ATTACCHI · FURTO DI DATI ED ESTORSIONE SENZA CIFRATURA
Nvidia, febbraio 2022: un riscatto chiesto in codice aperto
Il 23 febbraio 2022 Nvidia ha rilevato un incidente sui propri sistemi informatici. Il gruppo Lapsus$ ha rivendicato il furto di circa 1 TB di dati, ne ha pubblicato quasi 20 GB e ha chiesto all'azienda di rendere per sempre aperto il codice dei driver delle sue schede video. Nvidia ha confermato il furto di credenziali dei dipendenti e di informazioni riservate.
- Vittima
- Nvidia
- Settore
- Semiconduttori
- Paese
- Stati Uniti
- Data
- 23 febbraio 2022
- Categoria
- Furto di dati ed estorsione senza cifratura
- Causa
- Non nota
- Attore
- Criminale (rivendicato). Lapsus$, per sua rivendicazione
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione
Le cause in breve
- Causa non nota. Nvidia non ha detto come gli attaccanti siano entrati (BleepingComputer).
- Credenziali dei dipendenti. Tra i dati sottratti ci sono credenziali dei dipendenti, poi in parte diffuse (BleepingComputer).
L'impatto
- Circa 1 TB di dati rivendicati, archivio di quasi 20 GB pubblicato (BleepingComputer).
- Lapsus$ diceva di avere il codice della tecnologia che limita il mining sulle schede video (LHR) (ITPro).
- Richiesta di rendere aperto il codice dei driver per Windows, macOS e Linux, con la minaccia di pubblicare i file delle schede future (ITPro).
- Nessun ransomware installato e nessuna interruzione attesa per l'attività e i clienti, secondo Nvidia (BleepingComputer).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeEsperti di risposta agli incidenti, consulenza legale e denuncia alle autorità rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeIl rafforzamento della rete e il cambio delle credenziali rubate rientrano nel ripristino.
- Business interruption propriaNon pertinenteNvidia non prevedeva interruzioni dell'attività.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingLa richiesta non era in denaro: la garanzia copre di solito il pagamento di un riscatto e la gestione della trattativa, non una richiesta di questo tipo.
- Notifica e responsabilità privacyRisponde con limitiRisponde per le credenziali e i dati dei dipendenti, non per il valore dei segreti industriali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste di terzi dipendono da cosa contenevano i file pubblicati, che le fonti non descrivono nel dettaglio.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Proprietà intellettuale. Il valore del codice e dei progetti rubati non è un danno coperto nelle polizze standard.
- Richiesta non in denaro. La garanzia estorsione è scritta per i riscatti in denaro o criptovalute.
- Franchigia. Per un'azienda di queste dimensioni il costo della risposta può restare dentro la franchigia.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Pochi danni operativi, ma la fuga di codice riservato e di credenziali del maggior produttore di schede video.
Nessun segnale di cumulo.