ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
CommonSpirit, ottobre 2022: 150 milioni per un mese di blocco
A ottobre 2022 un ransomware ha colpito CommonSpirit Health, secondo gruppo sanitario non profit degli Stati Uniti, con ospedali che hanno lavorato per circa un mese senza i sistemi informatici. Sono coinvolti dati di circa 623.700 persone e il gruppo ha dichiarato costi per oltre 150 milioni di dollari, ancora in crescita.
- Vittima
- CommonSpirit Health
- Settore
- Sanità
- Paese
- Stati Uniti
- Data
- 2 ottobre 2022
- Categoria
- Ransomware con fermo operativo
- Causa
- Non nota
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Causa non nota. Le fonti non riportano come gli attaccanti siano entrati (HIPAA Journal).
L'impatto
- Interruzione di circa un mese in un gruppo che serve oltre 20 milioni di pazienti (HIPAA Journal).
- Dati sanitari di circa 623.700 persone coinvolti (HIPAA Journal).
- Costi per oltre 150 milioni di dollari dichiarati nel bilancio trimestrale, ancora in aumento (Becker's Hospital Review).
- Diverse azioni collettive proposte dai pazienti (HIPAA Journal).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e notifiche ai pazienti rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeIl ripristino dei sistemi clinici e amministrativi rientra nel ripristino.
- Business interruption propriaRispondeUn mese di attività ridotta negli ospedali è il caso tipico della garanzia interruzione d'attività.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingLe fonti non dicono se sia stato chiesto o pagato un riscatto.
- Notifica e responsabilità privacyRispondeRisponde per le notifiche e i servizi alle circa 623.700 persone coinvolte.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeLe azioni collettive dei pazienti rientrano nella responsabilità per i dati.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Limiti di polizza. Con 150 milioni di costi, il danno supera facilmente i massimali di una singola polizza.
- Sanzioni sanitarie. Le sanzioni per la normativa sui dati sanitari sono assicurabili solo dove la legge lo consente.
- Periodo di indennizzo. La perdita d'esercizio è coperta per un periodo massimo fissato in polizza.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Una delle perdite dichiarate più alte nella sanità statunitense per un singolo ransomware.
Nessun segnale di cumulo.