Rackspace, dicembre 2022: il servizio di posta condiviso che non è mai ripartito

Il 2 dicembre 2022 il gruppo Play ha colpito con un ransomware il servizio Hosted Exchange di Rackspace, che gestiva la posta di quasi 30.000 clienti, soprattutto piccole e medie imprese. Gli attaccanti avevano aggirato le misure provvisorie su server Exchange non ancora aggiornati; Rackspace ha chiuso definitivamente il servizio.

Le cause in breve

Accesso iniziale. Una tecnica chiamata OWASSRF, che combina le vulnerabilità CVE-2022-41080 e CVE-2022-41082 attraverso Outlook Web Access (The Hacker News).
Controllo mancato. I server avevano le misure provvisorie contro ProxyNotShell ma non gli aggiornamenti di Microsoft di novembre 2022, che correggevano le vulnerabilità (The Hacker News).
Architettura. Un unico ambiente condiviso per tutti i clienti: un attacco ha fermato la posta di tutti.

L'impatto

Ambiente Hosted Exchange con quasi 30.000 clienti fuori uso; gli attaccanti hanno avuto accesso alle caselle di 27 clienti (The Hacker News).
Rackspace ha chiuso definitivamente il servizio e spostato i clienti su Microsoft 365 (Dark Reading).
Servizio fermo dal 2 dicembre; al 5 gennaio 2023 poco più della metà dei clienti colpiti aveva recuperato in tutto o in parte i propri dati (Dark Reading).
Costo per Rackspace e risarcimenti ai clienti: non noti dalle fonti citate.

Cosa avrebbe risposto una polizza cyber

Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.

Gestione dell'incidente (forensic, legale, comunicazione)RispondePer Rackspace e i clienti rispondono indagine forense, consulenza legale e comunicazione.
Ripristino di dati e sistemiRispondePer i clienti il ripristino è stato un trasloco della posta su un altro servizio, con dati recuperati solo in parte.
Business interruption propriaRispondePer Rackspace il fermo del servizio è un danno proprio, coperto dopo il periodo di attesa.
Business interruption dipendente (fornitore)Dipende dal wordingPer i clienti il fermo della posta di un fornitore informatico rientra nella garanzia di dipendenza, se acquistata, ma le piccole imprese spesso non l'avevano.
EstorsioneDipende dal wordingLe fonti non dicono se Rackspace abbia pagato: la garanzia interviene solo con il consenso dell'assicuratore.
Notifica e responsabilità privacyRisponde con limitiLe caselle di 27 clienti consultate attivano notifiche; per gli altri clienti non risultano accessi ai dati.
Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle richieste dei clienti contro Rackspace, nella responsabilità professionale tecnologica.
Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.

Esclusioni e limiti da controllare

Mancato aggiornamento. Una correzione disponibile da settimane e non installata può ridurre la copertura in alcune polizze.
Responsabilità professionale. Le richieste dei clienti verso Rackspace sono coperte dalla garanzia tecnologica, non dalla cyber base.
Limiti dei contratti. I contratti di servizio limitano spesso la responsabilità del fornitore ai canoni.

La lettura per chi assume il rischio

Impatto per gli assicuratoriAlto

Il servizio non è mai tornato: per molti clienti i dati sono tornati solo in parte, e per Rackspace la perdita di un'intera linea di ricavi.

Segnale di cumulo per il portafoglio.

Cumulo sui servizi cloud condivisi: un solo ambiente per tutti i clienti trasforma un attacco in migliaia di fermi insieme.