Snowflake, aprile 2024: credenziali rubate da anni e nessun secondo fattore

Dalla primavera 2024 un gruppo criminale è entrato negli ambienti cloud di circa 165 clienti di Snowflake usando credenziali rubate da infostealer, su account senza autenticazione a più fattori. Ha copiato dati di AT&T, Ticketmaster, Santander e altri e li ha usati per estorcere le vittime; AT&T avrebbe pagato circa 370.000 dollari.

Le cause in breve

Accesso iniziale. Credenziali dei clienti comprate su forum criminali o rubate da infostealer come Lumma e RedLine, alcune esposte dal 2020 (The Hacker News).
Controllo mancato. Secondo Mandiant le cause principali sono la mancanza dell'autenticazione a più fattori, credenziali mai cambiate e l'assenza di limiti sugli indirizzi di accesso (The Hacker News).
Piattaforma. Snowflake ha dichiarato di non aver trovato una vulnerabilità propria; dopo gli attacchi ha permesso agli amministratori di imporre l'autenticazione a più fattori (ITPro).

L'impatto

Fino a 165 clienti di Snowflake con dati esposti (The Hacker News).
AT&T: registri di chiamate e messaggi di quasi tutti i clienti mobili, oltre 100 milioni di persone, per maggio-ottobre 2022 e 2 gennaio 2023 (ITPro).
AT&T avrebbe pagato circa 370.000 dollari per la cancellazione dei dati (ITPro).
Il Dipartimento di Giustizia ha incriminato due persone per il furto di circa 50 miliardi di registrazioni di AT&T (TechCrunch).

Cosa avrebbe risposto una polizza cyber

Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.

Gestione dell'incidente (forensic, legale, comunicazione)RispondePer ogni cliente colpito rispondono indagine forense e consulenza legale per capire quali dati sono usciti.
Ripristino di dati e sistemiNon pertinenteGli attaccanti hanno copiato dati senza cifrare o distruggere sistemi.
Business interruption propriaNon pertinenteLe fonti non riportano fermi dell'attività delle vittime.
Business interruption dipendente (fornitore)Non pertinenteLa piattaforma Snowflake non si è fermata.
EstorsioneDipende dal wordingPagamenti come quello attribuito ad AT&T rientrano nella garanzia estorsione solo con il consenso dell'assicuratore.
Notifica e responsabilità privacyRisponde con limitiCon dati di decine o centinaia di milioni di persone, i costi di notifica e assistenza superano facilmente i sottolimiti.
Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle azioni collettive contro le vittime, numerose negli Stati Uniti.
Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.

Esclusioni e limiti da controllare

Dichiarazioni nel questionario. Il questionario chiede di solito l'autenticazione a più fattori sugli accessi al cloud: account senza possono portare a contestazioni.
Dati presso terzi. Va verificato che la garanzia copra i dati dell'assicurato ospitati su piattaforme cloud.
Evento sistemico. Lo stesso metodo ha colpito molti clienti della stessa piattaforma: alcune polizze prevedono sottolimiti per eventi diffusi.

La lettura per chi assume il rischio

Impatto per gli assicuratoriAlto

Nessuna vulnerabilità tecnica, ma lo stesso errore di configurazione in molti clienti di un'unica piattaforma ha prodotto decine di sinistri correlati e alcuni dei maggiori furti di dati noti.

Segnale di cumulo per il portafoglio.

Cumulo sulle piattaforme cloud: credenziali rubate e assenza di secondo fattore sono comuni a molti assicurati che usano lo stesso servizio.