ATTACCHI · SFRUTTAMENTO DI MASSA DI UNA VULNERABILITÀ
MOVEit, maggio 2023: una vulnerabilità nel software di trasferimento file e 2.773 vittime
Dal 27 maggio 2023 il gruppo Clop ha sfruttato una vulnerabilità non ancora nota del software MOVEit Transfer per copiare dati dai server esposti di migliaia di organizzazioni. Secondo Emsisoft le vittime sono 2.773, con dati di circa 96 milioni di persone.
- Vittima
- Organizzazioni che usavano MOVEit Transfer e i loro clienti
- Settore
- Più settori: istruzione, sanità, finanza
- Paese
- Internazionale, soprattutto Stati Uniti
- Data
- 27 maggio 2023
- Categoria
- Sfruttamento di massa di una vulnerabilità
- Causa
- Zero-day
- Attore
- Criminale (confermato). Clop (TA505), indicato da CISA e FBI
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione · Responsabilità verso terzi · Sanzioni e indagini
Le cause in breve
- Accesso iniziale. Una vulnerabilità di tipo SQL injection (CVE-2023-34362) nell'applicazione web di MOVEit Transfer, sfruttata prima che esistesse una correzione (CISA).
- Meccanismo. Gli attaccanti installavano una web shell chiamata LEMURLOOT e la usavano per copiare il contenuto dei database; nessuna cifratura, solo furto ed estorsione (CISA).
- Controllo mancato. Un software di trasferimento file esposto a internet, con dati sensibili conservati sul server più del necessario.
L'impatto
- 2.773 organizzazioni colpite e circa 95,8 milioni di persone, al 28 giugno 2024 (Emsisoft).
- Settori più colpiti: istruzione (39%), sanità (20%), finanza e servizi professionali (13%); il 79% delle vittime negli Stati Uniti (Emsisoft).
- Molte vittime sono state colpite tramite fornitori che usavano MOVEit per loro conto.
- Costo complessivo: non noto. La stima di Emsisoft di 15,8 miliardi di dollari applica un costo medio per record, non è una cifra misurata.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeOgni organizzazione colpita ha bisogno di indagine forense e consulenza legale per capire quali dati sono usciti.
- Ripristino di dati e sistemiRisponde con limitiIl ripristino si limita a pulire e aggiornare il server MOVEit: i sistemi non sono stati cifrati.
- Business interruption propriaNon pertinenteNon ci sono stati fermi: l'attacco ha copiato dati senza bloccare i sistemi.
- Business interruption dipendente (fornitore)Dipende dal wordingPer chi aveva affidato i dati a un fornitore che usava MOVEit, il danno è privacy e responsabilità, non fermo; la copertura dei dati custoditi da terzi dipende dal wording.
- EstorsioneDipende dal wordingClop ha chiesto pagamenti per non pubblicare i dati; ogni pagamento va consentito dall'assicuratore.
- Notifica e responsabilità privacyRispondeNotifiche e assistenza agli interessati sono il costo principale per ogni vittima.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle azioni collettive, numerose negli Stati Uniti, contro le vittime e i loro fornitori.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Evento sistemico. Molte polizze recenti hanno sottolimiti o esclusioni per un evento che colpisce molti assicurati con la stessa vulnerabilità.
- Dati presso terzi. Va verificato se la garanzia copre i dati dell'assicurato custoditi da un fornitore.
- Sanzioni. Le sanzioni delle autorità per la privacy sono assicurabili solo dove la legge lo consente.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il singolo sinistro è spesso medio, ma migliaia di vittime nello stesso momento fanno di MOVEit uno dei maggiori eventi di cumulo per gli assicuratori cyber.
Segnale di cumulo per il portafoglio.
Cumulo sui software esposti a internet: la stessa vulnerabilità colpisce tutti gli assicurati che usano il prodotto, direttamente o tramite i fornitori.