Stadler Rail recusa resgate de US$ 12 milhões ao grupo Everest após vazamento em fornecedor

A Stadler Rail, uma das maiores fabricantes de trens da Europa, com 18 mil funcionários e receita anual superior a US$ 4,9 bilhões, recusou pagar 10 milhões de francos suíços (~US$ 12,3 milhões) exigidos pelo grupo Everest após o vazamento de documentos técnicos de um fornecedor terceirizado. A empresa apresentou queixa-crime e reforça sua posição histórica: “sob nenhuma circunstância a Stadler pagará resgate”. É a segunda vez em cinco anos que a companhia toma essa decisão pública.

O que aconteceu

Segundo comunicado divulgado pela Stadler nesta semana, o incidente ocorreu em meados de julho de 2026 e foi confinado a uma plataforma de troca de arquivos operada por um fornecedor. Credenciais desse serviço foram comprometidas e os atacantes exfiltraram documentos técnicos pertencentes a esse terceiro. A empresa afirma que seus próprios sistemas não foram tocados, que as plantas produtivas seguem plenamente operacionais e que nenhum trem em circulação foi afetado.

O grupo Everest, ativo desde pelo menos 2020 e alinhado à cena russa, reivindicou a autoria em uma carta de extorsão. Até o fechamento desta matéria, a Stadler não aparecia no site de vazamentos do grupo — sinal de que a fase pública da pressão ainda não começou ou de que as duas partes ainda avaliavam movimento. Pelo padrão da Everest, o próximo passo é publicar amostras para forçar a mesa de negociação.

Como o ataque funcionou

O vetor descrito pela Stadler é textbook para 2026: comprometimento de credenciais do fornecedor no serviço de troca de arquivos. Não há menção a exploit, phishing sofisticado ou zero-day — apenas acesso legítimo obtido de forma ilegítima. É o modelo que sustenta a maior parte das intrusões contra cadeias de fornecimento hoje: entrar por quem tem acesso ao alvo e não pela fortaleza do alvo.

“Sob nenhuma circunstância a Stadler pagará resgate e, portanto, não pode ser extorquida”, declarou a companhia.

Esse já é o segundo capítulo público. Em 2020, atacantes não identificados invadiram sistemas internos da própria Stadler, exfiltraram dados administrativos e financeiros e exigiram cerca de US$ 6 milhões em bitcoin. A empresa recusou, os invasores publicaram amostras, e a companhia continuou operando sem prejuízo material ao negócio. A postura de 2020 foi o que definiu, na prática, o manual usado agora em 2026.

Quem é o grupo Everest

O Everest é um grupo russófono de ransomware e extorsão, ativo desde ao menos 2020, com histórico consistente em setores de infraestrutura crítica: energia, transporte, telecomunicações e, mais recentemente, indústria automotiva. No ano passado, o grupo reivindicou um ataque a um sistema externo de transferência de arquivos usado pela Svenska kraftnät, a operadora da rede elétrica estatal sueca — sem, entretanto, provocar interrupção no fornecimento de energia. Nos últimos meses, o alvo mais visível foi um fornecedor da Nissan; a montadora japonesa confirmou o comprometimento do terceiro, mas afirmou não ter encontrado evidência de acesso aos dados de clientes.

Riscos e impacto

• Propriedade intelectual do fornecedor: documentação técnica é ativo estratégico. Vazamento pode acelerar engenharia reversa por concorrentes e complicar processos de patente.
• Reputação da cadeia: mesmo que a Stadler não pague, o fornecedor comprometido perde credibilidade. Contratos de exclusividade e SLAs de segurança tendem a ser renegociados.
• Precedente para o mercado: uma empresa de US$ 5 bi recusando pagar reforça a linha “não negociar” que reguladores europeus vêm defendendo — mas expõe o parceiro terceirizado à pressão pública que a Stadler evita.
• Risco secundário: credenciais roubadas raramente ficam paradas. Reuso em outros portais do mesmo fornecedor ou tentativa de acesso lateral a outros clientes é o próximo movimento previsível.

Análise

Dois pontos merecem atenção. Primeiro, a Stadler está entre um grupo minoritário mas crescente de vítimas que tornaram pública sua decisão de não pagar. Empresas suíças, alemãs e escandinavas vêm liderando essa mudança, alinhadas com pressão regulatória local que desincentiva pagamentos (e, em alguns casos, os proíbe indiretamente via sanções). No agregado, o efeito é real: relatórios de Chainalysis e Coveware mostram queda na taxa de pagamento média — em 2020, mais de 70% pagavam; em 2025, a taxa ficou abaixo de 30%. O Everest está enfrentando o novo normal, não a exceção.

Segundo, o ataque via plataforma de fornecedor confirma o vetor dominante do ano. As grandes operações de 2025 e 2026 — MOVEit-style em transferência de arquivos, comprometimentos via SaaS de nicho, ataques a MSPs — mostram que a superfície crítica de uma empresa moderna não é o que ela controla, mas o que ela conectou. Para o setor de manufatura pesada, que trabalha com centenas de fornecedores especializados trocando plantas técnicas em plataformas B2B pouco visíveis, o risco é estrutural: cada fornecedor é uma porta lateral que não passa pelo mesmo escrutínio de segurança do perímetro principal.

No Brasil, esse padrão bate direto em setores que dependem de importação de tecnologia — trens, aeronaves, óleo e gás, energia. Vale, Petrobras, TAESA e as concessionárias metroferroviárias operam ecossistemas de fornecedores globais similares ao da Stadler, e um comprometimento upstream aparece como incidente doméstico com pouca margem de manobra.

Recomendações práticas

• Inventário de plataformas de troca de arquivos: mapeie hoje quais serviços externos hospedam dados técnicos seus (Egnyte, Kiteworks, ShareFile, portais proprietários de fornecedores). Cada um é um ativo a monitorar.
• MFA obrigatório em todo portal de terceiros: não aceite fornecedor que não ofereça autenticação forte. Contratualize.
• Cláusulas de notificação de incidente com prazo curto: 24-48h de janela para o fornecedor comunicar comprometimento. Sem isso, você descobre pelo ransomware leak site.
• Segmentação de dados por sensibilidade: não coloque plantas técnicas críticas no mesmo repositório que documentos administrativos.
• Simule o cenário de recusa: defina antes, com jurídico e board, a política pública em caso de extorsão. Improvisar sob pressão é como a Stadler chegou aqui na segunda vez.
• Backups verificados e imutáveis: a única forma de sustentar credibilidade da recusa é ter certeza de que o dado exfiltrado não é a única cópia útil.

Fonte: The Record