ATTACCHI · VIOLAZIONE DI DATI PERSONALI
T-Mobile, agosto 2021: 76 milioni di clienti e 350 milioni di accordo
Ad agosto 2021 un attaccante ha sottratto i dati di circa 76 milioni di clienti attuali, passati e potenziali di T-Mobile US, con numeri di previdenza sociale e di patente. Nel 2022 l'operatore ha accettato di pagare 350 milioni di dollari per chiudere le cause collettive e di spendere altri 150 milioni in sicurezza.
- Vittima
- T-Mobile US
- Settore
- Telecomunicazioni
- Paese
- Stati Uniti
- Data
- agosto 2021
- Categoria
- Violazione di dati personali
- Causa
- Non nota
- Attore
- Criminale. Criminali informatici, non identificati dalle fonti
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Accesso iniziale. Non noto dalle fonti citate.
- Dati di ex clienti e potenziali. L'operatore conservava i dati anche di chi non era più o non era mai diventato cliente (The Register).
- Precedenti. Era la quinta violazione ammessa da T-Mobile in quattro anni (The Register).
L'impatto
- Nomi, indirizzi, numeri di previdenza sociale e dati delle patenti di circa 76,6 milioni di residenti statunitensi (The Register).
- 30 milioni di record messi in vendita su un forum per sei bitcoin, il resto venduto privatamente (The Register).
- Accordo da 350 milioni di dollari per le cause collettive e 150 milioni in sicurezza nel 2022 e 2023 (Engadget; The Register).
- Onere previsto di circa 400 milioni di dollari prima delle imposte nel secondo trimestre 2022 (The Register).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa messa in sicurezza dei sistemi violati rientra nel ripristino.
- Business interruption propriaNon pertinenteIl servizio telefonico non si è fermato.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto all'operatore.
- Notifica e responsabilità privacyRispondeNotifiche e monitoraggio del credito per decine di milioni di persone rientrano in pieno nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeL'accordo sulle cause collettive è il caso tipico della garanzia di responsabilità, nei limiti del massimale.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro dall'operatore.
Esclusioni e limiti da controllare
- Massimale. Un accordo da 350 milioni supera di molto i massimali tipici: gran parte del costo resta all'assicurato.
- Spese di sicurezza. I 150 milioni promessi in sicurezza sono investimenti, non un sinistro.
- Sanzioni. Le multe delle autorità sono assicurabili solo dove la legge lo permette.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Una delle violazioni più costose per cause collettive, con dati molto sensibili di decine di milioni di persone.
Nessun segnale di cumulo.