Cyber insurance: gli eventi di dicembre 2024

Il Tesoro statunitense violato tramite la chiave di BeyondTrust, RIBridges e Deloitte, le estensioni Chrome di Cyberhaven, Electrica e Japan Airlines: i cinque eventi cyber di dicembre 2024 letti da chi assume il rischio. Con l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di dicembre 2024

Dicembre 2024 è il mese dei fornitori con le chiavi di casa. Un attore legato allo Stato cinese entra nel Dipartimento del Tesoro statunitense usando la chiave del servizio di assistenza remota di un fornitore. Il sistema che gestisce i sussidi pubblici del Rhode Island, amministrato da una grande società di consulenza, viene colpito da ransomware. Un'estensione per browser di una società di sicurezza viene modificata alla vigilia di Natale e distribuita automaticamente agli utenti. Intanto un distributore di energia rumeno, una compagnia aerea giapponese e una catena di ciambelle statunitense mostrano tre forme diverse di interruzione. Per chi assume il rischio cyber, il mese ricorda che l'accesso privilegiato dei fornitori è parte del perimetro dell'assicurato.

In sintesi

Tesoro statunitense e BeyondTrust: l'8 dicembre il fornitore avvisa che è stata sottratta la chiave usata per l'assistenza remota; attaccanti legati alla Cina accedono a postazioni e documenti non classificati.
RIBridges e Deloitte: il sistema dei sussidi del Rhode Island viene violato dal gruppo Brain Cipher; nel 2025 i dati compromessi risulteranno di 644.401 persone e lo Stato otterrà 12 milioni di dollari da Deloitte.
Cyberhaven e le estensioni Chrome: un phishing sullo sviluppatore porta alla pubblicazione di una versione malevola il 25 dicembre; colpite almeno 36 estensioni con 2,6 milioni di utenti complessivi.
Electrica: ransomware Lynx contro uno dei maggiori fornitori di elettricità della Romania, con circa 3,8 milioni di utenti; sistemi di rete isolati e non colpiti.
Japan Airlines: il 26 dicembre un attacco DDoS ritarda 24 voli nazionali e sospende la vendita di biglietti per la giornata.

Gli attacchi del mese

1. Tesoro statunitense: la chiave del fornitore

Il 30 dicembre 2024 il Dipartimento del Tesoro degli Stati Uniti ha comunicato al Congresso un «grave incidente di cybersicurezza». L'8 dicembre BeyondTrust, fornitore di strumenti per l'accesso remoto e la gestione delle identità, aveva avvisato il Tesoro che gli attaccanti avevano ottenuto una chiave usata dal fornitore per l'assistenza tecnica remota ai dipendenti. Con quella chiave gli intrusi hanno avuto accesso a diverse postazioni di lavoro e ad alcuni documenti non classificati. Il Tesoro ha attribuito l'intrusione a un gruppo sponsorizzato dallo Stato cinese, senza indicarne il nome, e ha dichiarato di non avere prove di accessi ancora in corso; l'ambasciata cinese ha respinto l'attribuzione (TechCrunch).

2. RIBridges: il sistema dei sussidi e il conto finale

Il 5 dicembre 2024 è stato scoperto un incidente su RIBridges, il sistema che gestisce le domande per Medicaid, i buoni alimentari e altri programmi di assistenza del Rhode Island, amministrato da Deloitte. Il 13 dicembre Deloitte ha informato lo Stato di una «grave minaccia alla sicurezza»: il gruppo ransomware Brain Cipher aveva con ogni probabilità sottratto file con nomi, indirizzi, date di nascita, numeri di previdenza sociale e alcune coordinate bancarie. Il sistema è stato messo offline e i cittadini non potevano accedere ai propri conti (BleepingComputer).

Gli sviluppi successivi danno una misura completa del sinistro. I dati compromessi sono risultati di 644.401 persone. Lo Stato ha ottenuto da Deloitte 12 milioni di dollari in tutto, 5 nel 2025 e 7 con l'accordo firmato il 15 aprile 2026, oltre a circa 6 milioni di servizi gratuiti. Una causa collettiva separata si è chiusa con 6,3 milioni di dollari, approvati da un tribunale federale nel gennaio 2026 (Paubox).

3. Cyberhaven: l'estensione aggiornata a Natale

Un dipendente di Cyberhaven, società che vende strumenti contro la fuga di dati, è caduto in una campagna di phishing. Gli attaccanti hanno usato un flusso di autorizzazione Google legittimo per far approvare un'applicazione OAuth malevola, senza che scattasse l'autenticazione a più fattori, e hanno pubblicato una versione modificata dell'estensione Chrome. La versione 24.10.4 è rimasta attiva dall'1:32 UTC del 25 dicembre alle 2:50 UTC del 26 dicembre e conteneva codice per rubare dati, in particolare le credenziali degli account Facebook aziendali. I ricercatori hanno poi trovato almeno 36 estensioni compromesse con lo stesso metodo, con 2,6 milioni di utenti complessivi; quella di Cyberhaven ne aveva circa 400.000 (GovInfoSecurity).

