Le fournisseur d’eau britannique Southern Water a révélé qu’il avait engagé des coûts de 4,5 millions de livres sterling (5,7 millions de dollars) en raison d’une cyberattaque subie en février 2024.
Southern Water est une entreprise de services publics privée du sud de l’Angleterre, fournissant des services d’eau à 2,7 millions de clients et des services d’assainissement à plus de 4,7 millions de clients dans le Kent, le Sussex, le Hampshire et l’île de Wight.
L’entreprise fournit quotidiennement 570 millions de litres d’eau via un réseau de 13 973 km et gère 1 522 millions de litres d’eaux usées via un réseau d’égouts de 40 058 km.
Il y a environ un an, Southern Water a annoncé avoir subi une faille de sécurité, qui n’a eu aucune incidence sur ses opérations, ses systèmes financiers ou ses systèmes orientés client.
L’attaque a été revendiquée par le gang de ransomwares Black Basta, un acteur de la menace notoire connu pour ne pas hésiter à attaquer les infrastructures critiques.
Le rapport financier de la société, vu pour la première fois par DataBreaches.net, détermine le coût de l’attaque Black Basta à environ 4 500 000 £(page 98).
« En février 2024, nous avons annoncé que les données d’une partie limitée de notre parc de serveurs avaient été volées par une intrusion illégale dans nos systèmes informatiques », peut-on lire dans le rapport.
« Nous avons engagé des experts externes en cybersécurité et des conseillers juridiques en réponse, ainsi que contacté toute personne dont les données personnelles auraient pu être en danger. »
« Nous avons engagé 4,5 millions de livres sterling pour répondre à cet incident exceptionnel au cours de l’année. »
Pour la perspective, le montant est le même que celui payé par Southern Water pour les opérations de gestion de la pollution l’année dernière, sans tenir compte des dommages à la réputation, des frais juridiques et de l’examen réglementaire potentiel qui peuvent accompagner les incidents de cybersécurité.
Southern Water affirme avoir engagé des experts en cybersécurité pour surveiller en permanence le Dark Web à la recherche de fuites de données les affectant eux ou leurs clients, ce qui ne s’est pas encore produit.
Pendant ce temps, l’analyse des journaux de discussion internes divulgués du gang de ransomwares Black Basta a révélé que la société de traitement de l’eau aurait proposé de payer les acteurs du ransomware 750 000 £(950 000$) le 12 février 2024.
Bien que les attaquants aient initialement exigé un paiement de 3 500 000$, à la fin du mois de février 2024, l’entrée de l’entreprise a été supprimée du site d’extorsion de Black Basta, indiquant que les deux auraient pu parvenir à un accord.
Lorsqu’on lui a demandé par le Registre si l’entreprise avait payé le gang de ransomwares, un porte-parole a répété des déclarations antérieures qui ne clarifiaient rien.