ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Advanced, agosto 2022: NHS 111 a carta e penna
Ad agosto 2022 il gruppo LockBit è entrato nei sistemi della controllata sanitaria di Advanced, fornitore di software per il servizio sanitario britannico, con un account di un cliente senza autenticazione a più fattori. Il sistema Adastra è andato offline e NHS 111, ambulanze e guardie mediche hanno lavorato a mano per settimane. Nel 2025 il garante britannico ha multato Advanced per 3,07 milioni di sterline.
- Vittima
- Advanced e i servizi del NHS suoi clienti
- Settore
- Software per la sanità
- Paese
- Regno Unito
- Data
- 4 agosto 2022
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Credenziali rubate o MFA assente
- Attore
- Criminale (confermato). LockBit
- Scenari di danno
- Business interruption dipendente · Notifica e responsabilità privacy · Sanzioni e indagini
Le cause in breve
- Account senza MFA. L'ingresso è avvenuto con l'account di un cliente che non aveva l'autenticazione a più fattori (Computer Weekly).
- Copertura incompleta. L'MFA c'era su molti sistemi, ma non su tutti (The Record).
- Aggiornamenti e scansioni. Il garante ha trovato carenze nella ricerca delle vulnerabilità e nella gestione degli aggiornamenti (Computer Weekly).
L'impatto
- Senza Adastra NHS 111, invio delle ambulanze, prescrizioni d'urgenza, guardie mediche e invii ai medici di base (Computer Weekly).
- Dopo tre settimane NHS 111 e i servizi collegati erano ancora colpiti, con il ritorno graduale dei clienti (Pulse).
- Riunione di crisi del governo (COBR) e lavoro con carta e penna (The Record).
- Dati di 79.404 persone sottratti, tra cui come entrare nelle case di 890 persone assistite a domicilio (Computer Weekly).
- Multa di 3,07 milioni di sterline, circa la metà di quella proposta, prima sanzione del garante a un responsabile del trattamento (Computer Weekly).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e collaborazione con NCSC, NCA e NHS rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa ricostruzione e la riconnessione controllata dei clienti rientrano nel ripristino.
- Business interruption propriaRisponde con limitiAdvanced ha perso il servizio ai clienti, ma le fonti non quantificano la perdita.
- Business interruption dipendente (fornitore)RispondePer i servizi del NHS è il caso tipico del fermo di un fornitore critico.
- EstorsioneNon pertinenteLe fonti non riportano una richiesta di riscatto o un pagamento.
- Notifica e responsabilità privacyRispondeRisponde per i dati delle 79.404 persone e per le notifiche.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Advanced rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni. La multa del garante è assicurabile solo dove la legge lo consente.
- Requisiti di sicurezza. Un'MFA dichiarata ma non estesa a tutti gli accessi può essere contestata dall'assicuratore.
- Responsabilità professionale. Le richieste dei clienti verso il fornitore vanno nella garanzia tecnologica.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un fornitore di software fermato ha portato servizi sanitari d'urgenza nazionali alla carta per settimane.
Segnale di cumulo per il portafoglio.
Cumulo sanitario: molti servizi del NHS dipendevano dallo stesso sistema ospitato da un unico fornitore.