Colonial Pipeline, maggio 2021: una vecchia VPN senza secondo fattore ferma l'oleodotto

Le cause in breve

• Accesso iniziale. Gli attaccanti sono entrati con la password di un vecchio profilo VPN non più in uso, protetto da un solo fattore; la società non sa come l'abbiano ottenuta (Dark Reading).
• Estensione. Il ransomware ha colpito i sistemi amministrativi; l'oleodotto è stato fermato per prudenza, per evitare che l'attacco raggiungesse i sistemi di controllo.
• Controllo mancato. La disattivazione degli account non più usati e l'autenticazione a più fattori su tutti gli accessi remoti.

L'impatto

• Oleodotto fermo dal 7 al 12 maggio 2021, con ritorno alla piena consegna nei giorni successivi (Axios).
• Riscatto di 4,4 milioni di dollari pagato a DarkSide (Axios).
• Il Dipartimento di Giustizia ha sequestrato 63,7 bitcoin del riscatto, circa 2,3 milioni di dollari (Dipartimento di Giustizia).
• Code e distributori a secco in diversi stati del sud-est: danni di terzi non quantificati.

Cosa avrebbe risposto una polizza cyber

Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.

• Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, assistenza legale e comunicazione con autorità e clienti rispondono.
• Ripristino di dati e sistemiRispondeLa pulizia e la ricostruzione dei sistemi amministrativi rientrano nel ripristino.
• Business interruption propriaRispondeIl fermo di cinque giorni supera ogni periodo di attesa; un fermo volontario per prudenza va però verificato nel wording, che a volte richiede un fermo causato direttamente dall'attacco.
• Business interruption dipendente (fornitore)Dipende dal wordingPer i clienti rimasti senza carburante risponde la loro garanzia di dipendenza solo se copre fornitori non informatici come un oleodotto, cosa rara.
• EstorsioneRispondeIl riscatto pagato rientra nella garanzia estorsione, con il consenso dell'assicuratore; la parte recuperata dal governo riduce il danno.
• Notifica e responsabilità privacyNon pertinenteLe fonti non riportano un furto rilevante di dati personali.
• Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingRisponde a eventuali richieste di clienti e distributori, ma molte polizze escludono i danni da mancata fornitura di energia.
• Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.

Esclusioni e limiti da controllare

• Fermo volontario. Il blocco preventivo dell'oleodotto è stato una scelta di prudenza: alcune polizze coprono il fermo deciso per limitare il danno, altre solo quello causato dall'attacco.
• Infrastrutture e servizi pubblici. Per i terzi colpiti dalla carenza di carburante può valere l'esclusione per guasti di infrastrutture e forniture di energia.
• Dichiarazioni nel questionario. Un accesso remoto senza secondo fattore è oggi una delle prime domande del questionario: una dichiarazione inesatta può portare a contestazioni.

La copertura reale

Secondo Reuters, ripresa da Insurance Journal, Colonial aveva una polizza cyber di almeno 15 milioni di dollari con AXA XL e Beazley, collocata dal broker Aon (Insurance Journal).

La lettura per chi assume il rischio

Impatto per gli assicuratoriAlto

Il danno diretto è contenuto rispetto ai limiti, ma il fermo di un'infrastruttura critica ha colpito migliaia di clienti e ha cambiato le regole di sicurezza per gli oleodotti statunitensi.

Segnale di cumulo per il portafoglio.

Cumulo per dipendenza: una sola infrastruttura energetica ferma tocca contemporaneamente distributori, compagnie aeree e trasporti di un'intera regione.

Fonti

• Dark Reading – l'attacco è partito da un vecchio account VPN
• Axios – Colonial riavvia l'oleodotto
• Axios – il CEO di Colonial conferma il riscatto di 4,4 milioni
• Dipartimento di Giustizia – sequestrati 2,3 milioni in criptovalute
• Insurance Journal – gli assicuratori cyber di Colonial