ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
Brenntag, aprile 2021: 4,4 milioni pagati a DarkSide
A fine aprile 2021 DarkSide ha cifrato dispositivi della divisione nordamericana di Brenntag, distributore tedesco di prodotti chimici, e ha sottratto circa 150 GB di dati. L'11 maggio, secondo BleepingComputer, Brenntag ha pagato circa 4,4 milioni di dollari in bitcoin per la chiave di decifratura.
- Vittima
- Brenntag, divisione Nord America
- Settore
- Distribuzione chimica
- Paese
- Stati Uniti, con capogruppo in Germania
- Data
- 28 aprile 2021
- Categoria
- Ransomware con fermo operativo
- Causa
- Non nota
- Attore
- Criminale (rivendicato). DarkSide, lo stesso gruppo dell'attacco a Colonial Pipeline
- Scenari di danno
- Business interruption propria · Estorsione · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Non noto dalle fonti citate.
- Doppia estorsione. Cifratura dei dispositivi e furto di dati, con la minaccia di pubblicarli (Business Insurance).
- Controllo mancato. Non noto: la società non ha descritto le misure in vigore.
L'impatto
- Circa 150 GB di dati sottratti (Business Insurance).
- Riscatto di circa 4,4 milioni di dollari in bitcoin pagato l'11 maggio per ottenere la chiave (Business Insurance).
- Durata del fermo e costo totale: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, negoziazione e consulenza legale rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa decifratura e il ripristino dei dispositivi rientrano nel ripristino.
- Business interruption propriaRispondeIl fermo della divisione è coperto dopo il periodo di attesa, se documentato.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneRispondeIl riscatto pagato è il caso tipico della garanzia, con il consenso dell'assicuratore e senza sanzioni sul gruppo.
- Notifica e responsabilità privacyDipende dal wordingLe fonti non dicono se i 150 GB contenessero dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliNon pertinenteNon risultano richieste di terzi.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni. Il riscatto è coperto solo se il gruppo non è soggetto a sanzioni al momento del pagamento.
- Consenso. Un pagamento fatto senza il consenso dell'assicuratore può essere escluso.
- Sottolimiti. Molte polizze hanno un sottolimite per l'estorsione inferiore al massimale.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Un riscatto milionario pagato, con fermo e furto di dati in una sola divisione.
Nessun segnale di cumulo.