ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
ICBC, novembre 2023: il ransomware nella banca e i titoli del Tesoro regolati con le chiavette
L'8 novembre 2023 un ransomware ha colpito la filiale statunitense di ICBC, la maggiore banca del mondo, che non ha potuto regolare normalmente operazioni sui titoli del Tesoro per conto dei clienti. Secondo la stampa le transazioni sono state trasferite per qualche giorno con chiavette USB; LockBit ha rivendicato l'attacco.
- Vittima
- ICBC Financial Services, filiale statunitense di Industrial and Commercial Bank of China
- Settore
- Servizi finanziari
- Paese
- Stati Uniti
- Data
- 8 novembre 2023
- Categoria
- Ransomware con fermo operativo
- Causa
- Vulnerabilità nota non corretta
- Attore
- Criminale (rivendicato). LockBit, secondo fonti del Financial Times; non confermato ufficialmente
- Scenari di danno
- Business interruption propria · Business interruption dipendente
Le cause in breve
- Accesso iniziale. Non confermato; secondo il ricercatore Kevin Beaumont la banca aveva un dispositivo Citrix NetScaler non aggiornato contro la vulnerabilità CVE-2023-4966 (Computer Weekly).
- Estensione. Il ransomware ha colpito i sistemi che regolano le operazioni dei clienti sul mercato dei titoli del Tesoro (Computer Weekly).
- Controllo mancato. Gli aggiornamenti urgenti sui dispositivi di accesso remoto esposti a internet.
L'impatto
- Operazioni sui titoli del Tesoro e pronti contro termine regolate con difficoltà; la banca ha detto di averle concluse (Computer Weekly).
- Secondo la stampa le transazioni sono state trasferite con chiavette USB portate a mano (Computer Weekly).
- Attività disturbata sul mercato dei titoli del Tesoro statunitensi (Computer Weekly).
- Costo per la banca e riscatto: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e rapporti con le autorità di vigilanza rispondono.
- Ripristino di dati e sistemiRispondeLa ricostruzione dei sistemi colpiti rientra nel ripristino.
- Business interruption propriaRispondeIl fermo dei sistemi di regolamento supera il periodo di attesa; il danno dipende dalle commissioni perse e dai costi del lavoro manuale.
- Business interruption dipendente (fornitore)Dipende dal wordingPer i clienti e le controparti che non hanno ricevuto in tempo titoli o contanti risponde solo una loro garanzia di dipendenza, di rado prevista nel settore finanziario.
- EstorsioneDipende dal wordingLockBit ha dichiarato che il riscatto è stato pagato, ma la banca non lo ha confermato.
- Notifica e responsabilità privacyNon pertinenteLe fonti non riportano furti di dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe controparti potrebbero chiedere i costi dei ritardi nel regolamento: la responsabilità professionale finanziaria è di solito una polizza separata.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Polizze finanziarie. Per una banca molte voci rientrano nella polizza crime o di responsabilità professionale, non nella cyber.
- Mancato aggiornamento. Se l'accesso è passato da Citrix Bleed, una correzione disponibile da settimane e non installata può ridurre la copertura in alcune polizze.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Il danno per la banca è probabilmente contenuto, ma l'attacco a un nodo del regolamento ha toccato per giorni un mercato da cui dipendono molte istituzioni.
Segnale di cumulo per il portafoglio.
Cumulo sulle infrastrutture di mercato: un intermediario fermo ritarda il regolamento di molte controparti nello stesso momento.