Cyber insurance: gli eventi di febbraio 2025

Salt Typhoon e i router Cisco, Lee Enterprises, Genea, DISA Global Solutions e il costo dell'attacco a Southern Water: i cinque eventi cyber di febbraio 2025 letti da chi assume il rischio. Con le chat di Black Basta, l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di febbraio 2025

Febbraio 2025 è il mese dei conti che arrivano dopo. Un gestore idrico britannico indica nel bilancio quanto gli è costato un attacco di un anno prima. Una società di screening per l'assunzione di personale comunica oltre 3,3 milioni di persone coinvolte in una violazione del 2024, dopo aver pagato un riscatto. Intanto Salt Typhoon continua a entrare nelle reti di telecomunicazione attraverso router Cisco non aggiornati, un grande editore di giornali statunitense perde l'accesso ai propri sistemi e una rete australiana di cliniche per la fertilità vede pubblicati i dati dei pazienti. Il mese porta anche una rara occasione per guardare dentro un gruppo criminale: le chat interne di Black Basta finiscono online. Per chi assume il rischio cyber, febbraio 2025 offre dati concreti sui costi e sui tempi dei sinistri.

In sintesi

Salt Typhoon e i router Cisco: secondo Recorded Future il gruppo ha preso di mira oltre 1.000 dispositivi Cisco non aggiornati, colpendo operatori negli Stati Uniti, in Italia, in Sudafrica e in Thailandia.
Lee Enterprises: dal 3 febbraio l'editore di oltre 77 quotidiani perde l'accesso a sistemi interni, cloud e VPN; cifrate applicazioni critiche, Qilin rivendica 350 GB di dati.
Genea: intrusione dal 31 gennaio, circa 940 GB sottratti il 14 febbraio a una delle maggiori reti australiane per la fecondazione assistita; dati dei pazienti pubblicati e ingiunzione del tribunale.
DISA Global Solutions: 3.332.750 persone coinvolte in un accesso durato dal 9 febbraio al 22 aprile 2024 presso una società di screening per l'assunzione.
Southern Water: 4,5 milioni di sterline di costi per l'attacco Black Basta del febbraio 2024, indicati nella relazione annuale.

Gli attacchi del mese

1. Salt Typhoon: i router Cisco non aggiornati

Il 13 febbraio 2025 l'Insikt Group di Recorded Future ha pubblicato un'analisi sulla campagna di Salt Typhoon, il gruppo di spionaggio legato alla Cina già noto per le intrusioni negli operatori statunitensi. Il gruppo ha preso di mira oltre 1.000 dispositivi Cisco, su più di 12.000 esposti su internet, sfruttando due vulnerabilità di IOS XE del 2023 (CVE-2023-20198 e CVE-2023-20273) già corrette da tempo. Tra le vittime figurano provider internet negli Stati Uniti e in Italia, un operatore statunitense collegato al Regno Unito e fornitori in Sudafrica e Thailandia (Security Affairs).

La lezione è semplice e ricorrente: vulnerabilità note da oltre un anno, su apparati esposti, restano un punto d'ingresso per gruppi statali con obiettivi di lungo periodo.

2. Lee Enterprises: un editore senza sistemi

Il 3 febbraio 2025 Lee Enterprises, editore statunitense di oltre 77 quotidiani e circa 350 pubblicazioni, ha comunicato un attacco informatico. Il personale ha perso l'accesso ai sistemi interni e all'archivio cloud e le VPN aziendali hanno smesso di funzionare. In una successiva comunicazione alla SEC la società ha confermato che gli attaccanti avevano cifrato applicazioni critiche e sottratto alcuni file. Il gruppo Qilin ha rivendicato l'attacco, dichiarando di avere 120.000 file per 350 GB, tra cui documenti d'identità, accordi di riservatezza e contratti (BleepingComputer).

3. Genea: i dati dei pazienti della fecondazione assistita

Genea, una delle maggiori reti australiane per la fecondazione assistita, ha subito un'intrusione nel proprio ambiente Citrix il 31 gennaio 2025; il 14 febbraio gli attaccanti hanno estratto circa 940 GB di dati, secondo un'ordinanza del tribunale. Il gruppo Termite ha rivendicato l'attacco e pubblicato i dati. Sono coinvolti il sistema di gestione dei pazienti, con contatti, numeri Medicare, dati assicurativi, anamnesi, esiti degli esami e terapie; Genea non ha indicato quante persone siano coinvolte. A fine febbraio la società ha ottenuto un'ingiunzione che vieta l'accesso, l'uso e la pubblicazione dei dati (TechCrunch).

4. DISA Global Solutions: lo screening per l'assunzione

DISA Global Solutions, società statunitense che esegue controlli dei precedenti e test antidroga e antialcol per oltre 55.000 clienti, tra cui circa il 30% delle aziende Fortune 500, ha comunicato a febbraio 2025 che una violazione del 2024 riguarda 3.332.750 persone. L'accesso è durato dal 9 febbraio al 22 aprile 2024, giorno della scoperta. Sono coinvolti nomi, numeri di previdenza sociale, patenti, documenti d'identità e dati finanziari. Secondo un avviso poi rimosso, DISA ha pagato un riscatto per evitare la pubblicazione dei dati (BleepingComputer).

