ATTACCHI · SUPPLY CHAIN DEL SOFTWARE
F5, agosto 2025: un attore statale ruba il codice sorgente di BIG-IP
Il 9 agosto 2025 F5 ha scoperto che un attore statale aveva avuto accesso prolungato ai suoi sistemi e rubato parti del codice sorgente di BIG-IP e informazioni su vulnerabilità non pubblicate. Il 15 ottobre, alla comunicazione, la CISA ha emesso una direttiva d'emergenza.
- Vittima
- F5 e gli utenti di BIG-IP
- Settore
- Apparati di rete e sicurezza
- Paese
- Stati Uniti, clienti in tutto il mondo
- Data
- 9 agosto 2025
- Categoria
- Supply chain del software
- Causa
- Non nota
- Attore
- Legato a uno Stato (confermato). Attore statale secondo F5; Bloomberg collega l'intrusione al malware BRICKSTORM, attribuito a un gruppo legato alla Cina
- Scenari di danno
- Ripristino di dati e sistemi · Sanzioni e indagini
Le cause in breve
- Accesso iniziale. Non è stato reso pubblico; secondo Bloomberg l'accesso durava da almeno dodici mesi (The Hacker News).
- Bersaglio. Codice sorgente di BIG-IP, informazioni su vulnerabilità in correzione e dati di configurazione di una piccola percentuale di clienti.
- Rischio. Nessuno sfruttamento noto, ma un attore statale ora conosce il codice di apparati installati al confine di migliaia di reti.
L'impatto
- Direttiva d'emergenza ED 26-01 della CISA: inventario dei BIG-IP e aggiornamenti entro il 22 ottobre 2025.
- F5 ha ruotato credenziali, certificati e chiavi di firma, con Mandiant e CrowdStrike.
- Previsione di crescita dei ricavi 2026 tra 0 e 4%, contro il 10% dell'anno precedente; titolo -6% (SiliconANGLE).
- Clienti con dati di configurazione sottratti e uso successivo delle informazioni: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine e consulenti di risposta rispondono per F5, se l'esclusione per attore statale non si applica.
- Ripristino di dati e sistemiRispondeLa rotazione di credenziali, certificati e chiavi rientra nei costi di ripristino.
- Business interruption propriaDi solito esclusaIl rallentamento delle vendite per perdita di fiducia è un danno reputazionale, di norma escluso o coperto solo con estensioni dedicate.
- Business interruption dipendente (fornitore)Non pertinenteI clienti non hanno avuto un fermo.
- EstorsioneNon pertinenteNessuna richiesta di riscatto.
- Notifica e responsabilità privacyDipende dal wordingDipende da quali dati di configurazione dei clienti sono stati sottratti, non pubblici.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingRichieste dei clienti per i dati di configurazione o per sfruttamenti futuri dipendono dai contratti e dall'esclusione per attore statale.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Attore statale. Le esclusioni per atti statali vanno lette: lo spionaggio contro un'azienda privata non sempre rientra tra gli attacchi che compromettono la sicurezza di uno Stato.
- Sinistri futuri. Il furto prepara sfruttamenti che possono colpire molti assicurati in annualità successive.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un attore statale ha rubato codice sorgente e vulnerabilità non pubblicate di un prodotto installato al confine di migliaia di reti.
Segnale di cumulo per il portafoglio.
Cumulo in attesa: un'eventuale campagna di sfruttamento sugli apparati BIG-IP esposti colpirebbe molti assicurati insieme.