ATTACCHI · FURTO DI DATI ED ESTORSIONE SENZA CIFRATURA
Electronic Arts, giugno 2021: dieci dollari di cookie e una telefonata
A giugno 2021 gli attaccanti sono entrati nello Slack aziendale di Electronic Arts con cookie di sessione comprati per 10 dollari. Poi, fingendo di aver perso il telefono, si sono fatti dare dall'assistenza un codice di accesso e hanno sottratto circa 780 GB, tra cui il codice sorgente di FIFA 21 e del motore Frostbite.
- Vittima
- Electronic Arts
- Settore
- Videogiochi
- Paese
- Stati Uniti
- Data
- 10 giugno 2021
- Categoria
- Furto di dati ed estorsione senza cifratura
- Causa
- Token OAuth o chiavi API rubati · Social engineering su help desk o dipendenti
- Attore
- Criminale. Non identificati
- Scenari di danno
- Estorsione · Responsabilità verso terzi
Le cause in breve
- Cookie rubati. Cookie con i dati di accesso, comprati per 10 dollari, hanno aperto lo Slack aziendale (Game World Observer).
- Assistenza ingannata. Fingendosi un dipendente che aveva perso il telefono, l'attaccante ha ottenuto un codice per l'autenticazione a due fattori (Game World Observer).
- Accesso ampio. Con quel codice è arrivato alla rete aziendale e al servizio di compilazione dei giochi (Game World Observer).
L'impatto
- Circa 780 GB sottratti, con strumenti interni e codice sorgente di FIFA 21 e del motore Frostbite (Game World Observer).
- Dati messi in vendita sui forum e poi pubblicati quando EA non ha pagato (Security Affairs).
- Nessun dato dei giocatori coinvolto, secondo EA (Game World Observer).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense e consulenza legale rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRisponde con limitiNon c'è stata cifratura: il ripristino è limitato alla messa in sicurezza degli accessi.
- Business interruption propriaNon pertinenteL'attività non si è fermata.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingEA non ha pagato: la garanzia risponde per le spese di gestione della richiesta.
- Notifica e responsabilità privacyNon pertinenteNessun dato dei giocatori coinvolto, secondo EA.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste di partner per strumenti o dati condivisi sono possibili, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Proprietà intellettuale. La perdita di valore del codice sorgente non è un danno coperto nelle polizze standard.
- Ingegneria sociale. Alcune polizze limitano i sinistri nati da un dipendente ingannato, se mancano procedure di verifica.
- Franchigia. Per un gruppo così grande, il costo può restare dentro la franchigia.
La lettura per chi assume il rischio
Impatto per gli assicuratoriBasso
Nessun fermo né dati dei clienti, ma codice sorgente pregiato pubblicato dopo un attacco molto economico.
Nessun segnale di cumulo.