ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Electoral Commission, agosto 2021: un anno dentro i registri elettorali
Ad agosto 2021 attaccanti sono entrati nei sistemi dell'autorità elettorale britannica sfruttando una falla di Microsoft Exchange e ci sono rimasti fino a ottobre 2022. Hanno avuto accesso ai nomi e indirizzi di circa 40 milioni di elettori; nel marzo 2024 il governo britannico ha attribuito l'attacco a hacker che lavorano per il governo cinese.
- Vittima
- Electoral Commission
- Settore
- Autorità pubblica
- Paese
- Regno Unito
- Data
- agosto 2021
- Categoria
- Violazione di dati personali
- Causa
- Vulnerabilità nota non corretta
- Attore
- Legato a uno Stato (confermato). Hacker al servizio del governo cinese, secondo il governo britannico
- Scenari di danno
- Notifica e responsabilità privacy · Sanzioni e indagini
Le cause in breve
- Server di posta vulnerabile. L'accesso è avvenuto da una falla di Microsoft Exchange (Computing).
- Avvisi ignorati. L'autorità aveva fallito un audit di sicurezza governativo, ignorato consigli del NCSC e usava password deboli (Computing).
- Rilevamento tardivo. Gli attaccanti si sono mossi nella rete per oltre un anno prima della scoperta (Computing).
L'impatto
- Nomi e indirizzi di circa 40 milioni di elettori registrati tra il 2014 e il 2022 (TechCrunch).
- Probabile furto della posta dell'autorità, secondo il NCSC (TechCrunch).
- Richiamo formale dell'ICO nel 2023 (Computing).
- Oltre 250.000 sterline in adeguamenti e tre anni per riprendersi, secondo l'amministratore delegato (Computing).
- Nessuna prova di interferenze nelle elezioni (Computing).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)Dipende dal wordingL'indagine forense è coperta, salvo che la clausola sugli attacchi statali escluda un'operazione attribuita a uno Stato.
- Ripristino di dati e sistemiDipende dal wordingLa ricostruzione dei sistemi rientra nel ripristino, con lo stesso limite della clausola statale.
- Business interruption propriaNon pertinenteL'autorità non ha fermato le sue attività.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon c'è stata nessuna richiesta di riscatto: lo scopo era lo spionaggio.
- Notifica e responsabilità privacyDipende dal wordingI registri elettorali sono in parte pubblici: la notifica a 40 milioni di persone resta il costo tipico, se la clausola statale non esclude il sinistro.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste degli elettori sono possibili ma difficili da sostenere per dati in parte già pubblici.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Attacchi di Stato. Con l'attribuzione ufficiale alla Cina, la clausola sugli attacchi informatici statali è il punto centrale del sinistro.
- Aggiornamenti e controlli. Un audit fallito e avvisi ignorati possono pesare sulla copertura o sulla dichiarazione del rischio.
- Enti pubblici. Molti enti pubblici britannici non comprano una polizza cyber e coprono il rischio in proprio.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Costo assicurabile limitato, ma dati di quasi tutti gli elettori di un paese in mano a uno Stato straniero.
Nessun segnale di cumulo.