Były brytyjski minister obrony twierdzi, że atak na JLR sponsorowało państwo

Carns mówił na wydarzeniu Chatham House w lipcu 2026 r., miesiąc po rezygnacji ze stanowiska ministerialnego. Później powiedział The Telegraph, że jego słowa nie opierały się na oficjalnej ocenie ataku dokonanej przez Ministerstwo Obrony.

Uwaga padła przy pytaniu o „odporność i odstraszanie zagrożeń przy braku przywództwa politycznego”. Carns powiedział: „Wiemy, że atak na Jaguar Land Rover sponsorowało państwo, itd., itd.”. Dodał, że „byłoby bardzo mało prawdopodobne, żeby atak na taką skalę pochodził skądinąd bez wiedzy państwa gospodarza”. The Telegraph pisał w czasie ataku, że podejrzewano Rosję, ale oficjalnej oceny nie podano do publicznej wiadomości. Rzecznik rządu powiedział: „Nie komentujemy rutynowo toczących się śledztw ani działań operacyjnych”. The New York Times podał w czerwcu, że odpowiedzialna była grupa rosyjskich hakerów, powołując się na pięć osób znających szczegóły śledztwa w sprawie włamania. David Reed, minister obrony w gabinecie cieni, powiedział The Telegraph, że Brytyjczycy „zasługują na odpowiedzi”, i stwierdził, że rząd trzymał opinię publiczną w niewiedzy.

Koszt i zastrzeżenie

Cyber Monitoring Centre oszacowało całkowity wpływ finansowy na Wielką Brytanię na 1,9 mld funtów, w przedziale od 1,6 mld do 2,1 mld funtów. Sklasyfikowało incydent jako zdarzenie systemowe kategorii 3 i nazwało go najdroższym w historii brytyjskiej „z dużą przewagą”. Centrum podało, że liczba pochodzi z analizy scenariuszowej, a nie z potwierdzonej księgowości operacyjnej. Oszacowało, że incydent istotnie dotknął ponad 2 700 brytyjskich organizacji, a The Telegraph podał, że poszkodowanych było około 5 000 organizacji, w tym salony samochodowe, warsztaty i dostawcy części. Według centrum w czasie przestoju produkcja w Wielkiej Brytanii spadała o blisko 5 000 pojazdów tygodniowo. Rząd udzielił 1,5 mld funtów gwarancji pożyczkowej w trybie nadzwyczajnym, żeby utrzymać bazę dostawców, wynika z analizy shattered.io.

JLR oszacował koszt wstrzymania produkcji na 260 mln funtów (351 mln dol.). Firma zaraportowała 244 mln funtów (330 mln dol.) straty w roku obrachunkowym kończącym się w marcu, wobec 1,8 mld funtów (2,4 mld dol.) zysku netto w roku 2024-25.

Pięć tygodni zatrzymanych linii

Atak zaczął się około 31 sierpnia 2025 r., wynika z analizy shattered.io. Do 1 września 2025 r. JLR potwierdził włamanie do wewnętrznego środowiska IT i wyłączył globalne systemy informatyczne, żeby powstrzymać intruza. Ten krok, standardowa praktyka reagowania na incydenty, zatrzymał linie montażowe, bo JLR prowadzi silnie zdigitalizowaną produkcję w modelu just-in-time. Zakłady w Solihull, Halewood i Wolverhampton stanęły, podobnie jak Nitra na Słowacji oraz zakłady w Brazylii i Indiach.

JLR najpierw przedłużył wstrzymanie do 24 września, potem do 1 października 2025 r., a przez cały październik wznawiał produkcję stopniowo, pod kontrolą. Firma podała, że jej zespoły pracowały „na okrągło” ze specjalistami od cyberbezpieczeństwa, brytyjskim Narodowym Centrum Cyberbezpieczeństwa (NCSC) i organami ścigania.

Kto przyznał się do ataku

Odpowiedzialność na Telegramie wzięła na siebie grupa nazywająca się Scattered Lapsus$ Hunters, która opublikowała zrzuty ekranu, jak twierdziła, z wewnętrznych systemów JLR. JLR oficjalnie nie potwierdził przypisania ataku, a analitycy śledczy, w tym CYFIRMA, ostrzegali, że dokładne metody i przypisanie pozostają niezweryfikowane, dopóki trwa śledztwo. Według analizy grupa działała metodą SIM swapingu, podszywania się pod help desk, zmęczenia MFA i kradzionych danych logowania, a nie egzotycznego złośliwego oprogramowania.