Le persone coinvolte in molti casi non erano clienti di DISA, ma candidati o dipendenti di aziende che usavano il servizio: un altro esempio di danno che passa attraverso un fornitore.

5. Southern Water: il costo di un attacco

Nella relazione annuale 2023-24, pubblicata a febbraio 2025, Southern Water ha indicato 4,5 milioni di sterline di costi sostenuti per rispondere all'attacco del febbraio 2024, rivendicato da Black Basta. La società serve circa 2,7 milioni di clienti per l'acqua e 4,7 milioni per la depurazione. L'attacco non aveva toccato operazioni, sistemi finanziari e servizi ai clienti, ma aveva portato al furto di dati da una parte dei server. Dalle chat trapelate del gruppo emerge che la società avrebbe proposto di pagare 750.000 sterline a fronte di una richiesta iniziale di 3,5 milioni di dollari; Southern Water non ha chiarito se abbia pagato (BleepingComputer).

Altri eventi da segnalare

Chat di Black Basta (criminalità informatica): dall'11 febbraio un utente chiamato ExploitWhispers diffonde le chat interne del gruppo dal settembre 2023 al settembre 2024, con modelli di phishing, indirizzi di criptovalute e credenziali delle vittime.
Orange Romania (telecomunicazioni): un membro del gruppo HellCat entra in un'applicazione amministrativa non critica e pubblica circa 12.000 file, con circa 380.000 indirizzi e-mail, contratti e fatture; Orange conferma l'attacco e dichiara che i clienti non sono stati colpiti.
Insight Partners (finanza): il 18 febbraio il fondo di venture capital, con oltre 90 miliardi di dollari in gestione, conferma un accesso non autorizzato rilevato il 16 gennaio, avvenuto con un attacco di social engineering.

Impatto assicurativo

Salt Typhoon. Coperture potenzialmente attivate: gestione dell'incidente, ripristino. Potenziale di cumulo: alto nel settore delle telecomunicazioni. Nodo contrattuale: le esclusioni per operazioni statali e la mancata applicazione di correzioni note da oltre un anno.
Lee Enterprises. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione, notifica. Potenziale di cumulo: basso. Nodo contrattuale: la durata del ripristino rispetto al periodo di indennizzo.
Genea. Coperture potenzialmente attivate: notifica, responsabilità per dati sanitari, spese legali per l'ingiunzione. Potenziale di cumulo: basso. Nodo contrattuale: la gravità dei dati coinvolti, che aumenta il rischio di cause e sanzioni.
DISA Global Solutions. Coperture potenzialmente attivate: notifica, monitoraggio del credito, estorsione, cause collettive. Potenziale di cumulo: medio, per le aziende clienti. Nodo contrattuale: il pagamento del riscatto e la sua copertura, oltre al ritardo di quasi un anno tra scoperta e notifica completa.
Southern Water. Coperture potenzialmente attivate: gestione dell'incidente, ripristino, notifica. Potenziale di cumulo: basso. Nodo contrattuale: la distinzione tra costi coperti e costi straordinari indicati in bilancio.

I costi diventano pubblici. Southern Water pubblica una cifra precisa nella relazione annuale. È un dato utile per confrontare le stime di danno con il costo reale di un attacco ransomware senza interruzione dei servizi essenziali.

La notifica arriva tardi. DISA scopre la violazione nell'aprile 2024 e completa il conteggio nel febbraio 2025. I tempi tra scoperta e notifica allungano il sinistro e aumentano il rischio di cause.

Le chat criminali sono una fonte. La fuga delle chat di Black Basta mostra trattative, tempi e importi delle richieste: informazioni che aiutano a capire come si formano i costi di estorsione.

Cosa portare nei rinnovi

Gli apparati di rete esposti su internet sono aggiornati, e con quale tempo massimo per le vulnerabilità critiche note?
L'accesso remoto a Citrix, VPN e applicazioni amministrative richiede l'autenticazione a più fattori?
L'assicurato tratta dati sanitari o di screening di persone che non sono suoi clienti diretti, e con quali obblighi di notifica?
Qual è la politica dell'assicurato sul pagamento dei riscatti, e come la tratta la polizza?
Esiste una stima documentata dei costi di risposta a un incidente, confrontata con i limiti di polizza?
Il personale è formato a riconoscere il social engineering rivolto ai dirigenti e all'help desk?

Sul lato portafoglio, febbraio 2025 suggerisce di usare i costi pubblicati dalle aziende colpite per tarare gli scenari di danno, e di trattare i fornitori di screening e di servizi alle risorse umane come punti di cumulo per i dati personali.