Nel settembre 2025 la casa automobilistica del Regno Unito Jaguar Land Rover (JLR) ha subito un grave attacco informatico che ha bloccato la produzione di autoveicoli veicoli a livello globale. L’interruzione è durata per settimane e ha compromesso dati sensibili, evidenziando le serie vulnerabilità nella struttura informatica dell'azienda. Vediamo cosa in dettaglio sembrerebbe essere accaduto e cosa tenere presente per prevenire possibili analoghi incidenti.
Jaguar Land Rover è una casa automobilistica organizzata con sistemi IT profondamente interconnessi, integrando significativamente la parte produttiva, la logistica, le vednite, l’assistenza clienti, le attività organizzative.
Il “tutto connesso” permette elevata efficienza ma crea anche un'ampia superficie di attacco se la sicurezza non è a prova di bomba. L’investimento in sicurezza informatica è stato realizzato, ma la violazione dei sistemi avvenuta nel settembre 2025 ha dimostrato che anche le difese ben finanziate, ma non adeguatamente configurate, possono vacillare contro avversari determinati.
Nei tre stabilimenti di JLR vengono prodotti giornalmente circa 1.000 veicoli e una interruzione comporta effetti a cascata molto deleteri.
Già all’inizio di marzo 2025 un gruppo di hacker si era infiltrato nei sistemi, trafugando centinaia di gigabyte di dati, comprendenti documenti, codici sorgente, registri vari. E questo era un segnale di allarme che avrebbe dovuto far sospettare i tecnici dell’IT.
I primi segnali della violazione del settembre 2025 sono emersi silenziosamente alla fine di agosto. I dirigenti di uno stabilimento JLR a Halewood, nel Regno Unito, hanno sospettato che "potesse esserci stato un attacco informatico", poiché alcuni sistemi hanno iniziato a funzionare in modo irregolare.
Entro il 1° settembre, i team IT di JLR hanno rilevato un'intrusione nella sua rete e hanno adottato la drastica misura di spegnimento proattivo dei sistemi per contenere i danni. Il 2 settembre, l'azienda ha confermato pubblicamente di essere stata "colpita da un incidente informatico" e di aver sospeso le sue attività a scopo precauzionale.
Ciò che seguì fu un arresto della produzione senza precedenti. JLR interruppe la produzione in tutti i suoi stabilimenti nel Regno Unito e all'estero (Slovacchia, Brasile, India) per diverse settimane. Al personale di diverse fabbriche fu ordinato di rimanere a casa mentre le linee di assemblaggio rimasero inattive.
Questo arresto si verificò casualmente durante il periodo di saldi del "New Plate Day" nel Regno Unito (quando le immatricolazioni di veicoli nuovi aumentano vertiginosamente), aggravando le perdite finanziarie per JLR e i suoi concessionari. A tre settimane dall'inizio della crisi, JLR era ancora in gran parte inabile, impossibilitata a produrre veicoli in nessuno dei suoi principali stabilimenti.
E’ stato rapidamente riconosciuto il notevole impatto sull’intera filiera automobilistica, stimando che le perdite avrebbero potuto essere di circa 67 milioni di dollari per ogni settimana di interruzione. Anche le aziende fornitrici erano in difficoltà, forzate a tagliare ore di lavoro, consegne e addirittura posti di lavoro. Un gruppo di hacker ha rivendicato l’azione: gli "Scattered Lapsus$ Hunters" si sono intestati la responsabilità della violazione. Quasi subito dopo il crash dei sistemi di JLR, questo gruppo si è vantato su Telegram di essersi infiltrato nella rete di JLR e ha persino condiviso screenshot dei sistemi interni come prova. Infatti, un’immagine mostrava la schermata web di un servizio interno di Jaguar Land Rover con il dettaglio del problema in un’area particolarmente profondo del sistema IT.
Come spesso avviene, inizialmente JLR ha dichiarato che non sembravano esserci prove che fossero stati rubati dati dei clienti. Qualche giorno dopo, invece, è emerso che gli hackers avevano effettivamente rubato una cache di dati contenenti informazioni dei clienti.
L’analisi tecnica successiva da parte di Jaguar Land Rover ha indicato che l’intrusione ha avuto successo grazie allo sfruttamento di metodi molto conosciuti, cioè abuso di credenziali, ingegneria sociale, non adeguati rilevamenti di attività. Tutto si è innescato con tecniche di ingegneria sociale. Si è compreso che la violazione ha avuto origine grazie ad una campagna di “vishing”. Si tratta di fatto di una truffa con la quale il criminale si finge entità fidata, ad esempio l’assistenza tecnica, e convince la vittima a rilevare informazioni personali e password. Con questo metodo gli attaccanti si spacciavano per personale interno, inducendo i dipendenti a fornire le proprie credenziali di accesso ai sistemi. Ottenuti i profili di accesso, spesso con diritti molto potenti, gli aggressori potevano accedere ai sistemi senza forzare in alcun modo l’infrastruttura.
L’operazione di attacco è risultata facilitata grazie a misure di sicurezza inadeguate quali l’assenza o parziale autenticazione a più fattori, permessi più ampi del necessario, password particolarmente vecchie per mancanza di politiche di aggiornamento periodico.
Una volta superati i confini è stato agevole per gli aggressor muoversi trasversalmente in altri sistemi e distribuire malware paralizzando i server e tutte le funzionalità. Il modello adottato in JLR di tutti connessi a tutto, che naturalmente aumenta l’efficienza produttiva, lascia poche barriere agli attacchi informatici. Segmentando meglio l’ambiente sarebbe stato possibile isolare parti dell’intero sistema IT, evitando arresti totali di aree dell’azienda.
L’attacco ha permesso agli hackers di sottrarre database di 350 GB senza che il sistema di monitoraggio ne rilevasse il trasferimento. Avrebbero potuto essere molto allarmanti azioni quali il recupero di molti dati da parte di un singolo utente o picchi improvvisi di traffico essere, ma evidentemente ciò non è avvenuto in tempo utile per bloccare l’azione.
Quanto successo dimostra che anche azienda di grandi dimensioni possono essere vittime di attacchi paralizzanti. Il caso di JLR non è isolato e le caratteristiche dell’attacco sono simili ad altre avvenute in settori finanziari, industriali, bancari. E’ un insegnamento per applicare e migliorare le azioni di prevenzione che già conosciamo rendendo l’infrastruttura rendendo più solida e vigile.
