ATTACCHI · INCIDENTE NON DOLOSO
Atlassian, aprile 2022: uno script cancella 883 siti cloud
Il 5 aprile 2022 uno script interno di Atlassian, che doveva eliminare un'app dismessa, ha ricevuto gli identificativi sbagliati e ha cancellato 883 siti cloud di 775 clienti di Jira, Confluence, Opsgenie e altri prodotti. Il ripristino dai backup è durato fino al 18 aprile: alcuni clienti sono rimasti senza accesso per 14 giorni.
- Vittima
- Atlassian e i suoi clienti
- Settore
- Software in cloud
- Paese
- Più paesi
- Data
- 5 aprile 2022
- Categoria
- Incidente non doloso
- Causa
- Errore di configurazione
- Attore
- Non identificato. Nessun attaccante: errore interno
- Scenari di danno
- Business interruption dipendente
Le cause in breve
- Identificativi sbagliati. Lo script ha ricevuto gli identificativi dei siti invece di quelli dell'app, per un problema di comunicazione tra due team (Atlassian).
- Nessuna protezione. L'API di cancellazione accettava entrambi gli identificativi senza avvisi, e il controllo tra colleghi non ha verificato gli ID (Atlassian).
- Ripristino non automatizzato. Il ripristino di molti siti insieme non era automatizzato (Atlassian).
L'impatto
- 883 siti di 775 clienti cancellati in 23 minuti; oltre il 99,6% dei clienti non è stato toccato (Atlassian).
- Ripristino tra l'8 e il 18 aprile, fino a 14 giorni senza accesso per alcuni clienti (Atlassian).
- Nessun cliente ha perso più di cinque minuti di dati, secondo Atlassian; per 57 clienti alcune banche dati sono state riportate a un punto precedente (Atlassian).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)Risponde con limitiSenza attacco, la risposta all'incidente risponde solo se la polizza copre gli errori interni.
- Ripristino di dati e sistemiRispondeIl ripristino dei siti dai backup rientra nel ripristino, se la polizza copre gli errori operativi.
- Business interruption propriaRisponde con limitiIl danno per Atlassian è soprattutto il costo del ripristino e i crediti ai clienti.
- Business interruption dipendente (fornitore)Dipende dal wordingPer i clienti senza Jira o Confluence la perdita da fornitore risponde solo se copre gli eventi non dolosi.
- EstorsioneNon pertinenteNon c'è stato un attacco.
- Notifica e responsabilità privacyNon pertinenteNon risultano dati personali esposti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Evento non doloso. Molte polizze coprono il fermo dei fornitori solo se causato da un attacco.
- Limiti contrattuali. I contratti cloud limitano di solito la responsabilità del fornitore a crediti di servizio.
- Errore operativo. Alcune polizze coprono gli errori umani solo con una garanzia specifica.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Nessun attacco, ma due settimane senza strumenti di lavoro per centinaia di aziende.
Segnale di cumulo per il portafoglio.
Cumulo sui clienti: un solo errore ha colpito centinaia di aziende sullo stesso servizio.