ATTACCHI · ATTACCO DISTRUTTIVO, WIPER E OT
Viasat, febbraio 2022: i modem satellitari spenti all'inizio della guerra
Il 24 febbraio 2022, poche ore prima dell'invasione russa dell'Ucraina, attaccanti sono entrati nella rete di gestione di KA-SAT di Viasat e hanno reso inutilizzabili decine di migliaia di modem satellitari in Ucraina e in Europa. In Germania circa 5.800 turbine eoliche hanno perso il controllo remoto; a maggio UE, Regno Unito e Stati Uniti hanno attribuito l'attacco alla Russia.
- Vittima
- Viasat e i clienti di KA-SAT
- Settore
- Telecomunicazioni satellitari
- Paese
- Ucraina e altri paesi europei
- Data
- 24 febbraio 2022
- Categoria
- Attacco distruttivo, wiper e OT
- Causa
- Errore di configurazione
- Attore
- Legato a uno Stato (confermato). Russia, secondo UE, Regno Unito e Stati Uniti
- Scenari di danno
- Business interruption propria · Business interruption dipendente · Ripristino di dati e sistemi
Le cause in breve
- VPN configurata male. Gli attaccanti hanno sfruttato un apparato VPN configurato male per entrare nella rete di gestione (Viasat).
- Comandi distruttivi. Comandi inviati ai modem hanno sovrascritto dati chiave nella loro memoria, impedendo il ricollegamento (Viasat).
- Malware cancellatore. SentinelOne ha collegato l'attacco al wiper AcidRain (Cybersecurity Dive).
L'impatto
- Decine di migliaia di modem scollegati in circa 45 minuti, soprattutto in Ucraina (Viasat).
- Circa 5.800 turbine eoliche in Germania senza controllo remoto (TechCrunch).
- Quasi 30.000 modem sostitutivi spediti (Viasat).
- Nessun danno al satellite né alle stazioni a terra, secondo Viasat (Viasat).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)Di solito esclusaLe spese di indagine di Viasat ricadono nell'esclusione per guerra, trattandosi di un attacco legato a un conflitto armato.
- Ripristino di dati e sistemiDi solito esclusaLa sostituzione dei modem ricade nella stessa esclusione per guerra.
- Business interruption propriaDi solito esclusaIl fermo del servizio è escluso come atto di guerra.
- Business interruption dipendente (fornitore)Di solito esclusaPer i clienti, come i gestori delle turbine, il fermo da fornitore ricade nell'esclusione per guerra.
- EstorsioneNon pertinenteNon c'è stata una richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteNon risultano dati personali sottratti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Viasat dipendono dalla formulazione della clausola di guerra nella polizza professionale.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Guerra. È il caso tipico per cui il mercato ha introdotto le nuove clausole sulla guerra cibernetica: attacco di uno Stato, nel primo giorno di un conflitto armato.
- Infrastrutture. Molte polizze escludono il fermo di reti di telecomunicazione e satellitari.
- Effetti fisici. I danni agli impianti, come le turbine, vanno nella polizza danni, che ha le sue esclusioni per guerra.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un attacco di Stato che ha spento comunicazioni in più paesi e il controllo di migliaia di turbine.
Segnale di cumulo per il portafoglio.
Cumulo di guerra: lo stesso attacco ha colpito decine di migliaia di clienti di un fornitore in più paesi, nello stesso giorno.