ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
HSE, maggio 2021: un file Excel aperto a marzo spegne la sanità irlandese
Il 18 marzo 2021 un dipendente del servizio sanitario irlandese ha aperto un allegato Excel malevolo; il 14 maggio il ransomware Conti ha costretto l'HSE a spegnere tutti i sistemi informatici. Per settimane ospedali e servizi hanno lavorato su carta, e il costo di recupero è stimato intorno ai 100 milioni di euro.
- Vittima
- Health Service Executive (HSE)
- Settore
- Sanità pubblica
- Paese
- Irlanda
- Data
- 18 marzo 2021
- Categoria
- Ransomware con fermo operativo
- Causa
- Phishing
- Attore
- Criminale (confermato). Conti, indicato nella revisione indipendente di PwC
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Un dipendente ha aperto un file Excel malevolo arrivato per e-mail il 18 marzo 2021 (Infosecurity Magazine).
- Allarmi ignorati. La revisione di PwC ha trovato diverse occasioni mancate: attività sospette rilevate prima del 14 maggio non hanno mai portato a un'indagine (Infosecurity Magazine).
- Controllo mancato. Otto settimane di presenza degli attaccanti nella rete senza una risposta agli allarmi.
L'impatto
- Tutti i sistemi informatici dell'HSE spenti il 14 maggio 2021, con ospedali e servizi a lavorare su carta per settimane.
- Conti ha chiesto 20 milioni di dollari e poi ha consegnato gratis la chiave di decifratura dopo le proteste pubbliche (Infosecurity Magazine).
- Spesi circa 42 milioni di euro nei primi mesi, con un costo complessivo previsto intorno ai 100 milioni (Infosecurity Magazine); oltre 80 milioni nel 2022 (GovInfoSecurity).
- Oltre 470 cause avviate contro l'HSE dopo l'attacco, al maggio 2024 (Irish Times).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e la revisione indipendente rispondono.
- Ripristino di dati e sistemiRispondeLa ricostruzione di migliaia di sistemi è la voce principale del costo dichiarato.
- Business interruption propriaRisponde con limitiUn ente pubblico non ha un margine perso da indennizzare: la garanzia copre al massimo i costi aggiuntivi per continuare a lavorare.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è dell'HSE stesso, non di un suo fornitore.
- EstorsioneNon pertinenteIl riscatto non è stato pagato e la chiave è arrivata gratis.
- Notifica e responsabilità privacyRispondeLe notifiche ai pazienti i cui dati sono stati sottratti rientrano nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle centinaia di cause avviate dopo l'attacco, nei limiti della polizza.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Enti pubblici. Molti enti sanitari pubblici non hanno una polizza cyber o sono assicurati dallo Stato: il caso mostra il costo che resta a carico del bilancio pubblico.
- Interruzione senza ricavi. Per chi non vende servizi, la garanzia di interruzione va scritta sui costi aggiuntivi, non sul margine.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un costo vicino ai 100 milioni di euro per un singolo ente, quasi tutto in ripristino e lavoro straordinario.
Nessun segnale di cumulo.