Stadler beschreibt den Vorfall als Kompromittierung von Zugangsdaten zu einer Plattform für den Datenaustausch. Darüber seien technische Dokumente eines Drittanbieters entwendet worden. Die eigenen Systeme des Unternehmens seien nicht betroffen gewesen, erklärte der Hersteller. Ebenso habe Stadler weder eigene Daten verloren noch seien relevante personenbezogene Informationen gestohlen worden.
Nach Angaben des Unternehmens ereignete sich der Vorfall in der Mitte des Juli. Trotz des Datendiebstahls seien alle Produktionsstandorte weiterhin voll betriebsfähig. Zudem habe der Vorfall keinerlei Einfluss auf Züge, die weltweit in Betrieb sind.
Die Gruppe Everest bekannte sich laut Stadler in einem Erpressungsschreiben zu dem Angriff und verlangte 10 Millionen Schweizer Franken, umgerechnet im Bericht mit 12,3 Millionen Dollar angegeben. Stadler reagierte darauf mit einer klaren Absage. „Stadler wird unter keinen Umständen Lösegeld zahlen und lässt sich daher nicht erpressen“, erklärte das Unternehmen. Zusätzlich habe man Strafanzeige gestellt.
Ob die Täter bereits Teile der entwendeten Unterlagen des Zulieferers veröffentlicht haben, ließ Stadler offen. Bis Donnerstag tauchte das Unternehmen nach dem Bericht nicht auf der Leak-Seite von Everest im Darknet auf. Weitergehende Angaben zum Vorfall wollte Stadler nicht machen.
Für Stadler ist es der zweite bekannte Erpressungsversuch innerhalb weniger Jahre. 2020 drangen unbekannte Angreifer in einige Systeme des Unternehmens ein, entwendeten interne Daten und forderten nach Unternehmensangaben rund 6 Millionen Dollar in Bitcoin. Nachdem Stadler die Zahlung verweigert hatte, veröffentlichten die Angreifer dem Bericht zufolge Proben der gestohlenen Dateien, darunter Finanz- und Verwaltungsdokumente. Das Unternehmen hielt auch nach der Veröffentlichung an seiner Entscheidung fest, nicht zu verhandeln.
Stadler mit Sitz in der Schweiz zählt zu den größten europäischen Herstellern von Schienenfahrzeugen. Das börsennotierte Unternehmen liefert Züge, Straßenbahnen, U-Bahn-Wagen und Lokomotiven an Bahnbetreiber weltweit, beschäftigt rund 18.000 Mitarbeiter und erzielt einen Jahresumsatz von mehr als 4,9 Milliarden Dollar.
Everest wird im Bericht als russischsprachige Ransomware- und Erpressergruppe beschrieben, die mindestens seit 2020 aktiv ist. Zu ihren Zielen gehörten Organisationen aus Bereichen kritischer Infrastruktur, darunter Energie, Transport und Telekommunikation. Im vergangenen Jahr reklamierte die Gruppe einen Cyberangriff auf ein externes Dateitransfersystem des schwedischen staatlichen Stromnetzbetreibers Svenska kraftnät für sich; die Stromversorgung wurde dabei nicht unterbrochen. Kürzlich beanspruchte Everest zudem einen Vorfall bei einem Auftragnehmer des japanischen Autoherstellers Nissan. Nissan erklärte dazu, die Angreifer hätten Systeme des Drittanbieters kompromittiert, man habe aber keine Hinweise darauf gefunden, dass eigene Kundendaten betroffen waren.