Ransomware legte das 17-Millionen-Pfund-Fahrkartenautomaten-Netz von Northern nach zwei Monaten lahm

Im Juli 2021 bestätigte Northern – das staatlich betriebene Bahnunternehmen für Nordengland –, dass sein brandneuer Bestand an Selbstbedienungs-Fahrkartenautomaten durch einen mutmaßlichen Ransomware-Cyberangriff lahmgelegt worden war. Das System war seit der Vorwoche ausgefallen, eine Untersuchung lief gemeinsam mit dem Lieferanten Flowbird.

Das Timing war brutal: Erst zwei Monate zuvor hatte Northern 621 Touchscreen-Automaten an 420 Bahnhöfen zu Kosten von 17 Millionen Pfund installiert. Der Betreiber erklärte, er habe mit Flowbird „schnell gehandelt“, nur die Server, die die Automaten betrieben, seien betroffen gewesen, und Kunden- und Zahlungsdaten seien nicht kompromittiert worden. Flowbird erklärte, seine Cyberüberwachung habe das Problem zuerst erkannt und ein Verfahren für schwerwiegende Vorfälle ausgelöst, um den Rest des Netzes zu schützen.

Kunden wurden angewiesen, Fahrkarten im Voraus über die App oder die Website zu kaufen und sie an Fahrkartenschaltern abzuholen oder gebuchte Verbindungen zu nutzen und sich an Schaffner zu wenden – Behelfslösungen, die die Last wieder auf Personal und Papier verlagerten. Northern entschuldigte sich für „etwaige Unannehmlichkeiten“ und erklärte, man arbeite daran, den Normalbetrieb so bald wie möglich wiederherzustellen.

Der Vorfall traf einen Betreiber, der bereits unter besonderer Aufsicht stand: Northern war 2020 von der Regierung übernommen worden, nachdem es eine Reihe von Problemen gegeben hatte, darunter eine Fahrplanänderung, die weitreichende Verspätungen und Ausfälle verursachte.

Das 17-Millionen-Pfund-Automatennetz offline; Selbstbedienungs-Fahrkartenverkauf an 420 Bahnhöfen in Nordengland ausgesetzt; keine Umsatzverlustzahl veröffentlicht

Die 17-Millionen-Pfund-Einführung schuf auf einmal 621 identische, vernetzte Kontaktpunkte – eine Komfortverbesserung und eine einzige große Angriffsfläche, die gleichzeitig bereitgestellt wurden.

Die Automaten standen auf Serverinfrastruktur, die von den Kernbahnsystemen getrennt war, was den Schadensradius begrenzte, aber auch bedeutete, dass ausgerechnet die Vorzeigeinvestition dunkel wurde.

Es verschärfte die jüngere Geschichte eines Betreibers: Regierungsübernahme 2020 nach Fahrplanchaos, nun ein Schlagzeilen-Cyberausfall bei einer Flaggschiff-Modernisierung.

Neue Infrastruktur ist in ihren ersten Monaten am stärksten exponiert: Eine frische, einheitliche Flotte vernetzter Automaten ist ein einziges Ziel, daher muss die Incident-Response mit der Einführung ausgeliefert werden.

Zum Zeitpunkt des Berichts vom Juli 2021 lief die Untersuchung mit Flowbird noch, das Automatennetz war offline und es wurde kein Wiederherstellungsdatum genannt. Northern erklärte, der Normalbetrieb werde „so bald wie möglich“ wieder aufgenommen; es wurden nie Zahlen zur Ausfalldauer oder zu verlorenen Einnahmen veröffentlicht.