ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Cash App, dicembre 2021: l'ex dipendente che scarica i rapporti
Il 10 dicembre 2021 un ex dipendente di Block ha scaricato rapporti interni di Cash App Investing, a cui aveva avuto accesso nel suo vecchio ruolo, con nomi e numeri di conto di investimento dei clienti. Block lo ha comunicato alla SEC il 4 aprile 2022 e ha avvisato circa 8,2 milioni di clienti attuali ed ex.
- Vittima
- Block e i clienti di Cash App Investing
- Settore
- Servizi finanziari
- Paese
- Stati Uniti
- Data
- 10 dicembre 2021
- Categoria
- Violazione di dati personali
- Causa
- Insider o dipendente corrotto
- Attore
- Insider. Un ex dipendente
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Accessi non revocati. L'ex dipendente ha scaricato i rapporti dopo la fine del rapporto di lavoro (Security Affairs).
- Accesso abituale ai dati. Nel suo ruolo precedente consultava regolarmente quei rapporti (Security Affairs).
- Rilevamento tardivo. La comunicazione è arrivata quasi quattro mesi dopo il download (Block).
L'impatto
- Nomi completi e numeri di conto di investimento; per alcuni clienti anche valore del portafoglio, titoli o operazioni di un giorno (Security Affairs).
- Nessun nome utente, password, numero di previdenza sociale, data di nascita, carta o indirizzo (Security Affairs).
- Circa 8,2 milioni di clienti attuali ed ex avvisati (Security Affairs).
- Nessun effetto rilevante atteso sul bilancio, secondo Block (Security Affairs).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine, consulenza legale e comunicazione ai clienti rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiNon pertinenteNon ci sono sistemi da ricostruire.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeLe notifiche a 8,2 milioni di clienti rientrano in pieno nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe cause dei clienti sono coperte, ma alcune polizze trattano in modo diverso gli atti di dipendenti o ex dipendenti.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Dipendenti infedeli. Alcune polizze escludono o limitano i danni causati con intenzione da dipendenti o ex dipendenti.
- Sanzioni. Le multe delle autorità finanziarie sono assicurabili solo dove la legge lo permette.
- Ritardo nella notifica. Una comunicazione tardiva può aggravare la responsabilità e le sanzioni.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Dati finanziari di milioni di clienti usciti da un solo ex dipendente con accessi ancora attivi.
Nessun segnale di cumulo.