ATTACCHI · SUPPLY CHAIN DEL SOFTWARE
3CX, marzo 2023: l'app del centralino infetta, nata da un'altra app infetta
A fine marzo 2023 è emerso che l'app per computer del centralino software 3CX veniva distribuita con codice malevolo inserito nei server di compilazione. Mandiant ha scoperto che gli attaccanti, legati alla Corea del Nord, erano entrati in 3CX con un altro software compromesso, X_TRADER: il primo attacco alla catena di fornitura nato da un altro.
- Vittima
- 3CX e le aziende che usano la sua app per computer
- Settore
- Software di comunicazione aziendale
- Paese
- Internazionale
- Data
- 29 marzo 2023
- Categoria
- Supply chain del software
- Causa
- Aggiornamento o libreria compromessi · Accesso tramite fornitore o terza parte
- Attore
- Legato a uno Stato (sospettato). UNC4736, gruppo sospettato di legami con la Corea del Nord secondo Mandiant
- Scenari di danno
- Ripristino di dati e sistemi · Responsabilità verso terzi
Le cause in breve
- Accesso iniziale. Nella rete di 3CX è arrivato un installatore alterato di X_TRADER, scaricato dal sito legittimo di Trading Technologies, a sua volta compromesso (Mandiant).
- Meccanismo. Gli attaccanti hanno raggiunto i server di compilazione per Windows e macOS e inserito il codice malevolo nella 3CX DesktopApp, versione 18.12.416 e precedenti (Mandiant).
- Controllo mancato. Un software dismesso dal 2020 ma ancora scaricabile e installato in azienda, e nessun controllo di integrità tra il codice e il programma firmato.
L'impatto
- App firmata da 3CX distribuita con codice malevolo ai clienti di tutto il mondo (Mandiant).
- Per Mandiant è il primo caso noto di un attacco alla catena di fornitura che ne genera un altro (Computer Weekly).
- Numero di clienti che hanno installato la versione infetta e danni economici: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer 3CX e per i clienti rispondono indagine forense e consulenza legale per capire chi è stato colpito.
- Ripristino di dati e sistemiRispondeLa pulizia dei server di compilazione e la reinstallazione dell'app sui computer dei clienti rientrano nel ripristino.
- Business interruption propriaNon pertinenteLe fonti non riportano un fermo rilevante del servizio di centralino.
- Business interruption dipendente (fornitore)Non pertinenteIl fornitore non si è fermato: ha distribuito codice alterato.
- EstorsioneNon pertinenteNessuna richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteLe fonti non riportano furti di dati personali su larga scala.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso 3CX rientrano nella responsabilità tecnologica, se prevista, e i contratti limitano spesso la responsabilità del fornitore.
- Frode e social engineeringNon pertinenteIl gruppo punta di solito alle criptovalute, ma non risultano trasferimenti fraudolenti noti in questo caso.
Esclusioni e limiti da controllare
- Guerra e attacchi statali. Con un attore sospettato di essere statale, le clausole per operazioni cyber statali possono essere invocate se l'attribuzione viene confermata da un governo.
- Responsabilità professionale. Per 3CX le richieste dei clienti sono coperte solo dalla garanzia tecnologica o di errori professionali.
- Cumulo. Un software installato presso molti assicurati trasforma un solo evento in molti sinistri.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Il danno noto è contenuto, ma il caso mostra un vettore che colpisce in una volta tutti i clienti di un software diffuso.
Segnale di cumulo per il portafoglio.
Cumulo sui fornitori di software: lo stesso aggiornamento firmato arriva insieme a moltissimi assicurati.