Coca-Cola офіційно підтвердила, що здирницька атака на її дочірній молочний бренд Fairlife супроводжувалася несанкціонованим доступом до систем і крадіжкою даних. Компанія відмовилася вступати в переговори з угрупованням Anubis, яке, за повідомленнями, оприлюднило викрадені файли на своєму сайті витоків після завершення ультиматуму 27 липня. Інцидент призвів до тимчасової зупинки виробництва на всіх чотирьох підприємствах Fairlife у США, хоча наразі роботу майже повністю відновлено.
Хронологія інциденту
Про атаку стало відомо в середині липня 2026 року, коли Coca-Cola направила повідомлення до Комісії з цінних паперів та бірж США (SEC). Атака зачепила системи, пов’язані з виробничими процесами, що змусило компанію тимчасово призупинити роботу всіх чотирьох підприємств Fairlife на території США.
Невдовзі відповідальність за злам узяло на себе здирницьке угруповання Anubis. За даними BleepingComputer, зловмисники заявили про шифрування інфраструктури Nutanix, що належить Fairlife, та викрадення близько 1 Тбайт конфіденційних файлів. Варто наголосити, що обсяг викрадених даних і факт компрометації саме Nutanix ґрунтуються виключно на заявах самого угруповання і не підтверджені Coca-Cola.
Після виявлення атаки компанія повідомила правоохоронні органи, але принципово відмовилася виконувати вимоги зловмисників і розпочинати переговори щодо викупу. Спершу Coca-Cola взагалі не коментувала заяви Anubis і не підтверджувала факт крадіжки інформації.
Тепер, згідно з офіційною заявою компанії, Coca-Cola визнала, що нападники отримали доступ до частини систем Fairlife і викрали дані. Водночас компанія як і раніше не розкриває, яка саме інформація була скомпрометована і яким є реальний обсяг витоку.
Повідомляється, що 27 липня сплив термін ультиматуму, висунутого Anubis, після чого викрадені файли були опубліковані на сайті угруповання.
Угруповання Anubis: контекст загрози
Anubis — відносно новий учасник екосистеми програм-вимагачів. Показово, що в цьому інциденті угруповання зробило акцент на шифруванні інфраструктури Nutanix — гіперконвергентної платформи, яку широко використовують у корпоративних середовищах для віртуалізації та керування даними. Якщо це твердження відповідає дійсності, воно вказує на цілеспрямовану атаку з розумінням архітектури жертви, а не на опортуністичне шифрування.
Тактика подвійного вимагання — шифрування даних із одночасною їх крадіжкою та загрозою публікації — стала стандартом для більшості здирницьких угруповань. Втім рішення Coca-Cola не вступати в переговори та подальша публікація дампу створюють прецедент, що заслуговує на увагу: велика корпорація взяла на себе репутаційні ризики витоку, але не стала фінансувати злочинну групу.
Оцінка впливу
Інцидент зачепив кілька ключових аспектів діяльності Fairlife:
- Виробництво: усі чотири підприємства в США були тимчасово зупинені. Наразі виробництво майже повністю відновлено, хоча відновлення окремих систем триває.
- Ланцюг постачання: компанія заявила, що накопичені запаси дали змогу уникнути серйозного дефіциту, і атака майже не вплинула на доступність продукції в роздрібних мережах.
- Безпечність продукції: Coca-Cola підкреслила, що інцидент не зачепив якість і безпечність продукції, що випускається.
- Фінансові наслідки: керівництво компанії оцінило, що інцидент не справив і, ймовірно, не справить суттєвого впливу на фінансовий стан Coca-Cola.
Водночас невизначеність щодо характеру викрадених даних лишає відкритим питання про потенційні ризики для співробітників, партнерів і контрагентів Fairlife. Якщо серед викраденої інформації є персональні дані, комерційні таємниці або відомості про постачальників, наслідки можуть проявитися згодом.
Практичні рекомендації
Цей інцидент містить кілька важливих уроків для організацій, які використовують гіперконвергентну інфраструктуру та промислові системи:
- Сегментація мереж: виробничі системи (OT) мають бути ізольовані від корпоративної ІТ-інфраструктури. Компрометація одного сегмента не повинна призводити до зупинки всього виробництва.
- Захист гіперконвергентних платформ: середовища Nutanix та аналогічні платформи потребують окремої уваги — обмеження адміністративного доступу, моніторингу привілейованих операцій і регулярного аудиту конфігурацій.
- Резервне копіювання: наявність ізольованих резервних копій (air-gapped backups) критично важлива для відновлення без залежності від ключів шифрування зловмисників. Судячи з відновлення виробництва без виплати викупу, Coca-Cola мала такі копії.
- План реагування на інциденти: заздалегідь визначте позицію компанії щодо переговорів із здирниками. Рішення Coca-Cola не сплачувати викуп відповідає рекомендаціям ФБР та більшості регуляторів.
- Запаси та стійкість: для виробничих компаній наявність буферних запасів готової продукції — це елемент кіберстійкості, а не лише логістики.
Випадок із Fairlife демонструє, що відмова від переговорів зі здирниками можлива навіть за масштабної атаки на виробничу інфраструктуру, але вимагає завчасної підготовки: ізольованих резервних копій, плану відновлення та достатніх товарних запасів. Організаціям, які використовують гіперконвергентні платформи у виробничих середовищах, варто провести аудит сегментації між ІТ- і OT-мережами та переконатися, що адміністративний доступ до інфраструктури віртуалізації захищений багато-факторною аутентифікацією й моніторингом привілейованих сесій.
