ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Verkada, marzo 2021: 150.000 telecamere viste da estranei
A marzo 2021 un gruppo di attivisti è entrato con credenziali valide di un super amministratore nel cloud di Verkada, fornitore di videosorveglianza. Ha visto le immagini dal vivo di circa 150.000 telecamere in ospedali, scuole, carceri, stazioni di polizia e aziende come Tesla e Cloudflare.
- Vittima
- Verkada e i suoi clienti
- Settore
- Videosorveglianza in cloud
- Paese
- Stati Uniti, con clienti in più paesi
- Data
- 8 marzo 2021
- Categoria
- Violazione di dati personali
- Causa
- Errore di configurazione
- Attore
- Hacktivista (rivendicato). APT-69420 Arson Cats, gruppo di attivisti che ha rivendicato l'accesso
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Credenziali esposte. I dati di un account super amministratore erano facilmente reperibili, secondo un analista (Security Magazine).
- Nessuna vulnerabilità. Gli attaccanti hanno usato credenziali valide su un server cloud, senza sfruttare difetti del software (Security Magazine).
- Accesso troppo ampio. Un account di super amministratore dava accesso alle telecamere di molti clienti insieme.
L'impatto
- Immagini dal vivo di circa 150.000 telecamere (Security Magazine).
- Esposti clienti come Tesla e Cloudflare, cliniche, ospedali psichiatrici, carceri e scuole (Security Magazine).
- Verkada ha disattivato tutti gli account amministrativi interni e avvisato le autorità (Security Magazine).
- Costo per Verkada: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione ai clienti rientrano nella risposta.
- Ripristino di dati e sistemiRispondeLa revisione degli accessi amministrativi rientra nella messa in sicurezza dei sistemi.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Non pertinenteI clienti non hanno avuto fermi.
- EstorsioneNon pertinenteNon c'è stata una richiesta di riscatto: lo scopo dichiarato era dimostrativo.
- Notifica e responsabilità privacyRispondeLe immagini di pazienti, detenuti e dipendenti sono dati personali: le notifiche rientrano nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Verkada rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Responsabilità professionale. Le richieste dei clienti verso il fornitore vanno nella garanzia tecnologica.
- Sanzioni. Le multe delle autorità per la riservatezza sono assicurabili solo dove la legge lo permette.
- Danno di reputazione. La perdita di clienti dopo l'incidente non è coperta nelle polizze standard.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Nessun fermo, ma immagini private di molti clienti viste da estranei in un solo accesso.
Segnale di cumulo per il portafoglio.
Cumulo sul fornitore in cloud: un solo accesso amministrativo raggiungeva le telecamere di molti clienti.