Die Brenner Base Tunnel SE hat einen unbefugten Zugriff auf einen Teil ihrer Daten bestätigt. Gleichzeitig erklärt sie, dass die Bauarbeiten nicht betroffen seien, wie Security Affairs am 8. November berichtete. Die Erpressergruppe Everest behauptet, 812 GB Dateien gestohlen zu haben. Diese Angabe ist nicht verifiziert und wirft die Frage auf, welche Projektunterlagen und Lieferantendaten möglicherweise offengelegt wurden.
Das Unternehmen baut den Brenner-Basistunnel zwischen Italien und Österreich. Für Auftragnehmer und Zulieferer besteht das unmittelbare Problem darin, ob abgeflossene Informationen Kriminellen helfen könnten, betrügerische Anfragen glaubwürdig erscheinen zu lassen. Security Affairs beschreibt dies als mögliche Folge und nicht als beobachteten Angriff.
Der Einbruch soll sich Mitte Oktober ereignet haben, Everests Behauptung ist auf den 17. Oktober datiert. Österreichische Medien berichteten am 6. November darüber. Am 7. November teilte die BBT SE der Nachrichtenagentur ANSA mit, dass die betroffenen Systeme isoliert worden seien und externe Forensik-Spezialisten sowie Behörden den Vorfall untersuchten, wie Security Affairs berichtete.
Was die Dateien offenlegen könnten
Wenn die angeblich erbeuteten Daten echte, aktuelle Zeichnungen, Vermessungsunterlagen und Baustellenverfahren enthalten, könnten sie einem Angreifer die Arbeit erleichtern, die Infrastruktur zu verstehen. Projektnamen könnten Betrügern außerdem glaubwürdige Details liefern, mit denen sie sich an Auftragnehmer wenden.
Das Alter der möglicherweise betroffenen Dokumente ist wichtig. Eine Eröffnung des Tunnels wird nicht vor 2034 erwartet, die geschätzten Kosten liegen bei rund 11,7 Milliarden Euro. Ältere Zeichnungen könnten Konstruktionen beschreiben, die inzwischen geändert wurden.
Der Zugriff auf Bauunterlagen würde Angreifern selbst keine Kontrolle über den Tunnel verschaffen. Sabotage würde Zugang zu Betriebssystemen und ausnutzbare Schwachstellen voraussetzen. Security Affairs meldete keine Hinweise auf einen Zugriff auf industrielle Systeme oder auf Eingriffe in die Steuerungsfunktionen des Tunnels. Zudem hat die BBT SE keine Verschlüsselung ihrer Systeme bestätigt. Behauptungen, Ransomware könnte den Tunnelbetrieb lahmlegen, sind daher faktisch nicht belegt.
Die Behauptung und die Reaktion
Security Affairs bezeichnet Everest als russischsprachige Cyberkriminellengruppe und verweist auf eine Beobachtung von ZeroFox, wonach die Gruppe dazu neige, das Volumen der gestohlenen Daten zu übertreiben. Sprache und kriminelles Umfeld belegen keine Steuerung durch den russischen Staat.
Im Juli forderte Everest von Stadler Rail 10 Millionen Franken, nachdem sich die Gruppe mit gestohlenen Zugangsdaten Zugang zur Datenplattform eines Zulieferers verschafft hatte. Die Produktion lief trotz dieses Vorfalls weiter, berichtete Security Affairs.
Für Organisationen, die Informationen zu Tunnelprojekten verwalten, empfiehlt Security Affairs, die offengelegten Informationen zu ermitteln, möglicherweise kompromittierte Zugangsdaten zurückzusetzen, Dokumentenmanagementsysteme getrennt von industriellen Steuerungsnetzen zu betreiben und Zulieferer vor betrügerischen Anfragen zu warnen. Ob die NIS2-Richtlinie, das EU-Rahmenwerk für Cybersicherheit, auf eine Projektgesellschaft im laufenden Bau anwendbar ist, hängt von deren Tätigkeiten und dem jeweils geltenden nationalen Recht ab.
Vorrangig ist, festzustellen, welche Dateien tatsächlich gestohlen wurden, wie aktuell und nützlich sie sind und wer sie noch verwenden könnte. Parallel dazu müssen kompromittierte Zugänge geschlossen und Zulieferer vor möglichem Betrug gewarnt werden.
