ATTACCHI · FURTO DI DATI ED ESTORSIONE SENZA CIFRATURA
Caesars, settembre 2023: il fornitore di assistenza ingannato e il riscatto per cancellare i dati
Il 7 settembre 2023 Caesars Entertainment ha accertato che gli attaccanti, entrati con il social engineering contro il suo fornitore esterno di assistenza informatica, avevano copiato il database del programma fedeltà. Secondo il Wall Street Journal ha pagato circa 15 milioni di dollari perché i dati non fossero pubblicati, e i casinò non si sono fermati.
- Vittima
- Caesars Entertainment
- Settore
- Casinò e alberghi
- Paese
- Stati Uniti
- Data
- 7 settembre 2023
- Categoria
- Furto di dati ed estorsione senza cifratura
- Causa
- Social engineering su help desk o dipendenti · Accesso tramite fornitore o terza parte
- Attore
- Criminale (sospettato). Scattered Spider, secondo Bloomberg; Caesars non ha indicato il gruppo
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione · Responsabilità verso terzi
Le cause in breve
- Accesso iniziale. Un attacco di social engineering contro il fornitore esterno di assistenza informatica usato dalla società (SEC, modulo 8-K).
- Estensione. Gli attaccanti hanno copiato il database del programma fedeltà, con numeri di patente e di previdenza sociale di molti iscritti (SEC).
- Controllo mancato. La verifica dell'identità di chi chiede all'assistenza esterna di reimpostare credenziali o fattori di autenticazione.
L'impatto
- Copiato il database del programma fedeltà; secondo Caesars non password, conti bancari o carte di pagamento (SEC).
- Riscatto di circa 15 milioni di dollari, metà della richiesta iniziale di 30, secondo il Wall Street Journal ripreso da BleepingComputer (BleepingComputer).
- Nessuna interruzione dei servizi ai clienti (SEC).
- Caesars ha preso misure perché i dati fossero cancellati, ma non può garantirlo (BleepingComputer).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e negoziazione con gli attaccanti rispondono.
- Ripristino di dati e sistemiNon pertinenteI sistemi non sono stati cifrati.
- Business interruption propriaNon pertinenteCaesars ha dichiarato che le attività con i clienti non si sono fermate.
- Business interruption dipendente (fornitore)Non pertinenteIl fornitore di assistenza è stato il varco, ma non si è fermato.
- EstorsioneRispondeUn pagamento per la cancellazione dei dati rientra nella garanzia estorsione, se consentito dall'assicuratore e nei limiti del sottolimite.
- Notifica e responsabilità privacyRispondeIl furto di numeri di patente e di previdenza sociale attiva notifiche e monitoraggio del credito.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle azioni collettive degli iscritti al programma fedeltà.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Limite dell'estorsione. Un riscatto di 15 milioni supera spesso il sottolimite della garanzia estorsione.
- Fornitori. L'accesso è partito da un fornitore: l'assicuratore può valutare un'azione di rivalsa, ma i contratti di assistenza limitano spesso la responsabilità.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Il pagamento ha evitato il fermo, a differenza di MGM nello stesso mese; il costo resta concentrato su riscatto e privacy.
Nessun segnale di cumulo.