Brenner Base Tunnel SE a confirmé un accès non autorisé à une partie de ses données, tout en affirmant que les travaux de construction ne sont pas touchés, selon Security Affairs, qui a publié l'information le 8 novembre. Le groupe d'extorsion Everest affirme avoir dérobé 812 Go de fichiers, un chiffre non vérifié qui soulève des questions sur les documents de projet et les informations fournisseurs susceptibles d'avoir été exposés.
La société construit le tunnel de base du Brenner entre l'Italie et l'Autriche. Pour ses sous-traitants et ses fournisseurs, la préoccupation immédiate est de savoir si les informations exposées pourraient aider des criminels à rendre crédibles des demandes frauduleuses. Security Affairs présente cette situation comme une conséquence possible, et non comme une attaque observée.
L'intrusion remonterait à la mi-octobre, et la revendication d'Everest est datée du 17 octobre. La presse autrichienne a publié des articles le 6 novembre. Le 7 novembre, BBT SE a indiqué à l'agence ANSA que les systèmes concernés avaient été isolés et que des experts forensiques externes ainsi que les autorités enquêtaient, selon Security Affairs.
Ce que les fichiers pourraient révéler
Si le butin revendiqué comprend des plans, des relevés et des procédures de chantier authentiques et à jour, ces documents pourraient réduire le travail qu'un attaquant doit accomplir pour comprendre l'infrastructure. Les noms de projets pourraient aussi fournir aux fraudeurs des détails convaincants à utiliser lorsqu'ils contactent des sous-traitants.
L'ancienneté des documents exposés compte. Le tunnel ne devrait pas ouvrir avant 2034 et son coût prévisionnel s'élève à environ 11,7 milliards d'euros ; des plans plus anciens pourraient décrire des conceptions depuis modifiées.
L'accès à des documents de construction ne donnerait pas en soi aux attaquants le contrôle du tunnel. Un sabotage supposerait un accès aux systèmes d'exploitation et des faiblesses exploitables. Security Affairs n'a signalé aucune preuve d'accès aux systèmes industriels ni d'interférence avec les fonctions de contrôle du tunnel, et BBT SE n'a pas confirmé le chiffrement de ses systèmes. Les affirmations selon lesquelles un rançongiciel pourrait arrêter le tunnel ne reposent donc sur aucun fait avéré.
La revendication et la réponse
Security Affairs décrit Everest comme un groupe de cybercriminels russophones et cite l'observation de ZeroFox selon laquelle le groupe a tendance à exagérer le volume de données qu'il dérobe. Sa langue et son environnement criminel ne permettent pas d'établir qu'il agit sur instruction de l'État russe.
En juillet, Everest a réclamé 10 millions de CHF à Stadler Rail après avoir utilisé des identifiants volés pour accéder à la plateforme de données d'un fournisseur ; la production s'est poursuivie malgré cet incident, selon Security Affairs.
Pour les organisations qui traitent des informations relatives au projet du tunnel, Security Affairs recommande d'identifier les informations exposées, de révoquer les identifiants potentiellement compromis, de maintenir les systèmes de gestion documentaire séparés des réseaux de contrôle industriels et d'alerter les fournisseurs au sujet des demandes frauduleuses. Savoir si la directive NIS2, le cadre européen de cybersécurité, s'applique à une société de projet encore en construction dépend de ses activités et de la législation nationale concernée.
La priorité pratique est de déterminer quels fichiers ont réellement été volés, leur degré d'actualité et leur utilité, ainsi que qui pourrait encore les exploiter, tout en sécurisant les accès compromis et en alertant les fournisseurs sur d'éventuelles fraudes.
