ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
Regione Lazio, agosto 2021: le prenotazioni dei vaccini bloccate
Nella notte tra il 31 luglio e il 1° agosto 2021 un ransomware ha cifrato i sistemi di LAZIOcrea, la società che gestisce l'informatica della Regione, bloccando il portale delle prenotazioni dei vaccini contro il Covid e molti servizi sanitari. Sono stati cifrati anche i backup; nel 2024 il Garante della privacy ha sanzionato LAZIOcrea, la Regione e la ASL Roma 3 per un totale di 401.000 euro.
- Vittima
- Regione Lazio e LAZIOcrea
- Settore
- Pubblica amministrazione e sanità
- Paese
- Italia
- Data
- 1 agosto 2021
- Categoria
- Ransomware con fermo operativo
- Causa
- Phishing
- Attore
- Criminale. Non identificato
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Sanzioni e indagini
Le cause in breve
- Phishing. Il ransomware è partito dal computer di un dipendente, raggiunto da una campagna di phishing (Diritto.it).
- Lavoro da remoto. L'account violato era di un dipendente in smart working (La Voce di New York).
- Sistemi non aggiornati. Il Garante ha contestato a LAZIOcrea di non aver aggiornato i sistemi né adottato misure di sicurezza adeguate (Diritto.it).
L'impatto
- Portale delle prenotazioni dei vaccini sospeso e vaccinazioni rallentate perché gestite a mano (AGI).
- Spenti circa 180 server; prenotazioni, referti e altri servizi sanitari fermi da alcune ore ad alcuni mesi (Diritto.it).
- Cifrati anche i backup, secondo l'assessore alla sanità (La Voce di New York).
- Nessuna richiesta di riscatto resa pubblica, secondo il presidente della Regione (La Voce di New York).
- Sanzioni del Garante: 271.000 euro a LAZIOcrea, 120.000 alla Regione e 10.000 alla ASL Roma 3 per la notifica tardiva (Diritto.it).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione ai cittadini sono il primo costo.
- Ripristino di dati e sistemiRispondeLa ricostruzione dei server e dei dati, con i backup cifrati, è il costo più alto.
- Business interruption propriaRisponde con limitiUn ente pubblico non perde fatturato: rispondono solo i costi aggiuntivi per tenere aperti i servizi, se la polizza li prevede.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi della Regione e della sua società informatica.
- EstorsioneNon pertinenteNon risulta pubblicamente una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeI sistemi trattavano dati sanitari di milioni di assistiti: notifiche e assistenza rientrano nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste di cittadini e strutture sanitarie sono possibili, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni del Garante. In Italia le sanzioni amministrative per violazione del GDPR di solito non sono assicurabili.
- Aggiornamenti. Il Garante ha contestato sistemi non aggiornati: alcune polizze riducono la copertura in questi casi.
- Backup. Molte polizze chiedono backup separati dalla rete: backup cifrati insieme ai sistemi possono essere contestati.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Servizi sanitari essenziali di una regione fermi per giorni, con backup persi e sanzioni.
Nessun segnale di cumulo.