Były brytyjski minister obrony Carns: atak na JLR był sponsorowany przez państwo

Carns mówił o tym w lipcu 2026 r. na wydarzeniu Chatham House, miesiąc po rezygnacji ze stanowiska ministerialnego. Po spotkaniu powiedział The Telegraph, że jego słowa nie opierały się na oficjalnej ocenie ataku przygotowanej przez Ministerstwo Obrony.

Uwaga padła w odpowiedzi na pytanie o „odporność i odstraszanie zagrożeń przy braku przywództwa politycznego”. Carns powiedział: „Wiemy, że atak na Jaguar Land Rover był sponsorowany przez państwo, itd., itd.”. Dodał, że „byłoby bardzo mało prawdopodobne, żeby atak na taką skalę wyszedł skądinąd bez wiedzy państwa-gospodarza”. W czasie ataku The Telegraph informował, że podejrzewano Rosję, ale żadnej ostatecznej oceny nie upubliczniono. Rzecznik rządu powiedział: „Rutynowo nie komentujemy trwających śledztw ani działań operacyjnych”. W czerwcu The New York Times podał, że odpowiedzialna była grupa rosyjskich hakerów, powołując się na pięć osób znających przebieg śledztwa. David Reed, minister obrony w gabinecie cieni, powiedział The Telegraph, że Brytyjczycy „zasługują na odpowiedzi”, a rząd trzymał opinię publiczną w ciemności.

Koszt i zastrzeżenie

Cyber Monitoring Centre oszacowało całkowity wpływ finansowy na Wielką Brytanię na 1,9 mld funtów, w przedziale od 1,6 mld do 2,1 mld. Incydent zakwalifikowano jako zdarzenie systemowe kategorii 3 i nazwano najdroższym w historii Wielkiej Brytanii „z dużą przewagą”. Centrum podało, że liczba pochodzi z analizy scenariuszowej, a nie z potwierdzonej księgowości operacyjnej. Oszacowało, że incydent istotnie dotknął ponad 2 700 brytyjskich organizacji, podczas gdy The Telegraph podał, że poszkodowanych było około 5 000 organizacji, w tym salony samochodowe, warsztaty i dostawcy części. Według centrum w czasie zatrzymania produkcja w Wielkiej Brytanii spadała o blisko 5 000 pojazdów tygodniowo. Rząd udzielił gwarancji pożyczkowej w wysokości 1,5 mld funtów, żeby utrzymać przy życiu bazę dostawców, wynika z analizy shattered.io.

JLR oszacował koszt zatrzymania produkcji na £260m ($351m). Firma zaraportowała stratę £244m ($330m) w roku obrotowym kończącym się w marcu, wobec 1,8 mld funtów (2,4 mld dol.) zysku netto w 2024-25.

Pięć tygodni zatrzymanych linii

Atak zaczął się około 31 sierpnia 2025 r., wynika z analizy shattered.io. Do 1 września 2025 r. JLR potwierdził włamanie do wewnętrznego środowiska IT i wyłączył globalne systemy informatyczne, żeby powstrzymać intruza. Ten krok, standardowa praktyka reagowania na incydenty, zatrzymał linie montażowe, bo JLR prowadzi silnie zdigitalizowaną produkcję w modelu just-in-time. Zakłady w Solihull, Halewood i Wolverhampton zamilkły, podobnie jak Nitra na Słowacji oraz operacje w Brazylii i Indiach.

JLR najpierw przedłużył zawieszenie do 24 września, potem do 1 października 2025 r., a następnie przeprowadził kontrolowany, etapowy restart przez cały październik. Firma podała, że jej zespoły pracowały „non stop” ze specjalistami od cyberbezpieczeństwa, brytyjskim Narodowym Centrum Cyberbezpieczeństwa (NCSC) i organami ścigania.

Kto przyznał się do ataku

Odpowiedzialność na Telegramie wzięła na siebie grupa nazywająca się Scattered Lapsus$ Hunters, która opublikowała zrzuty ekranu, jak twierdzi, z wewnętrznych systemów JLR. JLR oficjalnie nie potwierdził atrybucji, a analitycy kryminalistyczni, w tym CYFIRMA, ostrzegali, że dokładne taktyki i atrybucja pozostają niezweryfikowane, dopóki trwa śledztwo. Według analizy grupa działała raczej przez podmianę kart SIM, podszywanie się pod help desk, zmęczenie MFA i skradzione dane logowania niż przez egzotyczne złośliwe oprogramowanie.