ATTACCHI · ATTACCO DISTRUTTIVO, WIPER E OT
Albania, luglio 2022: l'attacco che ha fatto rompere i rapporti con l'Iran
Il 15 luglio 2022 un ransomware e un malware distruttivo hanno colpito i server dell'agenzia albanese per la società dell'informazione, interrompendo gran parte dei servizi pubblici online. Secondo FBI e CISA attori statali iraniani erano nella rete da circa 14 mesi. A settembre l'Albania ha rotto le relazioni diplomatiche con l'Iran ed espulso i suoi diplomatici.
- Vittima
- Governo albanese
- Settore
- Pubblica amministrazione
- Paese
- Albania
- Data
- 15 luglio 2022
- Categoria
- Attacco distruttivo, wiper e OT
- Causa
- Vulnerabilità nota non corretta
- Attore
- Legato a uno Stato (confermato). Attori statali iraniani, secondo il governo albanese, gli Stati Uniti, FBI e CISA
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Server non aggiornato. Gli attaccanti sono entrati da un server Microsoft SharePoint esposto a internet con la vulnerabilità CVE-2019-0604 (The Record).
- Presenza lunga. Circa 14 mesi nella rete, con furti di email per tutto il 2021 e furti di credenziali dal maggio 2022 (The Record).
L'impatto
- Colpiti i server dell'agenzia per la società dell'informazione (AKSHI); interrotta la maggior parte dei servizi agli sportelli (Security Affairs).
- Usati il ransomware Roadsweep, una variante del malware distruttivo ZeroCleare e la porta nascosta Chimneysweep (Computer Weekly).
- Dati del governo distrutti e poi pubblicati dal gruppo HomeLand Justice (Computer Weekly; The Record).
- Relazioni diplomatiche con l'Iran interrotte e diplomatici espulsi entro 24 ore (Computer Weekly).
- Nuovo attacco a settembre ai sistemi di controllo delle frontiere (The Record).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)Di solito esclusaUn attacco attribuito a uno Stato da governi alleati rientra di norma nelle esclusioni sugli attacchi statali.
- Ripristino di dati e sistemiDi solito esclusaIl ripristino rientrerebbe nella garanzia, ma vale la stessa esclusione.
- Business interruption propriaDi solito esclusaL'interruzione dei servizi pubblici rientra nella stessa esclusione.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteIl ransomware serviva a distruggere, non c'era una vera richiesta di riscatto.
- Notifica e responsabilità privacyDi solito esclusaI dati pubblicati rientrano nella stessa esclusione statale.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste di cittadini per dati pubblicati seguono le regole della responsabilità pubblica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Attacco statale. L'attribuzione all'Iran da parte di più governi rende applicabili le esclusioni sugli attacchi di Stati.
- Vulnerabilità nota. Un server non aggiornato per una falla del 2019 può pesare sulla valutazione delle misure di sicurezza.
- Ente pubblico. I governi raramente hanno una polizza cyber di mercato.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il primo caso noto di un paese che rompe le relazioni diplomatiche per un attacco informatico.
Nessun segnale di cumulo.