L'ex ministro della Difesa britannico Carns: l'attacco informatico a JLR è stato sponsorizzato da uno Stato

Carns ha parlato a un evento di Chatham House nel luglio 2026, un mese dopo essersi dimesso dall'incarico ministeriale. In seguito ha detto al Telegraph che le sue dichiarazioni non si basavano su una valutazione ufficiale del Ministero della Difesa sull'attacco.

La frase è arrivata durante una domanda su «resilienza e deterrenza delle minacce in assenza di leadership politica». Carns ha detto: «Sappiamo che l'attacco a Jaguar Land Rover è stato sponsorizzato da uno Stato, eccetera eccetera». Ha aggiunto che «sarebbe altamente improbabile che un attacco di quella portata partisse da qualche parte senza che lo Stato ospitante ne fosse a conoscenza». All'epoca dell'attacco il Telegraph riportò che si sospettava la Russia, ma nessuna valutazione definitiva è stata resa pubblica. Un portavoce del governo ha dichiarato: «Non commentiamo abitualmente indagini in corso o attività operative». A giugno il New York Times ha riferito che un gruppo di hacker russi era responsabile, secondo cinque persone a conoscenza di un'indagine sull'attacco. David Reed, ministro della Difesa del gruppo ombra, ha detto al Telegraph che i britannici «meritano risposte» e che il governo ha tenuto il pubblico all'oscuro.

Il costo e la precisazione

Il Cyber Monitoring Centre ha stimato l'impatto finanziario complessivo sul Regno Unito in 1.900.000.000 di sterline, in un intervallo tra 1.600.000.000 e 2.100.000.000. Ha classificato l'incidente come evento sistemico di categoria 3 e lo ha definito il più costoso della storia britannica «di gran lunga». Il centro ha precisato che la cifra è un'analisi basata su scenari, non una contabilità operativa confermata. Ha stimato che l'incidente ha colpito in modo significativo più di 2.700 organizzazioni britanniche, mentre il Telegraph ha riportato che circa 5.000 organizzazioni sono state coinvolte, tra concessionari auto, officine di riparazione e fornitori di componenti. Secondo il centro, durante l'interruzione la produzione britannica è calata di quasi 5.000 veicoli a settimana. Il governo ha fornito una garanzia di prestito d'emergenza da 1.500.000.000 di sterline per tenere in vita la rete dei fornitori, secondo un'analisi di shattered.io.

JLR ha stimato che il fermo della produzione è costato 260.000.000 di sterline (351.000.000 di dollari). Ha riportato una perdita di 244.000.000 di sterline (330.000.000 di dollari) per l'esercizio fiscale chiuso a marzo, contro un utile netto di 1.800.000.000 di sterline (2.400.000.000 di dollari) nel 2024-25.

Cinque settimane di linee ferme

L'attacco è iniziato intorno al 31 agosto 2025, secondo un'analisi di shattered.io. Entro il 1° settembre 2025 JLR ha confermato una violazione del proprio ambiente IT interno e ha spento i sistemi informatici globali per contenere l'intruso. Quel passo di contenimento, pratica standard nella risposta agli incidenti, ha fermato le linee di assemblaggio perché JLR opera con un modello fortemente digitalizzato e just-in-time. Gli stabilimenti di Solihull, Halewood e Wolverhampton si sono spenti, insieme a Nitra in Slovacchia e alle attività in Brasile e India.

JLR ha prima prorogato la sospensione al 24 settembre, poi di nuovo al 1° ottobre 2025, prima di una ripartenza controllata e graduale nel corso di ottobre. L'azienda ha detto che i suoi team hanno lavorato «senza sosta» con specialisti di cybersicurezza, il National Cyber Security Centre e le forze dell'ordine.

Chi ha rivendicato l'attacco

La responsabilità è stata rivendicata su Telegram da un gruppo che si definisce Scattered Lapsus$ Hunters, che ha pubblicato screenshot che secondo lui provenivano dai sistemi interni di JLR. JLR non ha confermato ufficialmente l'attribuzione, e analisti forensi tra cui CYFIRMA hanno avvertito che tattiche esatte e attribuzione restavano non verificate mentre l'indagine proseguiva. Secondo l'analisi, il modus operandi del gruppo si basava su SIM swapping, impersonificazione al servizio assistenza, MFA fatigue e credenziali rubate più che su malware esotici.