ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Twilio, agosto 2022: un SMS ai dipendenti e i dati dei clienti
Ad agosto 2022 diversi dipendenti di Twilio, la piattaforma di comunicazioni via SMS e voce, hanno dato le proprie credenziali a una pagina di accesso falsa. Gli attaccanti hanno visto dati di 163 clienti, tra cui l'app Signal, e di 93 utenti di Authy. Era parte della campagna chiamata 0ktapus, che ha colpito oltre 130 organizzazioni.
- Vittima
- Twilio e i suoi clienti
- Settore
- Piattaforma di comunicazioni
- Paese
- Stati Uniti, con clienti in tutto il mondo
- Data
- 4 agosto 2022
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Phishing
- Attore
- Criminale (sospettato). 0ktapus, secondo Group-IB
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- SMS di phishing. I dipendenti hanno ricevuto SMS con link a pagine Okta false, che passavano credenziali e codici a due fattori agli attaccanti (SecurityWeek).
- Codici a due fattori intercettabili. I codici digitati sulla pagina falsa arrivavano in tempo reale agli attaccanti (SecurityWeek).
- Chiavi fisiche efficaci. Presso Cloudflare, colpita dalla stessa campagna, le chiavi fisiche di sicurezza hanno impedito l'accesso (SecurityWeek).
L'impatto
- Dati di 163 clienti di Twilio compromessi, ultimo accesso abusivo il 10 agosto (Cybersecurity Dive).
- 93 utenti di Authy con dispositivi aggiunti dagli attaccanti, poi rimossi da Twilio (Cybersecurity Dive).
- Numeri di telefono o codici di verifica di circa 1.900 utenti di Signal esposti (Cybersecurity Dive).
- Nella campagna 0ktapus quasi 10.000 credenziali rubate in 136 organizzazioni, 114 negli Stati Uniti (SecurityWeek).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e notifiche ai clienti rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa revoca delle credenziali e la rimozione dei dispositivi aggiunti rientrano nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Risponde con limitiPer i clienti, come Signal, il costo è soprattutto la gestione degli utenti esposti, non un fermo.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeRisponde per i dati dei clienti e degli utenti finali esposti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Twilio rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Responsabilità professionale. Le richieste dei clienti verso il fornitore vanno nella garanzia tecnologica.
- Errore umano. Alcune polizze chiedono formazione documentata contro il phishing come condizione.
- Cumulo. Una piattaforma usata per i codici di verifica espone molti servizi insieme.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Pochi clienti colpiti in numero, ma su un fornitore che consegna codici di verifica per molti servizi.
Segnale di cumulo per il portafoglio.
Cumulo su due livelli: una campagna su oltre 130 organizzazioni e, da Twilio, i clienti a valle come Signal.