De Noorse aluminiumproducent Hydro raakte begin dit jaar via een e-mail die van een klant afkomstig was besmet met ransomware, zo heeft het bedrijf in een interview met persbureau Bloomberg laten weten. De ransomware-infectie deed zich voor op 19 maart en kostte het bedrijf in de eerste helft van dit jaar een bedrag van tussen de 57 en 67 miljoen euro. Over het derde kwartaal verwacht de aluminiumproducent een "beperkte financiële impact".

Meerdere bedrijfsonderdelen werden op 19 maart door de LockerGoga-ransomware besmet. Het ging om vijfhonderd servers en 2700 werkstations. Hydro, één van de grootste aluminiumproducenten ter wereld, zag zich gedwongen om verschillende fabrieken stil te leggen en op handbediening terug te vallen. De bedrijfsdivisie die zich met aluminiumprofielen bezighoudt werd het zwaarst getroffen.

Hydro besloot het losgeld dat de aanvallers vroegen bewust niet te betalen. Er was namelijk geen garantie dat de aanvallers de decryptiesleutel voor het ontsleutelen van de bestanden zouden verstrekken. En wanneer dit wel het geval was en de sleutel werkte, zou het een signaal afgeven dat Hydro een eenvoudig doelwit was, wat tot meer aanvallen en afpersingen in de toekomst zou kunnen leiden.

De aluminiumproducent raakte al in december 2019 via een e-mail besmet. Het ging om een e-mail van een klant die door de aanvallers was aangepast en voorzien van een kwaadaardige bijlage. Verdere details over dit bestand zijn niet gegeven, maar nadat een medewerker het bestand opende raakte het eerste systeem besmet. Vervolgens wisten de aanvallers het volledige netwerk te compromitteren en besloten op 19 maart om de ransomware in het gehele netwerk uit te rollen.

Hydro zegt niet te weten of de aanvallers eerst de klant hebben gecompromitteerd of dat het bericht onderweg is onderschept en aangepast. Vorig jaar september werd nog gewaarschuwd voor een variant van de Emotet-malware die meelift op e-mailcommunicatie van slachtoffers. Zodra de malware het e-mailwachtwoord van een slachtoffer heeft bemachtigd wordt er een antwoord opgesteld op nog ongelezen e-mails in de inbox van het slachtoffer. Daarbij wordt de inhoud van de eerdere e-mail gequoot en voorzien van de tekst om de meegestuurde malafide bijlage te openen. Zo kunnen contacten van het slachtoffer worden geïnfecteerd.