ATTACCHI · SFRUTTAMENTO DI MASSA DI UNA VULNERABILITÀ
Cleo, dicembre 2024: due vulnerabilità nel trasferimento file e centinaia di violazioni
Da almeno il 3 dicembre 2024 due vulnerabilità nei prodotti di trasferimento file di Cleo sono state sfruttate in massa, e Clop ha rivendicato gli attacchi. Tra le conferme ci sono Hertz, con oltre un milione di persone notificate, e le scuole pubbliche di Chicago.
- Vittima
- Utenti di Cleo Harmony, VLTrader e LexiCom
- Settore
- Trasversale, molte vittime in logistica e supply chain
- Paese
- Più paesi, circa l'80% in Nord America
- Data
- 3 dicembre 2024
- Categoria
- Sfruttamento di massa di una vulnerabilità
- Causa
- Zero-day · Vulnerabilità nota non corretta
- Attore
- Criminale (rivendicato). Il gruppo Clop, che ha rivendicato la campagna
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi · Estorsione
Le cause in breve
- Vulnerabilità. CVE-2024-50623, resa nota a ottobre 2024; la correzione era aggirabile e da lì è emersa CVE-2024-55956, che consente di eseguire comandi senza autenticazione (Cybersecurity Dive).
- Esposizione. Il 15 dicembre 930 server erano ancora vulnerabili, circa 720 negli Stati Uniti.
- Controllo mancato. Server di trasferimento file raggiungibili da internet; aggiornare non bastava, serviva togliere l'accesso pubblico.
L'impatto
- Oltre 350 vittime elencate da Clop sul proprio sito ad aprile 2025 (Comparitech).
- Hertz: 1.000.175 persone notificate, con carte di pagamento e patenti (ITPro).
- Chicago Public Schools (700.000 persone), Western Alliance Bank (22.000), Champion Home Builders, WK Kellogg.
- Numero totale di vittime con dati sottratti e costi della campagna: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense e assistenza legale sono il primo costo per ogni vittima.
- Ripristino di dati e sistemiNon pertinenteClop ha copiato dati, non ha bloccato i sistemi.
- Business interruption propriaNon pertinenteNessun fermo dei sistemi delle vittime.
- Business interruption dipendente (fornitore)Non pertinenteIl danno nasce da un software dell'assicurato, non dal fermo di un fornitore.
- EstorsioneDipende dal wordingClop chiede un pagamento per non pubblicare i dati; risponde solo con il consenso dell'assicuratore e la verifica delle sanzioni.
- Notifica e responsabilità privacyRispondeIl sinistro tipico è di violazione di dati: notifiche e assistenza alle persone.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle azioni delle persone i cui dati transitavano sul server di trasferimento.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Evento singolo. Le definizioni di «evento» e «causa comune» decidono come si aggregano franchigie e riassicurazione.
- Periodo di copertura. La data di inizio dello sfruttamento decide quale annualità risponde.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un singolo software di trasferimento file ha prodotto centinaia di violazioni di dati in pochi mesi, ripetendo lo schema di MOVEit.
Segnale di cumulo per il portafoglio.
Cumulo per software e per settore: circa il 20% delle vittime elencate è in supply chain e logistica, contro il 2,8% dei ransomware in generale (ZeroFox).