ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Kronos, dicembre 2021: il cloud delle buste paga fermo per settimane
L'11 dicembre 2021 un ransomware ha messo fuori uso il cloud privato di Kronos, il sistema di presenze e buste paga di UKG usato da grandi aziende, ospedali e amministrazioni. Per settimane i clienti hanno calcolato orari e stipendi a mano; UKG ha poi chiuso le cause dei dipendenti con un accordo fino a 6 milioni di dollari.
- Vittima
- UKG e i clienti di Kronos Private Cloud
- Settore
- Software per la gestione del personale
- Paese
- Stati Uniti e altri paesi
- Data
- 11 dicembre 2021
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Non nota
- Attore
- Criminale. Non identificato
- Scenari di danno
- Business interruption dipendente · Responsabilità verso terzi · Ripristino di dati e sistemi · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Non noto: UKG non ha comunicato come sono entrati gli attaccanti.
- Estensione. Il ransomware ha colpito il Kronos Private Cloud, che ospitava Healthcare Extensions, UKG TeleStaff e Banking Scheduling Solutions; gli altri prodotti UKG non sono stati toccati (Malwarebytes).
- Controllo mancato. Un piano di continuità per i clienti: molti non avevano un modo alternativo per calcolare le paghe.
L'impatto
- Servizio fuori uso per diverse settimane, secondo UKG (Malwarebytes); per i 16.000 dipendenti di UMass Memorial Health almeno un mese (Cybersecurity Dive).
- Colpiti clienti come Tesla, PepsiCo, Whole Foods e l'ente dei trasporti di New York, con stipendi in ritardo o sbagliati (Cybersecurity Dive).
- Dati di dipendenti dei clienti sottratti nell'attacco (Cybersecurity Dive).
- Accordo fino a 6 milioni di dollari per le cause collettive, più circa 1,5 milioni in sicurezza (Cybersecurity Dive).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer UKG e per ogni cliente rispondono indagine forense, consulenza legale e comunicazione ai dipendenti.
- Ripristino di dati e sistemiRispondeLa ricostruzione del cloud privato rientra nel ripristino di UKG.
- Business interruption propriaRispondePer UKG il fermo del servizio è un danno proprio, coperto dopo il periodo di attesa.
- Business interruption dipendente (fornitore)Dipende dal wordingPer i clienti il danno è soprattutto costo del lavoro manuale e degli errori di paga, non fatturato perso: la garanzia di dipendenza risponde solo se copre i costi aggiuntivi.
- EstorsioneDipende dal wordingLe fonti non dicono se UKG abbia pagato: la garanzia interviene solo con il consenso dell'assicuratore.
- Notifica e responsabilità privacyRispondeIl furto di dati di dipendenti dei clienti attiva notifiche e assistenza.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle cause collettive dei dipendenti e alle richieste dei clienti, nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Responsabilità professionale. Le richieste dei clienti verso UKG rientrano nella garanzia tecnologica, non nella cyber base.
- Leggi sul lavoro. Le penali per stipendi pagati in ritardo restano a carico dei datori di lavoro e spesso non sono assicurabili.
- Cumulo. Un solo fornitore di paghe fermo produce sinistri in molti portafogli.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un costo diretto contenuto per UKG, ma settimane di lavoro manuale presso migliaia di clienti insieme.
Segnale di cumulo per il portafoglio.
Cumulo sui fornitori in cloud: un servizio di paghe usato da molte aziende ferma tutte le loro buste paga nello stesso momento.