ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Consigli comunali di Londra, novembre 2025: tre enti, un'informatica condivisa
Il 24 novembre 2025 un attacco ha colpito i sistemi informatici condivisi da Kensington and Chelsea, Westminster e Hammersmith and Fulham. Dati sottratti, telefoni e servizi online fermi, e i sistemi di tributi e sussidi di Kensington and Chelsea fuori uso fino a giugno 2026.
- Vittima
- Royal Borough of Kensington and Chelsea, Westminster City Council, Hammersmith and Fulham Council
- Settore
- Pubblica amministrazione locale
- Paese
- Regno Unito
- Data
- 24 novembre 2025
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Phishing
- Attore
- Non identificato. Non identificato; le indagini di polizia sono ancora aperte
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy · Sanzioni e indagini
Le cause in breve
- Accesso iniziale. Un phishing andato a segno, che il revisore Grant Thornton descrive come «errore umano» (Local Government Lawyer).
- Estensione. I tre consigli condividono servizi informatici con accordi congiunti: un incidente sull'infrastruttura comune li ha colpiti tutti (The Register).
- Fattore aggravante. Secondo il revisore, alcuni sistemi funzionavano solo se collegati a internet: per fermare la copia dei dati il consiglio ha dovuto spegnerli.
L'impatto
- Dati copiati e portati via, non cifrati; il consiglio ha informato l'ICO e non li ha visti pubblicati finora (RBKC).
- Sistemi di tributi e sussidi di Kensington and Chelsea fuori uso da novembre 2025 a inizio giugno 2026; bollette della council tax 2026/27 in ritardo (RBKC).
- Arretrati in più servizi e incassi dai pagamenti dei residenti ridotti; servizi tutti ripristinati a ottobre 2026 (Local Government Lawyer).
- Costo dell'incidente e numero di residenti con dati sottratti: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenti di risposta (NCC Group) e comunicazione ai residenti sono il primo costo.
- Ripristino di dati e sistemiRispondeIl ripristino dei sistemi spenti e la ricostruzione rientrano nei costi di ripristino.
- Business interruption propriaRisponde con limitiPer un ente pubblico il danno è fatto di incassi mancati, arretrati e servizi sostitutivi; un recupero di quasi otto mesi supera il periodo di indennizzo tipico.
- Business interruption dipendente (fornitore)Dipende dal wordingPer i consigli che usano l'infrastruttura di un altro ente, dipende da come la polizza tratta un servizio condiviso: fornitore terzo o sistema proprio.
- EstorsioneNon pertinenteLe fonti non riportano una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeIl furto di dati dei residenti attiva i costi di notifica e assistenza.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde a eventuali richieste dei residenti per i dati sottratti.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Nessuna esclusione tipica sembra applicabile: nessuna attribuzione statale.
- Il punto è chi è l'assicurato: con sistemi condivisi, gli accordi tra enti devono dire chi li gestisce, chi ne risponde e quale polizza paga.
- Sistemi obsoleti. Alcune polizze escludono o limitano i danni legati a sistemi non più supportati.
La copertura reale
Non è pubblico se i tre consigli avessero una copertura cyber.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Un phishing su un'infrastruttura condivisa ha fermato servizi di tre enti, con un recupero di quasi otto mesi per i tributi e i sussidi.
Segnale di cumulo per il portafoglio.
Cumulo da servizi condivisi: tre enti che condividono l'informatica non sono tre rischi indipendenti, e lo stesso vale per gruppi, consorzi e reti di imprese.