勃伦纳隧道建设公司 BBT 确认遭网络攻击，Everest 声称窃取 812GB 数据

负责奥地利与意大利之间勃伦纳基底隧道建设的BBT SE确认，公司在2026年10月中旬遭到一次有针对性的网络攻击，未经授权者访问了部分可通过互联网访问的数据。公司表示隧道施工未受影响，已隔离涉事系统并请外部网络安全专家进行取证分析。

俄语黑客组织Everest声称对此次攻击负责，并威胁公布窃取的文件。该组织宣称窃取的数据量为812GB，但这一数字尚未得到官方证实，BBT SE也未说明具体哪些数据被触及。

事件经过

据媒体报道，奥地利《蒂罗尔日报》于11月6日率先披露此事，《标准报》随后跟进。BBT SE发言人称这是一次有针对性的攻击，攻击者获得了对可通过互联网访问的数据的部分访问权限。发现后，公司启动安全协议，隔离涉事系统，委托外部网络安全专家进行取证分析，并通知了有关部门。

在奥地利，国家保护与情报局（DSN）正与负责该项目的奥地利联邦铁路公司（ÖBB）保持联系。公司对工地影响的表态明确：目前没有任何运营流程受损，施工照常进行。

但几个关键问题仍无答案。BBT SE没有说明哪些数据被触及，没有说明攻击者深入到网络中的什么程度，也没有回应是否与勒索者有过谈判或付款。

公司使用的“可通过互联网访问的数据”这一说法只交代了入口，未交代具体内容。它意味着攻击可能经由暴露在公网上的某个环节进入，例如门户、文件交换服务器或与供应商共享的区域，但公司未说明具体是哪一个。

勃伦纳隧道建设公司 BBT 确认遭网络攻击，Everest 声称窃取 812GB 数据

Everest是一个俄语黑客组织，2020年以勒索软件团伙起家，后来几乎完全转向窃取数据。它不再加密系统，而是复制文件，在受害者不付钱时威胁公开。该组织过去还向其他犯罪分子出售已攻陷网络的访问权限，有时也以自己的名义勒索从第三方处窃取的数据。

离勃伦纳最近的先例发生在瑞士。2026年7月，Everest经由一家供应商的数据交换平台获取了列车制造商Stadler的数据，随后索要1000万瑞士法郎。Stadler拒绝支付并向图尔高州警方报案，称生产和信息系统均未受影响，被窃数据是与安全无关的技术信息。

就勃伦纳而言，Everest的声明出现在10月17日，正是BBT SE所说攻击发生的那一周。据相关报道，该组织写道，如果与公司的谈判破裂，将公布全部档案。情报公司Telsy在其态势报告中记录了这一声明，但官方机构尚未确认攻击归属。

勃伦纳隧道建设公司 BBT 确认遭网络攻击，Everest 声称窃取 812GB 数据

监测勒索网站的Breachsense报告数据量为812GB，但这是该组织自己宣称的数字，无人核实。SOCRadar则把BBT SE列入Everest的受害者名单。这个体量说不清里面是什么，可能是邮件和设计图，也可能是为施压而夸大的低价值材料。

在同一页面上，Breachsense收录了38条与bbt-se.com域名相关的凭据，以及17个来自外部泄露的账号，同时提醒这些数据并未说明属于客户还是员工，也没有说明是否与本次攻击有关。

BBT SE至今只通报了攻击的范围，对内容只字未提。“对施工无影响”描述的是工地当下的状态，而不是文件日后的暴露风险，只有弄清泄露了什么才能衡量后者。相比之下，Stadler在7月选择第一时间说明被带走的是什么。

勃伦纳隧道建设公司 BBT 确认遭网络攻击，Everest 声称窃取 812GB 数据

BBT SE成立于2004年12月16日，由两国政府和欧盟共同授权，负责隧道的设计与建设。股权各占一半，一半属于奥地利联邦铁路公司（ÖBB），另一半属于意大利一家控股公司，该公司89.857%由意大利铁路网公司（RFI）持有，博尔扎诺、特伦托和维罗纳三个省为小股东。

隧道在因斯布鲁克与福尔泰扎之间全长55公里，加上因斯布鲁克绕行段则达到64公里，建成后将取代圣哥达隧道成为世界上最长的地下铁路连接线。客运列车通过隧道只需25分钟，而经由山口的老线路需要1小时20分钟。

隧道目前仍是工地，尚未迎来一名乘客。10月21日，也就是Everest网站出现该条目四天后，公司宣布通车推迟到2034年（原定2032年），总造价由105亿欧元升至117亿欧元，原因是追加工程和铁路设备的整合。没有任何消息来源把两件事联系起来。

在这样的工地上，文件在公司、承包商、设计方和审批机构之间不断流动。合同、测绘、平面图和进度计划算不上军事机密，但放在一起，就能勾勒出一项基础设施的构造与防护方式。

勃伦纳隧道建设公司 BBT 确认遭网络攻击，Everest 声称窃取 812GB 数据

铁路运输属于欧盟NIS2指令中的高关键性行业，对重大事件要求在发现后24小时内向主管机关发出预警，72小时内提交完整通报。至于这是否适用于BBT SE这样处于施工阶段的欧洲公司，以及如何适用，取决于奥地利和意大利各自的国内转化落实情况，公司对此未置一词。

如果泄露数据中包含个人信息，GDPR要求数据控制者在发现后72小时内通知监管机构，但BBT SE没有说明向哪个机构报告，也没有说明时间。

大背景是创纪录的2026年。据Clusit统计，上半年全球网络事件共4911起，同比增长105%。铁路行业也已为供应链付出代价，日本的IDCF Cloud勒索软件攻击波及495家机构，包括JR East。

接下来有两个信号值得关注。第一是Everest网站上文件的公布，到那时才能看到里面有什么，是否与宣称的812GB相符。第二是BBT SE发表声明，说明哪类数据被触及。目前公司只说工地照常推进，没有说从服务器流出了什么。