ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Transport for London, agosto 2024: 148 sistemi fermi e 27.000 password da rifare
Tra il 31 agosto e il 3 settembre 2024 due membri di Scattered Spider sono entrati nella rete di Transport for London. Treni e autobus hanno funzionato, ma 148 sistemi interni sono diventati inutilizzabili e TfL ha indicato 29 milioni di sterline di perdite e costi.
- Vittima
- Transport for London (TfL)
- Settore
- Trasporto pubblico, ente pubblico
- Paese
- Regno Unito
- Data
- 31 agosto 2024
- Categoria
- Violazione di dati personali
- Causa
- Non nota
- Attore
- Criminale (confermato). Thalha Jubair e Owen Flowers, indicati dalla National Crime Agency come membri di Scattered Spider, condannati il 16 luglio 2026
- Scenari di danno
- Ripristino di dati e sistemi · Notifica e responsabilità privacy · Business interruption propria
Le cause in breve
- Accesso iniziale. Non è noto: né la National Crime Agency né la procura hanno indicato come gli attaccanti siano entrati (NCA).
- Estensione. Accesso ai sistemi di autenticazione: per il ripristino 27.000 dipendenti hanno dovuto reimpostare la password di persona.
- Contenimento. TfL ha spento parte della propria rete (CPS).
L'impatto
- 148 sistemi resi inutilizzabili, alcuni sostituiti per settimane da procedure manuali (NCA).
- Servizi ai cittadini fermi per mesi: Dial-a-Ride, tessere agevolate, rimborsi Oyster, tessere con foto per ragazzi (CPS).
- Dati: all'inizio circa 5.000 clienti con dati bancari (The Register); a marzo 2026 la BBC ha stimato circa 10 milioni di persone, e TfL ha scritto a circa 7,1 milioni (Tech Digest).
- Perdite e costi di ripristino indicati da TfL: 29 milioni di sterline.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, assistenza legale e comunicazione rispondono.
- Ripristino di dati e sistemiRisponde con limitiIl ripristino dei sistemi risponde; il tempo del personale per rifare le identità e le migliorie successive sono spesso fuori o entro sottolimiti.
- Business interruption propriaRisponde con limitiUn ente pubblico non perde fatturato ma servizi: rispondono soprattutto i costi straordinari, entro sottolimiti.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è dell'assicurato stesso, non di un suo fornitore.
- EstorsioneNon pertinenteLe fonti non riportano richieste di riscatto.
- Notifica e responsabilità privacyRispondeLe comunicazioni a circa 7,1 milioni di clienti attivano costi di notifica e assistenza.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde a eventuali azioni dei clienti; l'ICO ha chiuso il caso senza provvedimenti formali, secondo Tech Digest.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Migliorie. Un'autenticazione più robusta adottata dopo l'attacco è spesso esclusa come miglioria.
- Rinvio dei progetti. Il ritardo nell'estensione del contactless raramente rientra in una garanzia di interruzione.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un ente con milioni di clienti registrati e decine di migliaia di dipendenti somma costi di ripristino, notifiche e servizi manuali, anche senza perdita di fatturato.
Segnale di cumulo per il portafoglio.
Cumulo per attore: nello stesso periodo uno degli autori attaccava due gruppi sanitari statunitensi, SSM Health e Sutter Health (CPS).