ANALISI
Cleo, il secondo MOVEit: un software di trasferimento file e centinaia di violazioni
A dicembre 2024 due vulnerabilità nei prodotti di trasferimento file di Cleo sono state sfruttate in massa da Clop, con centinaia di vittime rivendicate e conferme come Hertz e Chicago Public Schools. L'analisi: furto di dati, patch insufficienti, cumulo e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di dicembre 2024 · di cybercoverinsurance
A dicembre 2024 due vulnerabilità nei prodotti di trasferimento file di Cleo sono state sfruttate in massa. Il gruppo Clop ha rivendicato gli attacchi, ha annunciato decine di vittime a fine mese e nei mesi successivi ne ha elencate centinaia. Tra le aziende che hanno poi confermato il furto di dati ci sono Hertz, con circa un milione di persone notificate, e le scuole pubbliche di Chicago, con circa 700.000.
Il caso ripete quasi alla lettera MOVEit, la campagna del 2023 dello stesso gruppo. Un solo software, presente in molte aziende senza essere centrale per nessuna, diventa la porta d'ingresso per un furto di dati su larga scala. Per chi assume il rischio cyber, Cleo è il secondo esempio di uno scenario di cumulo che ormai si ripete: tanti sinistri simili, nello stesso periodo, da un'unica causa tecnica.
Cosa si sa
Le vulnerabilità. La prima, CVE-2024-50623, riguarda Cleo Harmony, VLTrader e LexiCom. Era stata resa nota a ottobre 2024 e consente di caricare e scaricare file senza restrizioni. Il 13 dicembre la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate, segnalandone l'uso in attacchi ransomware. Huntress ha scoperto che la correzione di ottobre non bastava, e da lì è emersa una seconda falla, CVE-2024-55956, che permette a un utente non autenticato di eseguire comandi. Lo sfruttamento di entrambe è iniziato almeno dal 3 dicembre. Il 15 dicembre Shadowserver contava 930 server ancora vulnerabili, circa 720 negli Stati Uniti (Cybersecurity Dive).
La rivendicazione. Il 9 dicembre Huntress segnalava almeno 10 aziende con server Cleo compromessi. Clop ha poi dichiarato di essere dietro gli attacchi e di aver continuato a sfruttare il software anche dopo la correzione di ottobre. Il gruppo ha detto di non conoscere il numero esatto delle vittime, ma di parlarne come di «parecchie» (SC Media). A dicembre ha pubblicato in forma nascosta i nomi di 66 presunte vittime, poi resi visibili il 14 e 15 gennaio 2025. Circa il 20% delle vittime elencate appartiene a supply chain e logistica, contro il 2,8% del totale dei ransomware, e circa l'80% è nordamericano (ZeroFox).
Le conferme. Ad aprile 2025 Hertz ha comunicato che dati di clienti erano stati sottratti da chi aveva sfruttato le vulnerabilità di Cleo a ottobre e dicembre 2024. Tra i dati: nomi, contatti, date di nascita, carte di pagamento e patenti. Hertz ha dichiarato che non risultavano prove di un impatto sulla propria rete (ITPro). Hertz ha notificato 1.000.175 persone. Altre conferme collegate a Cleo: Chicago Public Schools (700.000 persone), Western Alliance Bank (22.000), Champion Home Builders e WK Kellogg. A quella data Clop aveva aggiunto oltre 350 vittime al proprio sito di pubblicazione dei dati (Comparitech).
Il precedente. La campagna MOVEit del 2023, sempre di Clop, ha colpito quasi 2.800 organizzazioni (SC Media).
Cosa non è noto. Il numero totale delle aziende i cui dati sono stati davvero sottratti, quante abbiano pagato e il costo complessivo della campagna non sono pubblici. Le rivendicazioni di Clop non sono tutte verificate.
