Volkswagen Groep heeft een verklaring uitgegeven in reactie op beschuldigingen van ransomware-groep 8Base, die beweren gevoelige informatie van de autofabrikant te hebben gestolen en gelekt.

De Duitse groep benadrukt dat het de centrale IT-infrastructuur blijft onaangetast, maar de vage opmerking van het bedrijf laat verschillende vragen onbeantwoord, waaronder de vraag of het incident verband kan houden met een inbreuk bij een leverancier of partner.

8Base – van encryptie naar data-afpersing

8Base is een cybercriminele groep die begin 2023 actief werd en snel een reputatie opbouwde vanwege zijn dubbele chantagetactieken – waarbij gestolen gegevens als bedreiging worden gebruikt in plaats van alleen het versleutelen van bestanden.
De groep gebruikt variaties van Phobos-ransomware en staat er vooral om bekend dat het zich richt op gegevensdiefstal en openbaarmaking, in plaats van klassieke bestandsversleuteling.

Advertentie

In september 2024 werd beweerd 8Base dat ze hadden het netwerk van Volkswagen in gevaar gebracht en een grote hoeveelheid interne documenten gedownload.
De aanvallers dreigden het materiaal op 26 september openbaar te maken, drie dagen na de vermeende exfiltratie.

Ondanks dat de deadline verstrijkt zonder dat er concreet materiaal is gepubliceerd, Volkswagen werd vermeld op de darkwebsite van de groep met categorieën zoals:

• Facturen en ontvangstbewijzen
• Boekhoudkundige gegevens
• Personeels- en arbeidsovereenkomsten
• Salarisdocumenten en certificaten
• Geheimhoudingsverklaringen en interne rapporten

Volgens beveiligingsanalisten die de activiteiten op het dark web in de gaten houden, is dit typerend voor 8Base-campagnes, waarbij de dreiging van publicatie Vaak gebruikt om druk uit te oefenen op betalingen.

Mogelijke wereldwijde impact

Als de informatie juist blijkt te zijn, kan het gestolen materiaal gevoelige informatie bevatten van alle wereldwijde activiteiten van Volkswagen, waaronder merken zoals Audi, Porsche, Bentley, Lamborghini, Škoda, SEAT en Cupra.
Met 153 productiefaciliteiten en honderdduizenden werknemers wereldwijd, zou een bevestigd datalek verstrekkende gevolgen hebben – zowel juridisch en financieel.

Volgens EU:S AVG-regelgeving bevestigde overtredingen kunnen leiden tot boetes tot 4 % van de wereldwijde omzet van de groep indien gevoelige persoonsgegevens zijn blootgesteld.
Volkswagen heeft echter nog geen daadwerkelijke datalekken bevestigd en er zijn tot nu toe geen meldingen gedaan van gecompromitteerde klantgegevens.

Reactie van Volkswagen en lopend onderzoek

In een korte verklaring aan de Duitse pers zei een woordvoerder van Volkswagen dat het bedrijf op de hoogte is van het “incident” en dat er interne veiligheidsbeoordelingen gaande zijn.
Het bedrijf benadrukt dat zijn primaire IT-systemen niet getroffen, wat erop wijst dat de aanval mogelijk is uitgevoerd via een derde partij leverancier of partnerorganisatie.

Gezien Volkswagens complexe ecosysteem van duizenden leveranciers en onderaannemers in Europa en Azië is dit een waarschijnlijk scenario, maar dit is nog niet door het bedrijf bevestigd.

Cyberexperts wijzen erop dat kwetsbaarheden in de toeleveringsketen is vaak de zwakke schakel in grote ondernemingen.
Ransomware-groepen maakt in veel gevallen gebruik van phishing-aanvallen of gekochte inloggegevens van zogenaamde “initial access brokers” om in de systemen te komen.
Volgens verschillende onderzoeksrapporten heeft 8Base zich gericht op meer dan 400 organisaties wereldwijd sinds de oprichting.

8Base – een bedreiging voor de industrie

In tegenstelling tot technisch geavanceerdere ransomware-acteurs zoals LockBit of BlackCat, opereert 8Base als een pure data-afpersingsgroep.
Ze maken gebruik van bestaande infrastructuur en hulpmiddelen, waardoor ze moeilijk te volgen zijn, maar wel snel kunnen handelen.

De groep heeft ook verschillende social-engineering-technieken, inclusief nep-e-mails en gecompromitteerde cloudaccounts, om alvast informatie te verzamelen voordat het daadwerkelijke lek plaatsvindt.

Veiligheidsexperts wijzen erop dat auto-industrie is steeds vaker een doelwit geworden voor cybercriminelen, omdat de industrie verwerkt enorme hoeveelheden persoons- en productiegegevens en is afhankelijk van digitale systemen in zowel de productie- als de toeleveringsketen.
Een aanval op een wereldwijde fabrikant zou daarom uitgebreide nawerkingen ook voor onderaannemers en partnerbedrijven.

Lessen voor bedrijven en overheden

Verschillende cybersecuritybedrijven roepen nu op tot versterkt risicomanagement voor derden, vooral in cruciale industriële sectoren zoals de automobiel- en productiesector.
Zij adviseren organisaties om:

• Voer continu uit beveiligingsaudits van leveranciers
• Controleer de toegang tot wolk– en diensten op afstand
• Introduceren strengere MFA-vereisten (multi-factor authenticatie)
• Zorg ervoor dat incidentmanagementplannen regelmatig worden bijgewerkt en getest

Het incident bij Volkswagen laat duidelijk zien hoe ransomware-groepen als 8Base blijft zich richten op grote industriële groepen, waarbij de financiële en juridische druk op het slachtoffer zeer hoog kan zijn.