ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
SITA, febbraio 2021: un fornitore, dieci compagnie aeree
Il 24 febbraio 2021 SITA, il fornitore informatico di gran parte delle compagnie aeree, ha confermato un attacco al suo sistema di servizio passeggeri. Sono stati esposti i dati dei programmi fedeltà di oltre 2,1 milioni di viaggiatori di Lufthansa, Singapore Airlines, Finnair e altre compagnie; a maggio Air India ha comunicato che erano coinvolti 4,5 milioni dei suoi passeggeri.
- Vittima
- SITA e le compagnie aeree clienti
- Settore
- Trasporto aereo
- Paese
- Tutto il mondo
- Data
- 24 febbraio 2021
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Accesso tramite fornitore o terza parte
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Fornitore comune. Gli attaccanti sono entrati nei server del sistema di servizio passeggeri (PSS) di SITA, che gestisce prenotazioni e imbarchi (BleepingComputer).
- Dati condivisi. Per far funzionare le alleanze, le compagnie si scambiano i dati dei programmi fedeltà attraverso il sistema (BleepingComputer).
- Accesso iniziale. Non noto: SITA non ha detto come sono entrati.
L'impatto
- Oltre 2,1 milioni di viaggiatori: 1,35 milioni di Miles & More di Lufthansa, circa 580.000 di Singapore Airlines e 200.000 di Finnair (BleepingComputer).
- Numero della tessera fedeltà, livello e a volte il nome; nessuna password né e-mail (BleepingComputer).
- Per Air India 4,5 milioni di passeggeri dal 2011 al 2021, con dati di passaporto, biglietti e carte di credito (Insurance Journal).
- Costo per SITA e per le compagnie: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer SITA e per ogni compagnia rispondono l'indagine e la consulenza legale sugli obblighi di notifica in molti paesi.
- Ripristino di dati e sistemiRispondeLa messa in sicurezza dei server del sistema passeggeri rientra nel ripristino di SITA.
- Business interruption propriaNon pertinentePrenotazioni e imbarchi non si sono fermati.
- Business interruption dipendente (fornitore)Non pertinenteLe compagnie non hanno avuto fermi del servizio.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeLe notifiche ai passeggeri sono il costo principale, soprattutto per Air India con passaporti e carte di credito.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste delle compagnie verso SITA rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Fornitori. Per le compagnie, una violazione nei sistemi di SITA è coperta solo se la polizza include i dati affidati a terzi.
- Sanzioni. Le multe delle autorità per la protezione dei dati sono assicurabili solo dove la legge lo permette.
- Responsabilità professionale. Le richieste verso SITA vanno nella garanzia tecnologica.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Dati poco sensibili per la maggior parte delle compagnie, ma molto sensibili per Air India, e decine di vettori coinvolti.
Segnale di cumulo per il portafoglio.
Cumulo sul fornitore di settore: un solo sistema passeggeri serve molte compagnie aeree nel mondo.