ATTACCHI · ATTACCO DISTRUTTIVO, WIPER E OT
Industroyer2, aprile 2022: il blackout ucraino fermato in tempo
Per la sera dell'8 aprile 2022 il gruppo Sandworm aveva programmato lo spegnimento delle sottostazioni ad alta tensione di una società elettrica ucraina, con una nuova versione del malware Industroyer e programmi per cancellare i dati su Windows, Linux e Solaris. CERT-UA, con ESET e Microsoft, lo ha bloccato prima che entrasse in azione.
- Vittima
- Società energetica ucraina, non nominata
- Settore
- Energia elettrica
- Paese
- Ucraina
- Data
- 8 aprile 2022
- Categoria
- Attacco distruttivo, wiper e OT
- Causa
- Non nota
- Attore
- Legato a uno Stato (confermato). Sandworm (GRU), secondo ESET e CERT-UA
- Scenari di danno
- Ripristino di dati e sistemi
Le cause in breve
- Accesso da mesi. La prima compromissione è avvenuta non oltre febbraio 2022 (Help Net Security).
- Ingresso non noto. Non si sa come gli attaccanti siano entrati né come siano passati dalla rete informatica a quella industriale (Help Net Security).
- Diffusione interna. Il programma di cancellazione era distribuito tramite i criteri di gruppo di Windows (Help Net Security).
L'impatto
- Industroyer2 usava il protocollo IEC-104 per comandare i relè di protezione delle sottostazioni (Help Net Security).
- Programmi di cancellazione CaddyWiper, AwfulShred e SoloShred contro computer, server e postazioni di controllo (Help Net Security).
- Attacco fermato prima dell'esecuzione finale; Sandworm è parte del GRU secondo le fonti (Computer Weekly).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)Di solito esclusaUn attacco di un servizio militare in guerra rientra di norma nell'esclusione di guerra.
- Ripristino di dati e sistemiDi solito esclusaLa pulizia dei sistemi rientrerebbe nel ripristino, ma vale la stessa esclusione.
- Business interruption propriaNon pertinenteL'attacco è stato fermato prima del blackout.
- Business interruption dipendente (fornitore)Non pertinenteNessuna interruzione di corrente per i clienti.
- EstorsioneNon pertinenteNon c'era una richiesta di riscatto: era un sabotaggio.
- Notifica e responsabilità privacyNon pertinenteNon risultano dati personali coinvolti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliNon pertinenteSenza blackout non ci sono danni a terzi.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Guerra. Un attacco del GRU durante l'invasione dell'Ucraina rientra nelle esclusioni di guerra e di attacchi statali.
- Infrastrutture. Molte polizze escludono i danni da interruzione della rete elettrica.
- Danni fisici. Il danno agli impianti andrebbe nella polizza danni, non in quella cyber.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Nessun blackout, ma un tentativo di sabotaggio della rete elettrica in guerra.
Nessun segnale di cumulo.