Cyber insurance: gli eventi di gennaio 2025

La vulnerabilità Ivanti Connect Secure, Conduent, New York Blood Center, Frederick Health e Phemex: i cinque eventi cyber di gennaio 2025 letti da chi assume il rischio. Con l'avvio del DORA, l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di gennaio 2025

Gennaio 2025 apre l'anno con tre temi che torneranno spesso. Il primo è la VPN come porta d'ingresso: una nuova vulnerabilità di Ivanti Connect Secure, sfruttata da metà dicembre da un gruppo di spionaggio, colpisce tra gli altri il registro dei domini britannici. Il secondo è la sanità come settore più esposto all'interruzione, con il principale centro trasfusionale del nord-est degli Stati Uniti e un ospedale del Maryland fermati dal ransomware. Il terzo è il fornitore di servizi pubblici: un grande contraente dei governi statali statunitensi blocca per giorni pagamenti e sussidi. Il 17 gennaio, infine, il regolamento DORA si applica a banche e assicurazioni dell'Unione europea. Per chi assume il rischio cyber, il mese conferma che la stessa causa produce sinistri diversi a seconda di chi la subisce.

In sintesi

Ivanti Connect Secure: l'8 gennaio Ivanti rende nota CVE-2025-0282, sfruttata da metà dicembre 2024 da un gruppo di spionaggio legato alla Cina; tra le vittime il registro britannico Nominet.
Conduent: accesso alla rete dal 21 ottobre 2024 al 13 gennaio 2025; per giorni bloccati pagamenti e sussidi in più Stati. Nell'ottobre 2025 le persone coinvolte risulteranno oltre 10 milioni.
New York Blood Center: il 26 gennaio un ransomware rallenta raccolta e lavorazione del sangue per un fornitore di oltre 200 ospedali.
Frederick Health: il 27 gennaio un ransomware colpisce un sistema sanitario del Maryland; a marzo i pazienti coinvolti risulteranno 934.326.
Phemex: il 23 gennaio la piattaforma di scambio perde almeno 85 milioni di dollari dagli hot wallet su più blockchain.

Gli attacchi del mese

1. Ivanti Connect Secure: di nuovo la VPN

L'8 gennaio 2025 Ivanti ha reso nota CVE-2025-0282, una vulnerabilità di tipo buffer overflow nelle appliance VPN Connect Secure che permette di eseguire codice da remoto senza autenticazione. Secondo Mandiant lo sfruttamento era in corso da metà dicembre 2024, attribuito a un gruppo di spionaggio sospettato di legami con la Cina, lo stesso che aveva sfruttato altre falle Ivanti dal dicembre 2023. Gli attaccanti disattivavano i controlli di sicurezza, bloccavano l'invio dei log, simulavano aggiornamenti che non venivano installati e sottraevano credenziali, cookie di sessione e certificati (Google Cloud – Mandiant).

Tra le vittime note c'è Nominet, il registro dei domini .uk, che gestisce oltre 11 milioni di nomi a dominio. L'accesso è avvenuto tramite la VPN usata dal personale per il lavoro da remoto. Nominet ha limitato gli accessi VPN, ha avvisato le autorità e ha dichiarato di non avere prove di furto di dati; registrazione e gestione dei domini hanno funzionato regolarmente (BleepingComputer).

2. Conduent: il contraente dei governi statali

Conduent, società che gestisce pagamenti e sussidi per conto di molti governi statali statunitensi, ha subito a gennaio 2025 un'interruzione di diversi giorni. Il Dipartimento per l'infanzia e le famiglie del Wisconsin ha segnalato il blocco dei pagamenti inviati per posta e altri tre Stati hanno avuto problemi con bonifici o carte per i sussidi alimentari. Secondo le notifiche successive, gli attaccanti hanno avuto accesso alla rete dal 21 ottobre 2024 al 13 gennaio 2025 e hanno sottratto file legati ad alcuni clienti pubblici, con numeri di previdenza sociale, dati medici e assicurativi. A febbraio il gruppo SafePay ha rivendicato il furto di 8,5 TB (The Record).

Nell'ottobre 2025 Conduent ha avviato le notifiche a oltre 10 milioni di persone in più Stati. Nei risultati del secondo trimestre 2025 la società aveva indicato circa 2 milioni di dollari di costi per indagine e ripristino, in parte coperti dalla polizza cyber (stessa fonte).

3. New York Blood Center: il sangue in ritardo

Il 26 gennaio 2025 New York Blood Center Enterprises, che fornisce sangue a oltre 200 ospedali del nord-est degli Stati Uniti e servizi trasfusionali a oltre 500 ospedali nel Paese, ha rilevato attività sospette poi confermate come ransomware. La raccolta nei centri e le giornate di donazione potevano essere riprogrammate e la lavorazione del sangue risultava più lenta; l'ente usava procedure alternative per evadere gli ordini degli ospedali, senza una data precisa per il ripristino. L'attacco è arrivato una settimana dopo la dichiarazione di emergenza sangue per un calo del 30% delle donazioni (TechCrunch).

