Stadler Rail rechaza los 12,3 M$ de rescate de Everest y el caso toma un giro inhabitual
Ciberseguridad Jul 23, 2026Añadir a favoritos
El fabricante suizo de trenes Stadler Rail ha sido objetivo del grupo Everest a través de una plataforma de intercambio de datos con un proveedor. Se niega a pagar los 10 millones de CHF (~12,3 millones de $) exigidos, y a esta hora, Everest no ha publicado nada en su sitio de filtraciones, lo cual es inusual.
Los hechos
El fabricante suizo de trenes Stadler Rail confirmó el 23 de julio de 2026 haber sido objetivo del grupo de ransomware Everest —un clúster de habla rusa activo desde aproximadamente diciembre de 2020—. La demanda de rescate asciende a 10 M CHF, unos 12,3 M$.
Qué se vio afectado
Según la comunicación oficial del fabricante:
- Los sistemas IT internos de Stadler no se vieron comprometidos y siguieron operativos.
- Las operaciones de producción y el material rodante en circulación no se vieron afectados.
- El acceso se produjo a través de una plataforma de intercambio de datos con un proveedor, utilizando credenciales comprometidas.
- Los datos exfiltrados corresponden a información técnica de un proveedor no identificado.
- Stadler afirma que «ningún dato relevante para la seguridad» está afectado y que no se robaron datos personales.
Una anomalía a destacar
El esquema habitual de Everest, cuando una víctima se niega a pagar, es publicar los datos robados en su sitio de filtraciones para ejercer presión. Sin embargo, a la fecha de publicación del artículo de The Register, Stadler no aparece en el sitio del grupo. Es una desviación inusual: o Everest está dando tiempo a Stadler para que cambie de opinión, o el contenido robado tiene menos valor de extorsión de lo esperado. Este es el aspecto que seguiremos en las próximas semanas.
Quién se ve afectado
Por ahora, solo Stadler y uno de sus proveedores. Los usuarios de los trenes Stadler no están involucrados: según la comunicación de Stadler, no hay datos de pasajeros ni de explotación ferroviaria en riesgo.
Qué hacer
Nada específico para los usuarios. Para los equipos de seguridad en fabricantes y proveedores industriales, el incidente refuerza dos prácticas ya conocidas:
1. Mapear los portales de intercambio con proveedores y activar la autenticación multifactor en todos ellos, sin excepción. 2. Considerar las credenciales de cuentas de terceros como un activo crítico: cada vez más, los incidentes entran por ahí, no por el firewall perimetral.
Análisis
El caso ilustra un patrón recurrente: cuando el sistema IT central está bien protegido, la brecha se produce en la cadena de valor —un portal de proveedor mal supervisado basta—. La negativa pública de Stadler a pagar también se alinea con una tendencia europea a no alimentar la economía de los ransomwares, aunque eso implique asumir la publicación de los datos.
Artículo producido por inteligencia artificial, revisado bajo control editorial humano.
