ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Robinhood, novembre 2021: una telefonata all'assistenza, 7 milioni di clienti
La sera del 3 novembre 2021 un attaccante ha convinto al telefono un dipendente dell'assistenza clienti di Robinhood e ha avuto accesso ad alcuni sistemi di supporto. Ha preso gli indirizzi e-mail di circa 5 milioni di clienti e i nomi di altri 2 milioni, poi ha chiesto un pagamento per non diffonderli.
- Vittima
- Robinhood e i suoi clienti
- Settore
- Trading online
- Paese
- Stati Uniti
- Data
- 3 novembre 2021
- Categoria
- Violazione di dati personali
- Causa
- Social engineering su help desk o dipendenti
- Attore
- Criminale. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione
Le cause in breve
- Ingegneria sociale. Un dipendente dell'assistenza è stato ingannato al telefono (Fortune).
- Accessi dell'assistenza. Il dipendente poteva consultare dati di milioni di clienti dai sistemi di supporto (Fortune).
- Controllo mancato. Non noto se esistessero limiti al volume di dati consultabili da un singolo operatore.
L'impatto
- Circa 5 milioni di indirizzi e-mail e 2 milioni di nomi completi (Fortune).
- Circa 310 clienti con nome, data di nascita e codice postale, e circa 10 con dati più estesi (Fortune).
- Nessun numero di previdenza sociale, conto bancario o carta di debito esposto, e nessuna perdita economica per i clienti (Fortune).
- Richiesta di estorsione, segnalata alle forze dell'ordine (Fortune).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense con Mandiant, consulenza legale e comunicazione rientrano nella risposta.
- Ripristino di dati e sistemiRispondeLa messa in sicurezza dei sistemi di supporto rientra nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingLe fonti non dicono se sia stato pagato: la garanzia interviene solo con il consenso dell'assicuratore.
- Notifica e responsabilità privacyRispondeLe notifiche a circa 7 milioni di persone rientrano in pieno nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste dei clienti sono possibili, ma limitate da dati poco sensibili per la maggior parte.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Ingegneria sociale. Alcune polizze limitano i sinistri nati da un dipendente ingannato, se mancano procedure di verifica.
- Sanzioni. Le multe delle autorità finanziarie sono assicurabili solo dove la legge lo permette.
- Danno di reputazione. Il calo del titolo non è coperto nella polizza cyber.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Dati per lo più poco sensibili, ma milioni di clienti esposti con una semplice telefonata.
Nessun segnale di cumulo.