4. Frederick Health: un sistema sanitario e i dati dei pazienti

Il 27 gennaio 2025 Frederick Health, sistema sanitario del Maryland, ha subito un attacco ransomware ai sistemi informatici; lo stesso giorno gli attaccanti hanno copiato file da un server di condivisione. Il 28 marzo la struttura ha comunicato al Dipartimento della salute statunitense 934.326 pazienti coinvolti, con nome, indirizzo, data di nascita, numero di previdenza sociale, patente, numero di cartella clinica, dati assicurativi e informazioni cliniche (BleepingComputer).

5. Phemex: gli hot wallet su più blockchain

Il 23 gennaio 2025 alle 11:30 UTC Phemex, piattaforma di scambio di criptovalute, ha rilevato attività anomale nei propri hot wallet. Le stime della perdita sono salite nei giorni successivi, da 29 a 69 milioni, fino ad almeno 85 milioni di dollari. Phemex ha sospeso depositi e prelievi e li ha riattivati gradualmente rete per rete; l'amministratore delegato ha dichiarato che i cold wallet erano al sicuro. L'attacco non è stato attribuito (BleepingComputer).

Altri eventi da segnalare

DORA (normativa): dal 17 gennaio il regolamento sulla resilienza operativa digitale si applica a 20 tipi di soggetti finanziari, tra cui banche e assicurazioni, con regole su gestione del rischio informatico, fornitori terzi, test e notifica degli incidenti gravi.
Gravy Analytics (dati di localizzazione): il 4 gennaio la controllante Unacast scopre il furto di file dal proprio ambiente cloud con una chiave sottratta; esposte cronologie di posizione raccolte da app per smartphone.
Hewlett Packard Enterprise (tecnologia): indagine sulle affermazioni dell'attore IntelBroker, che mette in vendita codice sorgente e certificati; HPE disattiva le credenziali collegate e non rileva impatti sui clienti.

Impatto assicurativo

Ivanti Connect Secure. Coperture potenzialmente attivate: gestione dell'incidente, ripristino, responsabilità. Potenziale di cumulo: alto, per la diffusione delle VPN Ivanti. Nodo contrattuale: l'attribuzione a un gruppo statale e la ricorrenza di vulnerabilità nello stesso prodotto, che pone la domanda se continuare a usarlo.
Conduent. Coperture potenzialmente attivate: interruzione di attività, responsabilità verso i clienti pubblici e i cittadini, notifica. Potenziale di cumulo: alto, perché un solo contraente serve molti enti. Nodo contrattuale: l'accesso durato quasi tre mesi e la ripartizione dei costi di notifica tra fornitore ed enti clienti.
New York Blood Center. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione. Potenziale di cumulo: medio, per gli ospedali che dipendono dalle forniture. Nodo contrattuale: l'interruzione dipendente lato ospedali, che raramente è coperta per un fornitore non informatico.
Frederick Health. Coperture potenzialmente attivate: interruzione di attività, notifica, responsabilità sanitaria per i dati. Potenziale di cumulo: basso. Nodo contrattuale: i costi di notifica per quasi un milione di persone e le cause collettive.
Phemex. Coperture potenzialmente attivate: furto di asset digitali, ove previsto. Potenziale di cumulo: basso. Nodo contrattuale: esclusioni e sottolimiti per le criptovalute.

La VPN resta il punto debole. Dopo i firewall dell'autunno 2024, gennaio 2025 riporta l'attenzione sulle VPN. Un prodotto con vulnerabilità ricorrenti è un dato da considerare in sede di assunzione del rischio.

La sanità soffre l'interruzione. New York Blood Center e Frederick Health mostrano due costi diversi: il servizio che rallenta e la notifica di centinaia di migliaia di pazienti.

DORA cambia il cliente assicurato. Dal 17 gennaio banche e assicurazioni europee devono censire i fornitori informatici critici e notificare gli incidenti gravi: informazioni che diventano utili anche in sede di assunzione del rischio.

Cosa portare nei rinnovi

L'assicurato usa VPN o appliance di accesso remoto con vulnerabilità ricorrenti, e ha un piano per sostituirle o isolarle?
Dopo una vulnerabilità sfruttata, l'assicurato verifica anche la compromissione, oltre ad aggiornare?
Quali enti o clienti dipendono dai servizi dell'assicurato, e con quali penali in caso di interruzione?
Per i fornitori del settore sanitario, la polizza dei clienti copre l'interruzione causata da un fornitore non informatico?
Il soggetto finanziario assicurato rientra nel DORA, e ha completato il registro dei fornitori informatici?
Le chiavi di accesso agli ambienti cloud sono ruotate e protette?

Sul lato portafoglio, gennaio 2025 suggerisce di censire gli assicurati che usano le stesse VPN e gli stessi contraenti per i servizi pubblici, e di considerare i nuovi obblighi DORA come fonte di informazioni sulla qualità dei clienti finanziari.