概要
スイスの鉄道車両メーカーStadler Railが、ランサムウェア・恐喝集団Everestから要求された約1230万ドル(スイスフラン換算で1000万フラン)の身代金支払いを拒否したことが明らかになった。侵害を受けたのは同社サプライヤーとのデータ交換プラットフォームで、2026年7月中旬に発生した。Stadlerは「Stadlerはいかなる状況下でも身代金を支払わない。したがって恐喝には屈しない」との声明を発表し、スイス・トゥールガウ州警察に刑事告訴を行った。
被害の範囲と対応
Stadler社の発表によれば、今回の侵害で自社のIT基盤そのものが侵害された形跡はなく、業務は通常通り継続している。世界8か所の生産拠点と6か所のエンジニアリング拠点における生産活動も予定通り進んでおり、鉄道車両の運行にも影響は生じていない。盗まれたのはサプライヤー側のシステムに保管されていた技術資料のみで、セキュリティ上重要な情報や個人情報の流出は確認されていないという。同社は約1万8000人の従業員を抱え、機関車、路面電車、地下鉄車両、鉄道信号システムなどを世界各国に供給する多国籍企業で、年間売上高は49億ドルを超える。
Everestグループの手口
犯行を認めているEverestは2020年に登場したランサムウェア集団で、当初は暗号化を伴う典型的なランサムウェア攻撃を行っていたが、その後データを窃取して公開すると脅す「データ恐喝」型の手口へと戦術を転換した。同グループはイニシャルアクセスブローカーとして他の攻撃者に侵入経路を販売する役割を担うこともあり、また他の脅威アクターが窃取したデータを転用して恐喝キャンペーンに利用するケースも確認されている。
背景と今後の見通し
Stadlerが不正アクセス被害に見舞われたのは今回が初めてではなく、2020年にもマルウェア感染とデータ窃取を伴うインシデントを経験しているが、当時身代金要求が絡んでいたかどうかの詳細は明らかになっていない。今回、同社が支払いを明確に拒否し警察へ届け出たことは、サプライチェーンを経由した恐喝攻撃に対して企業がどのように毅然と対応すべきかを示す事例として注目される。一方で、サプライヤーが保有する技術情報が窃取された事実は、大企業本体のセキュリティ対策だけでなく、取引先を含めたサプライチェーン全体の防御強化が引き続き課題であることを浮き彫りにしている。