4. Electrica: ransomware nel settore elettrico

Il 9 dicembre 2024 Electrica Group, uno dei maggiori fornitori di elettricità della Romania con circa 3,8 milioni di utenti in Muntenia e Transilvania, ha comunicato agli investitori un attacco ransomware in corso. L'agenzia nazionale per la cybersicurezza (DNSC) lo ha attribuito al gruppo Lynx e ha sconsigliato il pagamento del riscatto. Secondo la DNSC e il ministro dell'Energia, i sistemi critici di fornitura e quelli SCADA erano isolati e non sono stati colpiti (BleepingComputer).

5. Japan Airlines: il DDoS di Santo Stefano

Il 26 dicembre 2024, nel pieno delle partenze per le feste di fine anno, Japan Airlines ha subito un attacco DDoS che ha messo in difficoltà i sistemi interni ed esterni. Un router disattivato ha causato i malfunzionamenti; 24 voli nazionali hanno avuto ritardi superiori a 30 minuti e la vendita dei biglietti per i voli del giorno è stata sospesa. I sistemi sono poi tornati pienamente operativi (Security Affairs).

Altri eventi da segnalare

Texas Tech University Health Sciences Center (sanità): notificati 1.465.000 pazienti per un accesso dal 17 al 29 settembre 2024, con dati clinici, assicurativi e finanziari; Interlock ha rivendicato l'attacco e pubblicato 2,6 TB di file.
Krispy Kreme (ristorazione): attività non autorizzata rilevata il 29 novembre, ordini online interrotti in parte degli Stati Uniti; la società prevede costi rilevanti e dichiara una polizza cyber che ne coprirà una parte.
Registri pubblici dell'Ucraina (pubblica amministrazione): il 19 dicembre un attacco attribuito dai servizi ucraini all'intelligence militare russa ferma i registri del ministero della Giustizia, tornati pienamente operativi il 20 gennaio 2025 senza fughe di dati.

Impatto assicurativo

Tesoro e BeyondTrust. Coperture potenzialmente attivate: lato fornitore, responsabilità verso i clienti e gestione dell'incidente. Potenziale di cumulo: alto, perché la stessa chiave di assistenza remota serve molti clienti. Nodo contrattuale: l'attribuzione a uno Stato e le esclusioni per operazioni statali, oltre alla responsabilità del fornitore verso il cliente.
RIBridges e Deloitte. Coperture potenzialmente attivate: responsabilità professionale e cyber del fornitore, notifica, cause collettive. Potenziale di cumulo: medio. Nodo contrattuale: la ripartizione tra polizza professionale e polizza cyber del fornitore quando il danno è un'intrusione nei sistemi gestiti per un cliente.
Cyberhaven. Coperture potenzialmente attivate: responsabilità verso gli utenti, gestione dell'incidente. Potenziale di cumulo: alto, per gli aggiornamenti automatici delle estensioni presso migliaia di aziende. Nodo contrattuale: chi risponde dei danni agli utenti, l'autore dell'estensione o l'azienda che l'ha installata.
Electrica. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione. Potenziale di cumulo: basso. Nodo contrattuale: la separazione dei sistemi di rete, decisiva per escludere danni fisici e interruzioni di fornitura.
Japan Airlines. Coperture potenzialmente attivate: interruzione di attività da DDoS. Potenziale di cumulo: basso. Nodo contrattuale: le franchigie temporali, spesso superiori alla durata di un DDoS di poche ore.

L'accesso del fornitore è un accesso dell'assicurato. BeyondTrust, Deloitte e le estensioni Chrome mostrano strumenti e servizi di terzi con privilegi elevati nei sistemi dei clienti. Contano l'inventario di questi accessi e i contratti che li regolano.

Il conto arriva dopo anni. Il caso RIBridges si chiude nel 2026 con 12 milioni di dollari per lo Stato e 6,3 milioni per la causa collettiva. È un riferimento utile per stimare il costo di una violazione presso un fornitore pubblico.

L'interruzione breve resta sotto franchigia. Il DDoS a Japan Airlines e le interruzioni di Krispy Kreme mostrano danni reali ma brevi o parziali: la franchigia temporale decide se la polizza interviene.

Cosa portare nei rinnovi

Quali fornitori hanno accesso remoto privilegiato ai sistemi dell'assicurato, e con quali chiavi o credenziali?
Le estensioni del browser installate in azienda sono gestite centralmente e limitate a un elenco approvato?
Il personale che pubblica software o estensioni è protetto contro il phishing che sfrutta flussi di autorizzazione legittimi?
Per i fornitori di servizi gestiti, come si ripartiscono le responsabilità tra polizza professionale e polizza cyber?
Quali sono le franchigie temporali per l'interruzione di attività, anche da DDoS?
I sistemi operativi e di rete sono separati da quelli informatici, e la separazione è stata provata?

Sul lato portafoglio, dicembre 2024 suggerisce di censire i fornitori di accesso remoto e di servizi gestiti comuni a più assicurati, e di usare i casi chiusi, come RIBridges, per tarare le stime dei costi di notifica e delle cause collettive.