Kyberzápisník #38: Ransomware útok na Coca-Colu zastavil výrobu mléka Fairlife

Ransomware útok na Coca-Colu zastavil výrobu mléka Fairlife v USA. Skupina Anubis tvrdí, že odnesla terabajt dat. Rozbor incidentu a poučení pro OT bezpečnost.

Co se stalo

16. července 2026 nahlásila Coca-Cola formulářem 8-K u americké SEC bezpečnostní incident u své dceřiné společnosti Fairlife. Fairlife vyrábí proteinové nápoje a ultra-filtrované mléko a v roce 2022 překročila miliardu dolarů ročních tržeb.

Neznámá třetí strana získala neoprávněný přístup do části systémů Fairlife, včetně systémů souvisejících s výrobou. Firma spustila incident response protokoly, najala externí forenzní experty a informovala orgány činné v trestním řízení. Kvůli incidentu musela dočasně zastavit veškerou výrobu ve Spojených státech. Kanadský provoz běžel dál bez omezení a kvalita ani bezpečnost produktů nebyla podle vyjádření firmy ohrožena.

O pár dní později, 20. a 21. července, se k útoku přihlásila ransomwarová skupina Anubis. Na svém darkwebovém leak site tvrdí, že z Fairlife odnesla přibližně 1 terabajt firemních dat, a hrozí jejich zveřejněním. Konkrétní výši výkupného skupina nezveřejnila, jen napsala, že stačí „token agreement“, a nastavila deadline na pondělí 27. července. Coca-Cola spolupráci s útočníky ani zaplacení výkupného oficiálně nekomentovala.

Ransomware Anubis a jeho profil

Skupina Anubis funguje jako ransomware as a service od konce roku 2024. Jde o klasický double extortion model: data se nejdřív ukradnou a pak zašifrují, takže oběť tlačí dvakrát, jednou hrozbou úniku a podruhé nedostupností systémů.

Co Anubis odlišuje od běžné konkurence, je volitelný „wipe mode“, který dokáže data nenávratně zničit místo pouhého zašifrování nebo odcizení. To zvyšuje sázky pro firmy, které zvažují, jestli platit.

Typický profil skupiny podle dřívějších analýz zahrnuje zneužívání odcizených přihlašovacích údajů z infostealerů, nezáplatovaných vzdálených přístupů (Fortinet, Citrix, Ivanti) nebo vystavených RDP endpointů. Konkrétní vstupní vektor u Fairlife ale zůstává nepotvrzený.

Proč stála výroba mléka, když nikdo nenabourával stroje

Tohle je na incidentu nejzajímavější část pro každého, kdo řeší kybernetickou bezpečnost výroby. Nic nenasvědčuje tomu, že by útočníci přímo kompromitovali řídicí systémy, tedy PLC nebo HMI na úrovni provozu. Nebyl použit žádný specializovaný ICS malware podobný Industroyeru nebo Pipedreamu.

Výroba se zastavila kvůli závislosti provozu na nadřazených IT systémech. Manufacturing execution systémy řídí pracovní příkazy a receptury, systémy pro řízení dávek zajišťují správné parametry ultra-filtrace a pasterizace, a QA databáze sledují teplotní logy vyžadované regulacemi FDA a USDA. Když tyhle systémy vypadnou nebo se preventivně odpojí, linky nemůžou legálně ani technicky pokračovat, i když fyzické ovládací prvky zůstávají funkční.

Fakt, že kanadský provoz běžel dál bez přerušení, naznačuje oddělenou architekturu, pravděpodobně samostatnou doménu Active Directory nebo izolovaný tenant mezi americkým a kanadským provozem. To omezilo dopad útoku jen na jednu část firmy.

Poučení pro výrobní a kritickou infrastrukturu

Incident u Fairlife ukazuje vzorec, který se u výrobních firem objevuje čím dál častěji. Útočníci nemusí rozumět průmyslovým řídicím systémům do detailu. Stačí jim zasáhnout podpůrné IT vrstvy, jako identity management, MES nebo logistické systémy, a provoz stojí stejně, jako kdyby zasáhli přímo řídicí vrstvu.

Z toho plynou tři konkrétní doporučení pro obranu:

Oddělení identitní infrastruktury mezi IT a OT. Sdílená doména Active Directory mezi kancelářským IT a výrobní vrstvou znamená, že kompromitace jednoho doménového administrátora otevírá přístup i do provozu.

Testování takzvaného island mode, tedy schopnosti provozu fungovat samostatně po odpojení od podnikové sítě.

Zálohování receptur, PLC konfigurací a HMI softwaru offline a pravidelné ověřování jejich funkčnosti.

Aktuální stav

K datu vydání tohoto dílu nejsou veřejně dostupné žádné potvrzené indikátory kompromitace, tedy hashe souborů, C2 adresy ani domény. Coca-Cola oficiálně nepotvrdila přiřazení útoku ke skupině Anubis, byť darkwebová stopa tomu nasvědčuje se střední mírou jistoty. Vyšetřování stále probíhá a další technické detaily lze čekat v následujících týdnech.