Anubis attacca Fairlife-Coca-Cola: produzione sospesa e 1 TB di…

Il gruppo ransomware Anubis rivendica l'attacco a Fairlife, sussidiaria di Coca-Cola. La produzione è stata sospesa. Il gruppo minaccia di pubblicare 1 TB di dati

Il gruppo ransomware Anubis ha rivendicato l'attacco a Fairlife, sussidiaria di Coca-Cola specializzata in prodotti lattiero-caseari premium, il 20 luglio 2026. La stessa settimana Coca-Cola ha confermato la sospensione della produzione presso lo stabilimento colpito. Anubis minaccia ora di pubblicare circa 1 TB di dati sostenutamente esfiltrati, a meno che non venga pagato un riscatto entro sette giorni.

Punti chiave

Anubis ha rivendicato l'attacco a Fairlife il 20 luglio 2026 elencando l'azienda sul proprio sito di leak
Coca-Cola ha confermato la sospensione della produzione a Fairlife "la scorsa settimana", secondo SecurityWeek
Il gruppo sostiene di aver esfiltrato 1 TB di "dati confidenziali", affermazione non verificata indipendentemente
Anubis opera dal dicembre 2024 con un modello di doppia estorsione e dispone di una "wiper mode" per la cancellazione permanente dei file

Il modello Anubis: doppia estorsione con opzione wiper

Anubis utilizza uno schema di doppia estorsione che combina la criptazione dei file con l'esfiltrazione di dati sensibili. La capacità wiper aggiunge una terza leva: la minaccia di cancellazione permanente dei documenti anche in caso di rifiuto del pagamento. Questo meccanismo aumenta la pressione sulle vittime, che devono fronteggiare simultaneamente l'interruzione operativa, il rischio di esposizione pubblica delle informazioni e la perdita definitiva dei dati.

Il gruppo è attivo dal dicembre 2024 e ha elencato circa 100 organizzazioni sul proprio sito di leak, secondo la fonte citata. La frequenza di ingaggio suggerisce un'operazione strutturata, sebbene il dossier non documenti l'infrastruttura tecnica specifica né la catena di accesso iniziale impiegata nell'attacco a Fairlife.

L'impatto sulla supply chain alimentare

La sospensione della produzione presso Fairlife interrompe una linea di approvvigionamento lattiero-casearia che opera nel segmento premium del mercato statunitense. L'attacco dimostra come i gruppi ransomware selezionino obiettivi in settori critici per la disponibilità di beni essenziali, scommettendo sulla maggiore propensione al pagamento derivante dalla perdita di revenue e dalla pressione reputazionale.

Il timing della conferma da parte di Coca-Cola — la stessa settimana della rivendicazione — indica che l'incidente era già in corso da un periodo non specificato dalla fonte. Il dossier non chiarisce se la sospensione della produzione sia stata decretata come misura precauzionale o come conseguenza diretta dell'inaccessibilità dei sistemi.

"locked" — Anubis group, nel riferimento all'attacco a Fairlife

Cosa fare adesso

Per le organizzazioni con supply chain che includono partner nel settore alimentare, l'incidente impone tre azioni concrete. Prima: verificare i contratti di continuità operativa con fornitori lattiero-caseari, dato che la sospensione della produzione presso Fairlife ha dimostrato la vulnerabilità di intere linee di approvvigionamento a singoli punti di fallimento ransomware.

Seconda: monitorare il sito di leak di Anubis per eventuali pubblicazioni di dati Fairlife, dato che il gruppo ha fissato un termine di sette giorni per il pagamento del riscatto. La pubblicazione avverrebbe su infrastrutture note dal dicembre 2024, con pattern di elencazione documentati per circa 100 vittime precedenti.

Terza: rivedere le assicurazioni cyber e le coperture business interruption per attacchi che causano sospensione produttiva senza necessariamente comportare esfiltrazione verificata di dati. Il caso Fairlife mostra come la sola interruzione operativa, combinata alla minaccia di leak, generi danni economici significativi anche senza conferma tecnica del volume di dati rubati.

Perché è importante

Il brief non documenta misure correttive specifiche adottate da Coca-Cola né interventi di remediation tecnica. Non è noto l'importo del riscatto richiesto, né se l'azienda intenda negoziare o abbia già rifiutato il pagamento. Il termine di sette giorni per la pubblicazione dei dati, riportato dalla fonte, scade in una finestra non precisata dal dossier.

Il dossier non specifica la natura dei dati esposti: la dichiarazione di "dati confidenziali" resta un'affermazione del gruppo attaccante, non corroborata da evidenze indipendenti. Allo stato non emergono sovrapposizioni infrastrutturali che colleghino l'attacco Anubis ad altri incidenti nel settore alimentare o a infrastructure-as-a-service ransomware condivise.

Cosa resta da verificare

Diversi elementi tecnici e strategici rimangono opachi. Il dossier non documenta il vettore di accesso iniziale — phishing, vulnerabilità di perimeter o credenziali compromesse — né la tipologia di sistemi colpiti. Non è chiaro se Anubis abbia effettivamente completato l'esfiltrazione di 1 TB o se la cifra rappresenti una stima o una rivendicazione gonfiata per scopi negoziali.

Manca inoltre qualsiasi informazione su eventuali contatti tra il gruppo e i responsabili della sicurezza di Coca-Cola, sullo stato delle negoziazioni o sulla presenza di consulenti esterni. Il ruolo delle autorità di law enforcement, se coinvolte, non è menzionato dalla fonte.

L'incidente resta, allo stato dei fatti verificati, un singolo attacco circoscritto alla filiera Coca-Cola/Fairlife, con impatti documentati sulla produzione e minacce documentate sui dati.

FAQ

Che cos'è la "wiper mode" di Anubis?

Secondo la fonte citata, Anubis dispone di una modalità che permette la cancellazione permanente dei file criptati, andando oltre la semplice inaccessibilità temporanea. Questo meccanismo elimina la possibilità di recupero anche in presenza di chiavi di decrittazione.

I 1 TB di dati sono confermati?

No. I 1 TB rappresentano un'affermazione del gruppo Anubis, riportata da SecurityWeek, non verificata indipendentemente né confermata da Coca-Cola. Il dossier non contiene prove tecniche di esfiltrazione di tale volume.

Qual è il termine per il pagamento del riscatto?

La fonte riporta un termine di sette giorni dalla rivendicazione, datata 20 luglio 2026. Non è noto se questo termine sia stato prorogato, rispettato o ignorato dalle parti.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti