ATTACCHI · SFRUTTAMENTO DI MASSA DI UNA VULNERABILITÀ
Microsoft Exchange, marzo 2021: la posta aziendale aperta a tutti
Il 2 marzo 2021 Microsoft ha corretto in emergenza quattro vulnerabilità di Exchange Server già sfruttate dal gruppo che chiama Hafnium. Nei giorni seguenti altri gruppi hanno attaccato in massa i server non aggiornati: secondo Brian Krebs almeno 30.000 organizzazioni solo negli Stati Uniti.
- Vittima
- Organizzazioni con server Exchange in sede
- Settore
- Tutti i settori
- Paese
- Tutto il mondo
- Data
- 2 marzo 2021
- Categoria
- Sfruttamento di massa di una vulnerabilità
- Causa
- Zero-day · Vulnerabilità nota non corretta
- Attore
- Legato a uno Stato (sospettato). Hafnium, gruppo che Microsoft ritiene basato in Cina, seguito da altri gruppi criminali
- Scenari di danno
- Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Vulnerabilità sconosciute. Quattro difetti di Exchange concatenati permettevano di installare programmi sul server senza autenticarsi (Sophos).
- Server non aggiornati. Dopo la correzione gli attacchi sono aumentati contro chi non aveva ancora installato gli aggiornamenti (Times of Israel).
- Accessi nascosti. Gli attaccanti hanno lasciato web shell con nomi diversi su ogni server, difficili da trovare anche dopo l'aggiornamento (Sophos).
L'impatto
- Almeno 30.000 organizzazioni statunitensi colpite secondo Krebs, tra piccole imprese, comuni ed enti locali (Times of Israel).
- Posta sottratta e strumenti di controllo remoto installati sui server (Times of Israel).
- Il gruppo BlackKingdom ha usato le stesse vulnerabilità per diffondere ransomware (Sophos).
- Ad aprile 2021 l'FBI, con un mandato del tribunale, ha cancellato a distanza le web shell rimaste su centinaia di server negli Stati Uniti (Sophos).
- Costo complessivo per le vittime: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense per capire se il server è stato violato, e consulenza legale, sono il cuore di questo sinistro.
- Ripristino di dati e sistemiRispondeLa ricostruzione o la pulizia del server di posta rientra nel ripristino dei dati e dei sistemi.
- Business interruption propriaRisponde con limitiIl fermo della posta conta come danno solo se supera il periodo di attesa, cosa che le fonti non documentano.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sul server dell'assicurato, non su un fornitore.
- EstorsioneDipende dal wordingSolo chi ha subito anche il ransomware ha una richiesta di riscatto; la garanzia interviene con il consenso dell'assicuratore.
- Notifica e responsabilità privacyRispondeLa posta sottratta contiene dati personali e attiva notifiche e assistenza.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste di terzi i cui dati erano nella posta sono possibili, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Guerra e atti di Stato. Se l'attacco è attribuito a uno Stato, le clausole sugli attacchi informatici statali possono escludere o limitare il sinistro.
- Aggiornamenti. Alcune polizze riducono la copertura se una correzione disponibile non è stata installata entro un tempo ragionevole.
- Cumulo. Lo stesso difetto colpisce migliaia di assicurati nello stesso momento.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Molti sinistri di costo medio-basso per ciascuna vittima, ma decine di migliaia di vittime in pochi giorni.
Segnale di cumulo per il portafoglio.
Cumulo da vulnerabilità di massa: un solo prodotto diffuso, attaccato in tutto il mondo nella stessa settimana.