Блог компании Positive Technologies | Несладкий взлом: заводы стоят, тростник гниет

Вымогатели остановили заводы второго по величине производителя сахара Австралии.

Что произошло

10 июня 2026 года австралийская компания Mackay Sugar, второй по величине производитель сахара-сырца в стране, сообщила о киберинциденте, который затронул часть ее работы.

Mackay Sugar Limited входит в число старейших и крупнейших производителей сахара в Австралии и работает в отрасли уже более 140 лет.

Под управлением компании находятся три завода в Квинсленде (Farleigh, Marian и Racecourse), а также подразделение по поставке тростника в Pleystowe. Помимо сахара-сырца Mackay Sugar является заметным поставщиком возобновляемой электроэнергии. Установка на заводе Racecourse превращает отходы тростника в электричество и обеспечивает энергией как мощности самой компании, так и примерно треть потребностей региона Маккай. За финансовый год, завершившийся 28 февраля 2026 года, компания получила операционную выручку в 474,2 млн австралийских долларов.

Mackay Sugar работает как на внутреннем рынке Австралии, так и на экспорт. Сахар-сырец компания отгружает в Южную Корею, Индонезию, Японию и Малайзию, что делает ее заметным звеном в продовольственной цепочке Азиатско-Тихоокеанского региона.

Инцидент быстро вышел за рамки обычного ИТ-сбоя. Атака затронула два завода, Farleigh и Racecourse. Компании пришлось остановить часть мощностей на этих предприятиях, в первую очередь, переработку и логистику сырья. Местным фермерам поступило указание немедленно прекратить уборку сахарного тростника. Отраслевая ассоциация Canegrowers Mackay подтвердила, что производителей попросили полностью остановить сбор урожая и не возобновлять его, пока компания не даст отдельного указания. Третий завод, Marian, на момент атаки еще не начал сезон, поэтому напрямую его работа не пострадала.

В самый неподходящий момент

Атака пришлась на самый чувствительный момент года, на старт сезона переработки тростника. Для сахарной отрасли даже короткая пауза в начале сезона бьет не только по производителю, но и по всей цепочке поставок.

Срезанный тростник быстро портится, теряет сахаристость, поэтому доставлять его на переработку нужно без задержек. Заводы Mackay Sugar в сезон обычно работают круглосуточно. Компания перерабатывает около 5 млн тонн тростника в год и выпускает около 650–700 тыс. тонн сахара-сырца, поэтому сбой в логистике, железнодорожной доставке и производственном планировании быстро превращается в финансовый риск для фермеров, перевозчиков, переработчиков и клиентов.

Восстановление началось вручную

12 июня Mackay Sugar перезапустила ограниченную ручную переработку на заводе Farleigh, но только для тростника, который успели собрать до инцидента. Компания прямо указала, что ключевые системы поставки тростника и логистики все еще восстанавливаются, а новый тростник на заводы пока не принимают. Эта формулировка указывает на то, что сбой затронул не второстепенные офисные процессы, а производственный контур, от которого зависит фактическое перемещение сырья.

К 19 июня компания восстановила уборку тростника и работу железнодорожной доставки. Farleigh снова начал переработку, Marian готовился к запуску, а Racecourse должен был вернуться в строй после дополнительных проверок. 26 июня Mackay Sugar сообщила, что уборка и переработка возобновились на Racecourse и все три завода снова работают. При этом расследование возможной утечки данных к тому моменту еще не завершилось, и компания продолжала проверять последствия несанкционированного доступа.

Кто стоял за атакой

Ответственность за атаку взяла на себя группировка The Gentlemen. 15 июня она добавила Mackay Sugar в список жертв на своем сайте утечек. В настоящее время похищенные данные компании еще не были выложены в открытый доступ.

Microsoft отслеживает данную группировку под идентификатором Storm-2697. Она активна примерно с середины 2025 года и работает по классической схеме двойного вымогательства. Сначала злоумышленники шифруют файлы на зараженных системах, а параллельно похищают данные, чтобы оказывать давление на жертву и принуждать ее заплатить выкуп. Всего на сайте The Gentlemen перечислено более 500 предполагаемых жертв.

Для оценки ущерба остается существенная неопределенность. До сих пор неясно, удалось ли злоумышленникам добраться до промышленных систем управления и OT-сегмента или же остановка заводов стала следствием поражения именно ИТ-контура и упреждающего отключения систем. О компрометации данных компания детально не высказывалась, отметив, что расследование носит сложный характер и выводы будут опубликованы только после проверки. 

Вывод

Инцидент показал, насколько болезненно кибератака способна ударить по сезонному производству, где каждый день простоя отражается на сырье, фермерах, логистике, экспортных поставках и оборотном капитале. История Mackay Sugar превратилась из инцидента в ИТ-контуре в остановку реального промышленного производства, причем с прямыми потерями и для самой компании, и для целого аграрного региона.

Для агропромышленных компаний киберустойчивость уже нельзя считать только статьей ИТ-расходов. В цепочках с физическим сырьем киберриск становится одновременно и операционным, и кредитным риском. Полный масштаб ущерба, включая возможную утечку данных и стоимость восстановления, станет ясен только после завершения расследования.