Шифровальщик остановил заводы Fairlife: как ransomware парализует производство Coca-Cola

Атака шифровальщика на Fairlife (Coca-Cola) стала одним из самых заметных инцидентов лета 2026 года. 16 июля 2026 года Coca-Cola раскрыла в подаче в Комиссию по ценным бумагам и биржам США (форма 8-K), что атака вымогательского ПО остановила производство её молочной дочки Fairlife на всей территории США. Компания выявила несанкционированный доступ третьей стороны к части систем Fairlife, включая те, что связаны с производством, после чего производственные операции в США временно приостановили. Операции в Канаде инцидент не затронул.

Об атаке первым подробно написало издание The Register. Coca-Cola уверяет: качество и безопасность продукции не пострадали. Но заводы встали, и это главная деталь всей истории.

Атака шифровальщика на Fairlife: что именно произошло

Согласно документу, попавшему в систему EDGAR 16 июля в 16:21, Coca-Cola обнаружила проблему в тот же день и «оперативно активировала протоколы реагирования на инциденты и обеспечения непрерывности бизнеса». К расследованию привлекли внешних консультантов и экспертов по кибербезопасности, правоохранительные органы уведомлены.

На момент подачи в SEC компания не определила, окажет ли инцидент существенное влияние на бизнес: полный масштаб ещё расследуют. Не раскрыто, похитили ли данные, ведётся ли вымогательство и какая группировка стоит за кибератакой. Ответственность за неё пока никто публично не взял.

Главный вопрос без ответа: добрался ли шифровальщик до операционных технологий (OT), которые управляют производственными линиями, или заводы остановили как меру предосторожности, когда офлайн ушли ИТ-системы. Отсюда и начинается механика таких атак.

Молоко ни при чём: почему встали именно заводы

Многие думают, что для остановки завода злоумышленникам нужно взломать промышленные контроллеры. Достаточно вывести из строя поддерживающие ИТ-системы. Пищевое производство завязано на ERP-платформы, системы учёта, логистику, управление складами и виртуализационную инфраструктуру. Стоит этому слою уйти в офлайн, и конвейеры физически не могут работать, даже если сами линии технически исправны.

Поэтому специализированное вредоносное ПО для промышленных систем управления (ICS) для парализующего эффекта часто и не требуется. Потеря ИТ-систем каскадно приводит к сбоям OT, а конвергенция этих двух сред только усиливает удар. Атака на «офисную» часть глушит цех.

Fairlife заявила, что продукт безопасен. Логично: шифровальщик не отравляет молоко, он блокирует системы, без которых это молоко невозможно произвести и отгрузить.

Fairlife не мелочь: бренд за 4 млрд долларов

В 2020 году Coca-Cola выкупила оставшуюся долю 57,5% в бренде, став единственным владельцем Fairlife. По словам гендиректора Джеймса Куинси, розничная стоимость бренда выросла с 10 млн долларов в 2014 году до почти 4 млрд долларов в 2024-м. Суммарные инвестиции Coca-Cola в Fairlife около 7 млрд долларов, а сам бренд стал самым быстрорастущим в США для компании.

В 2024 году издание Dairy Foods поставило Fairlife на 17-е место среди крупнейших молокоперерабатывающих компаний США. Под маркой выпускают ультрафильтрованное молоко Ultra-Filtered Milk, протеиновые коктейли Core Power и линейку Nutrition Plan. Компания также строит завод площадью 745 000 кв. футов в Уэбстере (штат Нью-Йорк) с плановым запуском в конце 2025 года.

Каждый день простоя такого производства это упущенные миллионы и пустеющие полки.

Пищевая отрасль как мишень №1 для ransomware

Атака на Fairlife укладывается в чёткий тренд. Производство остаётся наиболее атакуемым сектором: в первом квартале 2026 года на него пришлось 62% всех зафиксированных промышленных жертв шифровальщиков.

Цифры за 2025-2026 годы выглядят так:

• По данным Check Point, глобальное число ransomware-инцидентов выросло на 32% год к году, до 7419 задокументированных случаев, а атаки именно на производство подскочили на 56%: с 937 в 2024 году до 1466 инцидентов.
• По индексу IBM X-Force Threat Intelligence 2026, на производство пришлось более четверти всех расследованных киберинцидентов 2025 года. Это самый атакуемый сектор.
• Food and Ag-ISAC сообщил, что атаки на пищевой сектор более чем удвоились между первым кварталом 2024 и первым кварталом 2025 года.
• Средняя совокупная стоимость атаки, с учётом простоя, восстановления и репутационного ущерба, в 2025 году составила от 1,8 до 5 млн долларов за инцидент.

Почему давят именно на еду? Пищевое производство и дистрибуция плохо переносят простой, и группировки используют это, чтобы ускорить решение жертвы о выкупе. Скоропортящийся товар, жёсткие сроки поставок, сезонность давят на компанию сильнее любого таймера в даркнете.

Кто может стоять за атакой на Fairlife

По Fairlife группировка пока не названа. Но общий ландшафт 2026 года известен: наибольший объём заявленных атак на промышленные организации дают Qilin и Akira, а топ-5 замыкают The Gentlemen, LockBit 5.0 и Play.

Эти же имена всплывают в свежих инцидентах пищевого сектора. Qilin, например, заявила об ответственности за атаку на Sysco, крупнейшего в мире дистрибьютора продовольствия, разместив компанию на своём сайте утечек с дедлайном по переговорам на 12 мая 2026 года. The Gentlemen связывают с атакой на Mackay Sugar, второго крупнейшего производителя сахара-сырца Австралии: остановка заводов Farleigh и Racecourse прервала уборку тростника у более чем 1300 фермеров в пик сезона.

Прецеденты: чем заканчиваются такие атаки

Общий знаменатель: недели простоя и убытки в миллионах. Fairlife рискует пополнить этот список, если восстановление затянется.

Почему бизнес до сих пор уязвим к шифровальщикам

Точки входа из года в год повторяются. По данным RSM, украденные или неправомерно используемые учётные данные остаются основной точкой входа. Дальше идут фишинг и социальная инженерия, непропатченные легаси-системы, плохо защищённые точки удалённого доступа, особенно открытые порты RDP.

Скорость эксплуатации растёт: по данным CIO Dive, атакующие используют новообнаруженные уязвимости в течение нескольких часов после их публикации. Прогноз на 2026 год неутешителен: угрозы смещаются к кампаниям с использованием ИИ, более быстрым срокам исполнения и вымогательству через кражу данных вместо шифрования.

Что делать бизнесу и пользователям

Базовый набор мер против ransomware известен и работает, если его внедрять, а не держать в презентации:

1. Многофакторная аутентификация на всех точках удалённого доступа, привилегированных аккаунтах и подключениях подрядчиков. Это минимум, а не опция.
2. Управление правами доступа и удаление «спящих» учёток, которые годами висят без дела и становятся лазейкой.
3. Сегментация ИТ и OT: ИТ-системы не должны иметь возможности подключаться к OT-сети, а OT-системы должны передавать данные в ИТ-сеть только в одном направлении.
4. Управление уязвимостями и патчинг в смешанных ИТ/OT-средах, с учётом того, что уязвимости эксплуатируют за часы.
5. Тестируемые резервные копии и регулярные учения по реагированию на инциденты, чтобы восстановление шло по отработанному сценарию.

Тем же принципам следуют и обычные пользователи, которым важна приватность: шифрование трафика, гигиена удалённого доступа и разделение сред снижают риск. Если хотите защитить свой доступ и данные, попробовать можно через Sigma.

Источники

The Register, атака шифровальщика остановила производство Fairlife (Coca-Cola)