ATTACCHI · FURTO DI DATI ED ESTORSIONE SENZA CIFRATURA
SIAE, ottobre 2021: i documenti degli artisti in vendita
A ottobre 2021 il gruppo Everest ha sottratto circa 28.000 documenti della Società italiana degli autori ed editori, soprattutto carte d'identità e pratiche di iscrizione degli artisti, e ha chiesto 3 milioni di euro in bitcoin. La SIAE ha rifiutato di pagare e ha denunciato alla Polizia postale e al Garante; i dati sono stati pubblicati e messi in vendita.
- Vittima
- SIAE e i suoi iscritti
- Settore
- Diritti d'autore
- Paese
- Italia
- Data
- 20 ottobre 2021
- Categoria
- Furto di dati ed estorsione senza cifratura
- Causa
- Non nota
- Attore
- Criminale (rivendicato). Everest, che ha rivendicato l'attacco
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione
Le cause in breve
- Accesso iniziale. Non noto: la SIAE non lo ha comunicato.
- Estorsione con dati. Everest ha sottratto i documenti e minacciato di pubblicarli (Cybersecurity360).
- Documenti conservati. Carte d'identità e pratiche degli iscritti erano conservate in forma digitale e raggiungibili (Cybersecurity360).
L'impatto
- Circa 28.000 documenti confermati dalla SIAE; il gruppo ne dichiarava 60 GB (Cybersecurity360; CorCom).
- Richiesta di 3 milioni di euro in bitcoin, rifiutata (Cybersecurity360).
- Dati messi in vendita a 500.000 dollari e richieste di 10.000 euro in bitcoin ai singoli artisti (Cybersecurity360).
- Almeno un tentativo di phishing contro un artista da parte di qualcuno che si spacciava per la SIAE (Cybersecurity360).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione agli iscritti rientrano nella risposta.
- Ripristino di dati e sistemiRisponde con limitiNon risulta una cifratura dei sistemi: il ripristino è limitato alla messa in sicurezza.
- Business interruption propriaNon pertinenteL'attività non si è fermata.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingLa SIAE non ha pagato: la garanzia risponde per le spese di gestione dell'estorsione, non per un riscatto.
- Notifica e responsabilità privacyRispondeDocumenti d'identità di migliaia di artisti: notifiche, assistenza e monitoraggio rientrano nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiGli artisti possono chiedere i danni per l'esposizione dei documenti, ma le fonti non riportano cause.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro dalla SIAE.
Esclusioni e limiti da controllare
- Sanzioni del Garante. In Italia le sanzioni amministrative di solito non sono assicurabili.
- Estorsioni ai singoli. Le richieste rivolte agli artisti sono danni loro, non della SIAE.
- Riscatto. Il pagamento a un gruppo sotto sanzioni sarebbe vietato e non coperto.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Nessun fermo, ma documenti d'identità di migliaia di persone pubblicati e usati per altre estorsioni.
Nessun segnale di cumulo.