ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
MGM Resorts, settembre 2023: una telefonata all'help desk ferma i casinò di Las Vegas
A settembre 2023 gli attaccanti si sono spacciati per un dipendente di MGM Resorts al telefono con l'help desk e hanno ottenuto un accesso; il ransomware di ALPHV ha poi fermato prenotazioni, chiavi delle camere e slot machine. MGM ha stimato circa 100 milioni di dollari di impatto e ha dichiarato di attendersi la copertura dalla polizza cyber.
- Vittima
- MGM Resorts
- Settore
- Casinò e alberghi
- Paese
- Stati Uniti
- Data
- 10 settembre 2023
- Categoria
- Ransomware con fermo operativo
- Causa
- Social engineering su help desk o dipendenti
- Attore
- Criminale (rivendicato). ALPHV (BlackCat) con Scattered Spider, che hanno rivendicato l'attacco
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Accesso iniziale. Secondo le ricostruzioni di stampa e la rivendicazione degli attaccanti, una telefonata all'help desk impersonando un dipendente trovato su LinkedIn (AGB).
- Controllo mancato. La verifica dell'identità di chi chiede all'help desk di reimpostare credenziali o fattori di autenticazione.
L'impatto
- Impatto di circa 100 milioni di dollari sull'EBITDAR rettificato e meno di 10 milioni di costi una tantum nel terzo trimestre (SEC, modulo 8-K).
- Occupazione degli alberghi a settembre all'88%, contro il 93% dell'anno prima (SEC).
- Dati personali di clienti con transazioni anteriori a marzo 2019, compresi numeri di patente e, per pochi, di previdenza sociale e passaporto (SEC).
- Riscatto: non è noto se sia stato pagato.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione rispondono; sono parte dei costi una tantum dichiarati.
- Ripristino di dati e sistemiRispondeLa ricostruzione dei sistemi cifrati rientra nel ripristino.
- Business interruption propriaRispondeIl fermo, concentrato a settembre con effetti anche a ottobre, supera il periodo di attesa; il direttore finanziario ha detto di attendersi la copertura completa dagli assicuratori cyber.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è dell'assicurato stesso, non di un suo fornitore.
- EstorsioneDipende dal wordingNon è noto se sia stato pagato un riscatto: la garanzia interviene solo con il consenso dell'assicuratore.
- Notifica e responsabilità privacyRispondeIl furto di dati dei clienti attiva notifiche e monitoraggio del credito.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle azioni collettive dei clienti per i dati sottratti.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Calcolo del danno da interruzione. Il recupero dipende da come la polizza misura il margine perso e da quanto dura il periodo di indennizzo dopo il riavvio.
- Dichiarazioni nel questionario. Una procedura dichiarata di verifica dell'identità all'help desk, non applicata, può portare a contestazioni.
La copertura reale
Il direttore finanziario di MGM ha detto di attendersi che tutti i costi dell'incidente siano coperti dagli assicuratori cyber, con la chiusura della richiesta per interruzione di attività nel 2024 (Hotel Dive).
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un danno vicino ai 100 milioni, quasi tutto da interruzione di attività, che secondo la società rientra nella polizza: un sinistro di questa taglia consuma la capacità di più assicuratori.
Nessun segnale di cumulo.