Quando si parla di attacchi informatici, l’immagine che viene in mente è quella dei dati rubati: anagrafiche clienti, email, documenti. Il caso comunicato il 16 luglio da The Coca-Cola Company alla SEC racconta però qualcosa di diverso e più concreto per chi fa impresa nel manifatturiero: un attacco ransomware ha colpito Fairlife, la controllata che produce latte ultrafiltrato e bevande proteiche, e ha sospeso la produzione negli stabilimenti statunitensi. Non i dati: le linee.
Secondo il filing e le ricostruzioni di BleepingComputer e Cybersecurity News, gli aggressori hanno avuto accesso a sistemi interni “inclusi quelli legati alla produzione”. Coca-Cola precisa che qualità e sicurezza dei prodotti non sono state compromesse, di aver coinvolto esperti esterni e le autorità, e di aver attivato i propri protocolli di continuità operativa. Restano invece aperti diversi punti: al momento nessun gruppo ha rivendicato l’attacco, non è noto il ceppo del ransomware, non è confermato se siano stati sottratti dati né se sia stata chiesta una somma per il riscatto.
Il dettaglio che vale più della notizia
C’è un particolare che per un imprenditore conta più del nome del marchio colpito: mentre gli impianti statunitensi si fermavano, quelli canadesi sono rimasti operativi. È il segnale che le due reti erano separate, e che l’infezione non è riuscita a propagarsi da una parte all’altra dell’azienda. La stessa cosa che fa la differenza, in piccolo, tra il fermo di un reparto e il blocco dell’intera attività.
Impianti USA: produzione sospesa dopo l'accesso ai sistemi interni. Impianti Canada: operativi. La differenza non è la fortuna, ma la separazione delle reti: quando la rete di produzione è isolata da quella colpita, il danno resta confinato invece di estendersi a tutta l'impresa.
Per una PMI la lezione è che il ransomware, oggi, non è solo un problema di “backup dei documenti”. Se i sistemi che governano macchinari, gestionale di magazzino, ordini di produzione e spedizioni finiscono cifrati, si ferma la fabbrica — e il fermo si paga in mancata produzione, consegne saltate e clienti che non aspettano, molto più che nella perdita dei file.
Le tre verifiche per chi produce
Non servono investimenti da multinazionale per ridurre questo rischio: servono tre verifiche, da fare con il proprio referente IT.
1) Separare la rete di produzione (macchinari, gestionali, sistemi di magazzino) da quella d'ufficio e dal wi-fi ospiti, così un'infezione non passa da una all'altra. 2) Tenere backup offline o immutabili anche dei sistemi che fanno girare la produzione, non solo dei documenti. 3) Avere un piano di ripristino scritto e testato: chi fa cosa, in quanto tempo si riparte, con quali priorità.
La prima è la segmentazione della rete: la rete che comanda i macchinari e i gestionali di produzione dovrebbe essere isolata da quella dell’ufficio, dalle email e dal wi-fi per gli ospiti. È esattamente ciò che ha risparmiato gli impianti canadesi. La seconda: estendere la logica dei backup offline o immutabili anche ai sistemi produttivi, non solo all’archivio documenti, e verificarne il ripristino ogni tanto. La terza, la più trascurata: un piano di continuità scritto che dica chi si attiva, in che ordine si riaccendono le linee e quali ordini hanno priorità, così che nel momento del blocco non si improvvisi.
In breve
Un attacco a una controllata di Coca-Cola ha fermato la produzione, non svuotato un archivio: è la faccia del ransomware che le PMI manifatturiere e alimentari sottovalutano di più. Il fatto che gli impianti canadesi siano rimasti in funzione mostra dove si vince la partita — nella separazione delle reti e in una continuità operativa che copra anche gli impianti. Tre verifiche da mettere in agenda questa settimana: reti di produzione isolate, backup dei sistemi produttivi al riparo, piano di ripristino testato.