West Pharmaceutical Services sofre roubo de dados e bloqueio de sistemas

O que aconteceu

A West Pharmaceutical Services comunicou um ciberataque que combinou roubo de dados e bloqueio de sistemas, e que perturbou temporariamente a produção, a logística e a cadeia de abastecimento da empresa. A recuperação das operações foi ocorrendo instalação a instalação, e não de forma simultânea em toda a organização.

Esta combinação de exfiltração de informação e cifragem ou bloqueio de sistemas é característica dos ataques de ransomware mais agressivos, em que o atacante procura tanto exercer pressão através da publicação de dados como forçar o pagamento através da interrupção operacional.

O que ensina a uma empresa com produção própria

Quando um ataque afeta simultaneamente os dados e a disponibilidade dos sistemas, a segurança e a continuidade do negócio deixam de poder ser tratadas separadamente: de pouco serve ter cópias de segurança se demoram dias a ser restauradas ou se também foram cifradas.

A recuperação progressiva por instalações, em vez de um reinício global, sugere uma priorização baseada na criticidade, uma abordagem razoável quando não é possível recuperar tudo ao mesmo tempo com garantias de segurança.

O que convém rever

Elementos que fazem a diferença entre uma recuperação rápida e uma prolongada:

• Se as cópias de segurança são imutáveis e estão isoladas da rede principal.
• Se a rede de produção está segmentada em relação à rede corporativa e dos escritórios.
• Que instalações ou linhas de produção seriam restauradas primeiro em função da sua criticidade.
• Se existe um plano de comunicação com os clientes da cadeia de abastecimento em caso de paragem.

Perguntas frequentes

Que tipo de ataque combina roubo de dados e bloqueio de sistemas?

É o padrão habitual do ransomware moderno, que exfiltra informação antes de cifrar os sistemas para exercer pressão com uma dupla ameaça.

Porque foi feita a recuperação por instalações e não de forma global?

Restaurar de forma faseada permite dar prioridade às unidades de produção mais críticas e verificar que cada ambiente está livre de ameaças antes de o voltar a ligar à rede.

O que é mais importante para uma empresa industrial?

Ter cópias de segurança imutáveis e uma rede de produção segmentada, para não depender da recuperação de tudo ao mesmo tempo.