ATTACCHI · FURTO DI DATI ED ESTORSIONE SENZA CIFRATURA
Medibank, ottobre 2022: la password del fornitore salvata nel browser di casa
Nell'ottobre 2022 gli attaccanti sono entrati nella VPN di Medibank, il maggiore assicuratore sanitario australiano, con le credenziali di un addetto di un fornitore rubate da un malware sul suo computer di casa. Hanno sottratto circa 520 GB e, dopo il rifiuto di pagare, hanno pubblicato dati di 9,7 milioni di persone, comprese diagnosi delicate.
- Vittima
- Medibank
- Settore
- Assicurazioni sanitarie
- Paese
- Australia
- Data
- 12 ottobre 2022
- Categoria
- Furto di dati ed estorsione senza cifratura
- Causa
- Credenziali rubate o MFA assente · Accesso tramite fornitore o terza parte
- Attore
- Criminale (confermato). Aleksandr Ermakov, sanzionato da Australia, Stati Uniti e Regno Unito, ritenuto legato a REvil
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione · Responsabilità verso terzi · Sanzioni e indagini
Le cause in breve
- Accesso iniziale. Un addetto dell'assistenza informatica di un fornitore usava sul computer di lavoro un profilo personale del browser, sincronizzato con il computer di casa; lì un infostealer ha rubato le password degli account amministrativi di Medibank (The Record).
- Controllo mancato. La VPN non richiedeva l'autenticazione a più fattori: bastavano nome utente e password (The Record).
- Allarmi. Secondo l'autorità australiana per la privacy, gli allarmi generati durante l'attacco non sono stati valutati né portati ai responsabili (The Record).
L'impatto
- Circa 520 GB di dati sottratti; dati di 9,7 milioni di clienti attuali ed ex clienti pubblicati, anche su malattie e disabilità (The Record).
- Medibank ha rifiutato di pagare il riscatto.
- L'autorità per la privacy (OAIC) ha avviato un'azione in tribunale per mancata adozione di misure ragionevoli (The Record).
- Nel 2024 Australia, Stati Uniti e Regno Unito hanno sanzionato il cittadino russo Aleksandr Ermakov per l'attacco (The Record).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e gestione della crisi rispondono.
- Ripristino di dati e sistemiNon pertinenteGli attaccanti hanno copiato i dati senza cifrare i sistemi.
- Business interruption propriaNon pertinenteL'attività assicurativa non si è fermata.
- Business interruption dipendente (fornitore)Non pertinenteL'accesso è passato da un fornitore, ma il fornitore non si è fermato.
- EstorsioneDipende dal wordingMedibank non ha pagato; un pagamento avrebbe richiesto il consenso dell'assicuratore e, oggi, la verifica delle sanzioni contro l'autore.
- Notifica e responsabilità privacyRisponde con limitiNotifiche e assistenza per 9,7 milioni di persone, con dati sanitari, superano i sottolimiti tipici.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiRisponde alle azioni collettive degli assicurati, nei limiti della polizza.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Dichiarazioni nel questionario. Secondo l'autorità Medibank conosceva carenze gravi della sua sicurezza prima dell'attacco: una dichiarazione inesatta sull'autenticazione a più fattori può portare a contestazioni.
- Sanzioni. Le sanzioni amministrative sono assicurabili solo dove la legge lo consente.
- Sanzioni internazionali. Dopo le misure contro Ermakov, un pagamento a lui collegato non sarebbe rimborsabile.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il numero di persone, la natura sanitaria dei dati e le azioni dell'autorità portano il costo ben oltre i limiti tipici, senza alcun fermo.
Nessun segnale di cumulo.