ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
Boeing, ottobre 2023: 200 milioni chiesti e non pagati
A ottobre 2023 un affiliato di LockBit è entrato nella divisione ricambi e distribuzione di Boeing sfruttando Citrix Bleed, una vulnerabilità di Citrix NetScaler. LockBit ha chiesto 200 milioni di dollari; Boeing non ha pagato e circa 43 GB di dati sono stati pubblicati sul sito del gruppo.
- Vittima
- Boeing, divisione ricambi e distribuzione
- Settore
- Costruzione aeronautica
- Paese
- Stati Uniti
- Data
- ottobre 2023
- Categoria
- Ransomware con fermo operativo
- Causa
- Vulnerabilità nota non corretta
- Attore
- Criminale (confermato). Un affiliato di LockBit, secondo CISA, FBI e Boeing
- Scenari di danno
- Business interruption propria · Estorsione
Le cause in breve
- Vulnerabilità sfruttata. Citrix Bleed (CVE-2023-4966) permetteva di rubare sessioni già autenticate, aggirando password e autenticazione a due fattori (Help Net Security).
- Dispositivo esposto. La falla era negli apparati NetScaler ADC e Gateway, che collegano gli utenti esterni alla rete (Help Net Security).
- Controllo mancato. Non noto se la correzione fosse già disponibile al momento dell'accesso.
L'impatto
- Colpiti «elementi» della divisione ricambi e distribuzione; nessun effetto sulla sicurezza dei voli secondo Boeing (CyberScoop).
- Richiesta di 200 milioni di dollari, confermata da Boeing a maggio 2024 (CyberScoop).
- Circa 43 GB di dati pubblicati da LockBit a inizio novembre 2023 (CyberScoop).
- Boeing è l'azienda citata nell'atto d'accusa statunitense contro Dmitry Khoroshev, indicato come capo di LockBit (CyberScoop).
- Costo per Boeing: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e negoziazione rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeIl ripristino dei sistemi della divisione ricambi rientra nel ripristino.
- Business interruption propriaRispondeIl disagio nella distribuzione dei ricambi è un danno da fermo, coperto dopo il periodo di attesa.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingBoeing non ha pagato: la garanzia risponde per le spese di gestione della richiesta, non per un riscatto.
- Notifica e responsabilità privacyDipende dal wordingLe fonti non dicono se i dati pubblicati contenessero dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste di clienti o fornitori per i dati pubblicati sono possibili, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni. Pagare LockBit, gruppo il cui capo è sotto sanzioni dal 2024, sarebbe vietato e non coperto.
- Franchigia. Per un'azienda così grande, molti costi possono restare nella franchigia o nell'autoassicurazione.
- Aggiornamenti. Un ritardo nell'applicare una correzione disponibile può essere contestato da alcune polizze.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Un attacco limitato a una divisione, ma con una richiesta di 200 milioni di dollari e dati pubblicati.
Segnale di cumulo per il portafoglio.
Cumulo da vulnerabilità di massa: Citrix Bleed è stata usata contro molte aziende nelle stesse settimane.