ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Croce Rossa, novembre 2021: i dati dei dispersi nelle mani di ignoti
Il 9 novembre 2021 attaccanti sono entrati nei server del CICR che ospitano il servizio per ritrovare i familiari dispersi, sfruttando una vulnerabilità non corretta di un software Zoho. Sono rimasti circa 70 giorni e hanno avuto accesso ai dati di oltre 515.000 persone vulnerabili; non c'è stata nessuna richiesta di riscatto.
- Vittima
- Comitato internazionale della Croce Rossa
- Settore
- Organizzazione umanitaria
- Paese
- Svizzera, con persone di tutto il mondo
- Data
- 9 novembre 2021
- Categoria
- Violazione di dati personali
- Causa
- Vulnerabilità nota non corretta
- Attore
- Legato a uno Stato (sospettato). Non attribuito dal CICR; TechCrunch lo ritiene probabilmente opera di hacker statali
- Scenari di danno
- Notifica e responsabilità privacy
Le cause in breve
- Vulnerabilità non corretta. CVE-2021-40539 in un modulo di autenticazione Zoho, una falla critica già nota (CICR).
- Movimento nella rete. Con web shell e strumenti di attacco gli intrusi si sono fatti passare per utenti e amministratori legittimi (CICR).
- Rilevamento lento. L'anomalia è stata notata dopo circa 70 giorni; l'accesso è stato confermato il 18 gennaio 2022 (CICR).
L'impatto
- Nomi, luoghi e contatti di oltre 515.000 persone: dispersi e loro familiari, detenuti, persone assistite dopo guerre, disastri e migrazioni (CICR).
- Il CICR presume che i dati siano stati copiati; non risultano pubblicati né venduti (CICR).
- Server compromessi spenti e servizio ricostruito con autenticazione a due fattori e nuovi controlli (CICR).
- Nessuna richiesta di riscatto e nessun contatto con gli attaccanti (TechCrunch).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione alle persone coinvolte sono le spese principali.
- Ripristino di dati e sistemiRispondeLa ricostruzione dei server e del servizio rientra nel ripristino.
- Business interruption propriaRisponde con limitiIl servizio è stato sospeso, ma per un'organizzazione umanitaria non c'è fatturato perso: rispondono solo i costi aggiuntivi, se coperti.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato, non su un fornitore.
- EstorsioneNon pertinenteNon c'è stata nessuna richiesta di riscatto.
- Notifica e responsabilità privacyRispondeLa notifica a persone sparse nel mondo, anche con telefonate, lettere e visite, è il costo tipico di questa garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste delle persone coinvolte sono possibili, ma le fonti non ne riportano; il CICR gode inoltre di immunità in molti paesi.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Atti di Stato. Se l'attacco fosse attribuito a uno Stato, la clausola sugli attacchi statali potrebbe limitare il sinistro.
- Aggiornamenti. La falla era già nota e non corretta: alcune polizze riducono la copertura in questi casi.
- Danno alle persone. Il rischio per la sicurezza fisica delle persone coinvolte non è un danno coperto dalla polizza cyber.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Costo assicurabile contenuto, ma dati molto sensibili di persone vulnerabili in tutto il mondo.
Nessun segnale di cumulo.