Kaseya, luglio 2021: il software di gestione remota che porta il ransomware ai clienti

Le cause in breve

• Accesso iniziale. Una vulnerabilità dei server VSA installati presso i clienti, non ancora corretta, ha permesso agli attaccanti di prenderne il controllo (The Record).
• Meccanismo. Dai server VSA il ransomware è stato spinto come un normale aggiornamento a tutte le postazioni gestite, presso i fornitori di servizi e i loro clienti.
• Controllo mancato. Server di gestione remota esposti a internet, con privilegi su migliaia di postazioni di aziende diverse.

L'impatto

• Meno di 60 clienti diretti di Kaseya colpiti, quasi tutti fornitori di servizi gestiti, e fino a 1.500 aziende loro clienti (The Record).
• REvil ha chiesto 70 milioni di dollari per una chiave universale (The Record); il 22 luglio Kaseya ha ottenuto la chiave da una terza parte, dicendo di non aver pagato (BleepingComputer).
• Coop Sweden ha chiuso circa 700 degli 800 negozi perché il fornitore delle casse, Visma Esscom, usava Kaseya; tutti i negozi hanno riaperto entro sei giorni (Truesec).
• Il Dipartimento di Giustizia ha arrestato e incriminato un cittadino ucraino per l'attacco (Dipartimento di Giustizia).

Cosa avrebbe risposto una polizza cyber

Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.

• Gestione dell'incidente (forensic, legale, comunicazione)RispondePer Kaseya, i fornitori di servizi e ogni azienda colpita rispondono indagine forense, assistenza legale e comunicazione.
• Ripristino di dati e sistemiRispondeLa pulizia e la reinstallazione delle postazioni cifrate rientrano nel ripristino di ciascuna azienda colpita.
• Business interruption propriaRispondePer le aziende cifrate il fermo è un danno proprio, coperto dopo il periodo di attesa: Coop è rimasta chiusa fino a sei giorni.
• Business interruption dipendente (fornitore)Risponde con limitiPer i clienti dei clienti, come chi dipendeva dalle casse di Coop, risponde solo la garanzia di dipendenza, spesso con sottolimiti bassi.
• EstorsioneDipende dal wordingREvil chiedeva riscatti a ogni vittima e 70 milioni per tutti; la chiave universale è arrivata senza pagamento, e ogni riscatto pagato va consentito dall'assicuratore.
• Notifica e responsabilità privacyNon pertinenteL'attacco puntava alla cifratura: le fonti non riportano furti rilevanti di dati personali.
• Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingKaseya e i fornitori di servizi rispondono alle richieste dei clienti nella responsabilità professionale tecnologica, se prevista dalla polizza.
• Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.

Esclusioni e limiti da controllare

• Responsabilità professionale. Per Kaseya e i fornitori di servizi la responsabilità verso i clienti è coperta solo dalla garanzia tecnologica o di errori professionali, non dalla cyber base.
• Limiti dei contratti. I contratti dei fornitori di software limitano spesso la responsabilità ai canoni annui: il recupero degli assicuratori verso Kaseya vale poco.
• Cumulo. Molte polizze prevedono un limite aggregato o clausole per eventi sistemici quando lo stesso evento colpisce molti assicurati.

La lettura per chi assume il rischio

Impatto per gli assicuratoriAlto

Il danno per singola azienda è stato contenuto, ma un solo software ha colpito centinaia di assicurati insieme in più paesi.

Segnale di cumulo per il portafoglio.

Cumulo sui fornitori di servizi gestiti: chi controlla da remoto i sistemi di molti clienti trasforma un attacco in centinaia di sinistri correlati.

Fonti

• The Record – oltre 1.500 aziende colpite
• BleepingComputer – Kaseya ottiene la chiave universale
• Truesec – il ritorno di Coop in sei giorni
• Dipartimento di Giustizia – arrestato e incriminato un ucraino