni.
- L'attaccante ha preso contatto con Continental a metà settembre. Continental ha successivamente interrotto il contatto con gli attaccanti.
- Il 9 novembre 2022, l'attaccante si è offerto di eliminare o vendere i dati per 50 milioni di dollari sul dark web. Questo è stato ridotto a $ 29 milioni il 2022 novembre 40.
- Inoltre, il 10 novembre 2022, l'attaccante ha rilasciato un elenco dei dati che afferma di avere in suo possesso. Nessun contenuto dettagliato del file verrà pubblicato.
- Continental sta attualmente ipotizzando una fuga di dati di oltre 40 TB. Nessun contenuto di file è stato rilasciato in questo momento.
- Continental attualmente non ha alcuna indicazione che i dati siano stati manipolati o che i prodotti siano stati compromessi.
- Continental collabora con una rinomata società di revisione per l'analisi dei dati supportata dalla tecnologia.
Nessun pagamento di riscatto - consiglio del BSI
Inoltre, il management dell'azienda afferma che "Continental non accetterà pagamenti di riscatto. Pagare un riscatto aiuterebbe solo a continuare a finanziare attacchi alla sicurezza di infrastrutture critiche come gli alimentatori e gli ospedali, le istituzioni educative e l'economia. Con questo atteggiamento, l'azienda sta anche seguendo le raccomandazioni esistenti dell'Ufficio federale per la sicurezza delle informazioni (BSI), dell'Ufficio federale di polizia criminale (BKA) e del governo federale.
Perché nessuno se n'è accorto?
Secondo Continental, questo non è insolito, poiché l'esperienza ha dimostrato che gli attacchi ransomware rimangono inosservati in media per diversi mesi. "Uno dei motivi è che le grandi aziende in particolare scambiano molti dati e un trasferimento di dati di circa 40 TB, come nel caso in esame, non è immediatamente significativo". Altri rapporti affermano che la società sposta circa 200 TB al giorno. Allo stesso tempo, l'ulteriore valutazione forense richiederà ancora del tempo, perché "A causa della potenziale quantità di dati (più di 55 milioni di voci di file), l'analisi dei dati richiederà probabilmente diverse settimane".
Come sono entrati gli hacker in Continental?
La società afferma: “L'indagine sull'attacco informatico è ancora in corso, compresa l'indagine su dove sono stati in grado di iniziare gli aggressori. I risultati iniziali suggeriscono che gli aggressori hanno ottenuto l'accesso ai sistemi Continental utilizzando malware camuffato eseguito da un dipendente". Secondo vari media, un dipendente avrebbe installato un browser non autorizzato. Questo conteneva già codice dannoso o portava a una fonte corrispondente. Non è stata data risposta al motivo per cui un dipendente ha i diritti per installare il software.
Quali sono le conseguenze economiche?
Continental si chiede anche quali conseguenze economiche potrebbe avere l'attacco informatico su Continental. La risposta a questa domanda è solo succintamente "Al momento non sono disponibili ulteriori dettagli sulle possibili conseguenze". Tuttavia, le altre società non dovrebbero vedere le cose così facilmente. Perché i dati rubati avrebbero dovuto includere anche documenti di Mercedes, BMW e VW. Se gli sviluppi del prodotto o altre cose sono in pericolo in questo modo o se i dati arrivano ai concorrenti, ciò potrebbe avere ulteriori ripercussioni per Continental.
Un commento di Michael Pietsch di Rubrik
Il fornitore automobilistico Continental è stato vittima di un attacco ransomware. Il caso dimostra quanto sia importante utilizzare soluzioni di sicurezza che monitorino continuamente la rete e diano l'allarme in caso di irregolarità.
“A tal fine, le organizzazioni possono imparare qualcosa dal caso di Continental. Il gruppo ha notato solo mesi dopo la scoperta dell'attacco hacker che una grande quantità di dati era stata rubata dalla rete. Per risolvere questo problema, esistono soluzioni di sicurezza che monitorano continuamente la rete e lanciano un allarme in caso di irregolarità. Ciò consente un'azione rapida e previene effetti di vasta portata.
Ecco perché gli esperti di sicurezza informatica consigliano di costruire la sicurezza dei dati attorno a tre pilastri: resilienza dei dati, visibilità dei dati e ripristino dei dati. Gli utenti ottengono la resilienza attraverso copie di backup immutabili dei loro dati. I dati immutabili sono intoccabili e non possono essere crittografati dagli hacker. La visibilità è garantita dal monitoraggio costante di tutti i flussi di dati.
Ciò include anche sapere in ogni momento chi ha accesso a quali dati e quando sono stati utilizzati. Queste informazioni possono essere utilizzate per identificare e bloccare attività sospette. I backup vengono utilizzati per ripristinare dati importanti. Se sono archiviati in un luogo sicuro e sono rapidamente disponibili, le vittime di un attacco ransomware potrebbero essere in grado di riportare i propri sistemi online in modo tempestivo. Coloro che aderiscono a questi principi possono ridurre al minimo il rischio e il potenziale danno di un attacco informatico”. COSÌ Michael Pietsch di Rubrik.
Maggiori informazioni su Continental.com