Un software di contorno, un danno centrale
Il trasferimento file non è un sistema critico, ma tocca dati critici. Cleo, come MOVEit, serve a scambiare file con clienti, fornitori e partner. Non è il cuore dell'azienda e spesso non ha un responsabile di alto livello. Ma nei file che transitano ci sono anagrafiche, ordini, dati di pagamento e documenti dei dipendenti.
Il danno è il furto, non il fermo. Clop non ha bloccato i sistemi delle vittime. Ha copiato dati e chiesto un pagamento per non pubblicarli. Per la polizza, il sinistro tipico non è di business interruption, ma di violazione di dati: indagine forense, notifiche, assistenza alle persone, spese legali ed eventuali azioni di terzi.
Il dato non è dell'assicurato, ma ne risponde l'assicurato. Hertz ha dichiarato che la propria rete non era stata colpita. I dati sono stati sottratti da un sistema di trasferimento file. Per chi assume il rischio, il punto è che i dati personali sono dell'assicurato anche quando transitano su un software di terzi, e la responsabilità verso le persone resta sua.
Correzioni che non correggono
La patch di ottobre non bastava. CVE-2024-50623 era stata corretta a ottobre. Huntress ha dimostrato che la correzione era aggirabile, e lo sfruttamento è continuato fino a una seconda correzione a dicembre (Cybersecurity Dive). Un'azienda che aveva aggiornato subito poteva quindi essere comunque esposta.
Il questionario chiede se si aggiorna, non cosa resta esposto. Le domande sulla gestione delle patch misurano la disciplina. Non dicono quali applicazioni sono raggiungibili da internet. Per un software di trasferimento file, la domanda utile è se il server è pubblico, e se può non esserlo. Rapid7 ha raccomandato proprio di togliere i prodotti Cleo dall'accesso pubblico (SC Media).
Il tempo di esposizione conta più del tempo di patch. Tra il 3 e il 15 dicembre centinaia di server sono rimasti vulnerabili. Per chi assume il rischio, la data di inizio dello sfruttamento è quella che decide quali polizze sono coinvolte, e quale periodo di copertura risponde.
Cumulo: lo schema si ripete
Due campagne in meno di due anni dallo stesso gruppo. MOVEit nel 2023, Cleo nel 2024. Lo schema è lo stesso: una vulnerabilità sconosciuta in un software di trasferimento file, sfruttata su larga scala in pochi giorni, poi mesi di rivendicazioni e notifiche. Un evento così non è più un'eccezione, è uno scenario di danno da modellare.
La coda dei sinistri è lunga. Le vittime sono state rivelate per gradi: nomi nascosti a dicembre, nomi visibili a gennaio, dati pubblicati da gennaio, conferme ufficiali fino ad aprile 2025 e oltre. Un portafoglio colpito vede arrivare le denunce di sinistro per mesi, non tutte insieme. Una riserva calcolata a gennaio sarebbe incompleta.
Il cumulo si concentra per settore. Secondo ZeroFox, logistica e supply chain pesavano molto più del solito tra le vittime. Un software diffuso in un settore crea un cumulo settoriale: un assicuratore con molti operatori logistici in portafoglio era più esposto di uno diversificato.
Le clausole di evento singolo diventano decisive. Più sinistri dalla stessa vulnerabilità possono essere un unico evento ai fini della riassicurazione o delle aggregazioni di franchigia. Le wording che definiscono «evento» e «causa comune» determinano quanto pesa la campagna sul bilancio di un assicuratore.
Cosa portare nei rinnovi
Impatto per gli assicuratoriAlto
Un singolo software di trasferimento file ha prodotto centinaia di violazioni di dati in pochi mesi, ripetendo lo schema di MOVEit.
Sul lato portafoglio, il lavoro utile è sapere quanti assicurati usano lo stesso software di trasferimento file e quanti lo espongono su internet. Il dato si raccoglie con una domanda nel questionario o con una scansione esterna. Con MOVEit e Cleo alle spalle, uno scenario «MFT» con centinaia di sinistri di violazione dati nello stesso trimestre è una base ragionevole per testare limiti e riassicurazione.