Ransomware-Angriff auf Fairlife: Anubis-Gruppe und Folgen

Coca-Cola hat offiziell bestätigt, dass der Erpressungsangriff auf ihre milchverarbeitende Tochtermarke Fairlife mit unbefugtem Zugriff auf Systeme und Datendiebstahl einherging. Das Unternehmen weigerte sich, in Verhandlungen mit der Gruppe Anubis einzutreten, die Berichten zufolge die entwendeten Dateien nach Ablauf ihres Ultimatums am 27. Juli auf ihrer Leak-Seite veröffentlicht hat. Der Vorfall führte zu einem vorübergehenden Produktionsstopp an allen vier Fairlife-Standorten in den USA, inzwischen ist der Betrieb jedoch nahezu vollständig wiederhergestellt.

Chronologie des Vorfalls

Von dem Angriff wurde Mitte Juli 2026 bekannt, als Coca-Cola eine Mitteilung an die US-Börsenaufsicht, die Kommission für Wertpapiere und Börsen der USA (SEC), übermittelte. Der Angriff betraf Systeme, die mit den Produktionsprozessen verbunden waren, was das Unternehmen zwang, den Betrieb aller vier Fairlife-Werke in den USA vorübergehend auszusetzen.

Kurze Zeit später übernahm die Ransomware-Gruppe Anubis die Verantwortung für den Einbruch. Laut BleepingComputer gaben die Angreifer an, die Nutanix-Infrastruktur von Fairlife verschlüsselt und rund 1 TByte vertraulicher Dateien entwendet zu haben. Es ist zu betonen, dass Umfang der gestohlenen Daten und die konkrete Kompromittierung von Nutanix ausschließlich auf den Aussagen der Gruppe beruhen und von Coca-Cola nicht bestätigt wurden.

Nach Entdeckung des Angriffs informierte das Unternehmen die Strafverfolgungsbehörden, lehnte es jedoch grundsätzlich ab, auf die Forderungen der Angreifer einzugehen oder Verhandlungen über ein Lösegeld aufzunehmen. Zunächst kommentierte Coca-Cola die Aussagen von Anubis überhaupt nicht und bestätigte den Datendiebstahl nicht.

Nun hat Coca-Cola gemäß einer offiziellen Erklärung des Unternehmens eingeräumt, dass die Angreifer Zugriff auf einen Teil der Fairlife-Systeme erlangt und Daten entwendet haben. Das Unternehmen legt jedoch weiterhin nicht offen, welche Art von Informationen kompromittiert wurden und wie groß das tatsächliche Ausmaß des Datenabflusses ist.

Berichten zufolge lief am 27. Juli das von Anubis gesetzte Ultimatum ab, woraufhin die gestohlenen Dateien auf der Website der Gruppe veröffentlicht wurden.

Gruppe Anubis: Kontext der Bedrohung

Anubis ist ein relativ neuer Akteur im Ransomware-Ökosystem. Bemerkenswert ist, dass die Gruppe in diesem Fall den Schwerpunkt auf die Verschlüsselung der Nutanix-Infrastruktur gelegt hat – einer hyperkonvergenten Plattform, die in Unternehmensumgebungen weit verbreitet für Virtualisierung und Datenmanagement eingesetzt wird. Sollte diese Behauptung zutreffen, deutet sie auf einen gezielten Angriff mit Verständnis für die Architektur des Opfers hin und nicht auf opportunistische Verschlüsselung.

Die Taktik der doppelten Erpressung – Verschlüsselung von Daten bei gleichzeitiger Exfiltration und Androhung der Veröffentlichung – ist für die meisten Ransomware-Gruppen zum Standard geworden. Die Entscheidung von Coca-Cola, nicht zu verhandeln, und die anschließende Veröffentlichung des Daten-Dumps schaffen jedoch einen Präzedenzfall, der Beachtung verdient: Ein Großkonzern nahm die Reputationsrisiken einer Datenoffenlegung in Kauf, ohne eine kriminelle Gruppe finanziell zu unterstützen.

Bewertung der Auswirkungen

Der Vorfall betraf mehrere zentrale Aspekte der Geschäftstätigkeit von Fairlife:

• Produktion: Alle vier Werke in den USA wurden vorübergehend stillgelegt. Inzwischen ist die Produktion nahezu vollständig wieder aufgenommen, auch wenn die Wiederherstellung einzelner Systeme noch andauert.
• Lieferkette: Das Unternehmen erklärte, dass vorhandene Bestände halfen, einen gravierenden Engpass zu vermeiden, sodass der Angriff die Verfügbarkeit der Produkte im Einzelhandel kaum beeinträchtigte.
• Produktsicherheit: Coca-Cola betonte, dass der Vorfall weder die Qualität noch die Sicherheit der hergestellten Produkte beeinträchtigte.
• Finanzielle Auswirkungen: Die Unternehmensführung schätzte ein, dass der Vorfall keinen wesentlichen Einfluss auf die finanzielle Lage von Coca-Cola hatte und voraussichtlich auch künftig nicht haben wird.

Die Unklarheit über die Art der gestohlenen Daten lässt jedoch die Frage nach potenziellen Risiken für Mitarbeiter, Partner und Auftragnehmer von Fairlife offen. Sollten sich unter den entwendeten Informationen personenbezogene Daten, Geschäftsgeheimnisse oder Lieferantendaten befinden, könnten sich die Folgen erst später voll entfalten.

Praktische Empfehlungen

Dieser Vorfall enthält mehrere wichtige Lehren für Organisationen, die hyperkonvergente Infrastrukturen und industrielle Systeme einsetzen:

• Netzwerksegmentierung: Produktionssysteme (OT) sollten von der unternehmensweiten IT-Infrastruktur isoliert sein. Die Kompromittierung eines Segments darf nicht zum Stillstand der gesamten Produktion führen.
• Schutz hyperkonvergenter Plattformen: Nutanix-Umgebungen und vergleichbare Plattformen erfordern besondere Aufmerksamkeit – Einschränkung administrativer Zugriffe, Monitoring privilegierter Aktionen und regelmäßige Konfigurationsaudits.
• Backup-Strategie: Isolierte Sicherungskopien (air-gapped backups) sind entscheidend, um Systeme unabhängig von den Verschlüsselungsschlüsseln der Angreifer wiederherstellen zu können. Dem erfolgreichen Wiederanlauf der Produktion ohne Lösegeldzahlung nach zu urteilen, verfügte Coca-Cola über solche Backups.
• Incident-Response-Plan: Legen Sie die Unternehmensposition zu Verhandlungen mit Erpressern im Vorfeld fest. Die Entscheidung von Coca-Cola, kein Lösegeld zu zahlen, entspricht den Empfehlungen des FBI und der meisten Aufsichtsbehörden.
• Bestände und Resilienz: Für Produktionsunternehmen sind Pufferbestände an Fertigware ein Bestandteil der Cyber-Resilienz – nicht nur ein logistischer Faktor.

Der Fall Fairlife zeigt, dass der Verzicht auf Verhandlungen mit Erpressern selbst bei einem großangelegten Angriff auf die Produktionsinfrastruktur möglich ist, jedoch einer sorgfältigen Vorbereitung bedarf: isolierte Backups, ein Wiederherstellungsplan und ausreichende Warenbestände. Organisationen, die hyperkonvergente Plattformen in produktionsnahen Umgebungen nutzen, sollten die Segmentierung zwischen IT- und OT-Netzen prüfen und sicherstellen, dass der administrative Zugriff auf die Virtualisierungsinfrastruktur durch Multi-Faktor-Authentifizierung und ein Monitoring privilegierter Sitzungen geschützt ist.