Cyber insurance: gli eventi di maggio 2025

Co-op, Nucor, Peter Green Chilled, Kettering Health e Victoria's Secret: i cinque eventi cyber di maggio 2025 letti da chi assume il rischio, dalla filiera alimentare agli ospedali. Con l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di maggio 2025

Maggio 2025 è il mese della distribuzione e della catena alimentare. Una grande cooperativa britannica conferma il furto di dati dei propri soci dopo un attacco basato sul social engineering, un distributore di prodotti freschi per i supermercati sospende gli ordini e un caseificio in Germania ferma la produzione. Negli Stati Uniti uno dei maggiori produttori di acciaio del paese interrompe in via precauzionale alcune linee, un sistema sanitario dell'Ohio annulla gli interventi programmati e un grande marchio di abbigliamento chiude il sito di vendita online. Per chi assume il rischio cyber, maggio 2025 mostra come un attacco a un singolo anello della filiera si propaghi a clienti e fornitori.

In sintesi

Co-op: dopo l'attacco di fine aprile la cooperativa britannica conferma che sono stati estratti dati di un numero rilevante di soci; il gruppo DragonForce rivendica.
Nucor: il 14 maggio il produttore di acciaio comunica alla SEC un accesso non autorizzato e la sospensione precauzionale di alcune produzioni.
Peter Green Chilled: dal 14 maggio un ransomware blocca i nuovi ordini del distributore di prodotti refrigerati per i supermercati britannici.
Kettering Health: il 20 maggio un attacco ransomware provoca un'interruzione su tutta la rete di 14 centri medici in Ohio.
Victoria's Secret: il 28 maggio il sito statunitense viene chiuso per un incidente di sicurezza; i negozi restano aperti.

Gli attacchi del mese

1. Co-op: i dati dei soci

Co-op, la cooperativa britannica della distribuzione, aveva inizialmente parlato di un tentativo di intrusione e della chiusura di parte dei sistemi informatici dopo un attacco che risalirebbe al 22 aprile 2025. Ai primi di maggio la società ha confermato che gli attaccanti avevano estratto da uno dei sistemi dati di un numero rilevante di soci attuali ed ex, tra cui nomi e contatti, senza password, dati bancari o transazioni. Secondo le fonti l'accesso è avvenuto con il reset della password di un dipendente ottenuto con il social engineering. Gli affiliati di DragonForce hanno rivendicato l'attacco, dichiarando di avere dati di 20 milioni di iscritti al programma fedeltà, cifra non verificata (BleepingComputer).

2. Nucor: la produzione sospesa

Il 14 maggio 2025 Nucor, uno dei maggiori produttori di acciaio degli Stati Uniti, ha comunicato alla SEC un incidente con accesso non autorizzato di terzi ad alcuni sistemi informatici. La società ha scollegato i sistemi potenzialmente colpiti e ha fermato in via precauzionale alcune produzioni in diversi stabilimenti, che alla data della comunicazione stavano ripartendo. Sono state coinvolte le forze dell'ordine federali e consulenti esterni (SEC).

3. Peter Green Chilled: la catena del freddo

Il 14 maggio 2025 un ransomware ha colpito Peter Green Chilled, distributore di prodotti refrigerati per supermercati britannici come Tesco, Sainsbury's, Asda, Morrisons e Waitrose. Il giorno dopo la società ha comunicato ai clienti che non avrebbe elaborato nuovi ordini. Le attività di trasporto sono proseguite, ma secondo un fornitore la società non accettava merce, con prodotti freschi rimasti bloccati (The Register).

Per i fornitori di prodotti deperibili anche pochi giorni di blocco degli ordini significano merce da buttare: un danno da interruzione che ricade su chi sta a monte del distributore.

4. Kettering Health: gli interventi annullati

Il 20 maggio 2025 Kettering Health, sistema sanitario con 14 centri medici e oltre 120 strutture ambulatoriali nell'Ohio occidentale, ha subito un'interruzione su tutta la rete. Gli interventi programmati, in ricovero e ambulatoriali, sono stati annullati e rinviati, il call center non era raggiungibile, mentre pronto soccorso e ambulatori sono rimasti aperti. Sui dispositivi cifrati è stato trovato un messaggio di riscatto; ricercatori e media hanno collegato l'attacco al gruppo Interlock, che al momento non lo aveva rivendicato (BleepingComputer).

5. Victoria's Secret: il sito chiuso

Il 28 maggio 2025 Victoria's Secret ha chiuso il proprio sito statunitense con un avviso che parlava di operazioni sospese «as a precaution», dopo problemi segnalati da alcuni clienti già dal lunedì. Negozi e punti vendita PINK sono rimasti aperti, ma alcuni servizi, come il reso in negozio degli ordini online e l'assistenza clienti online, non erano disponibili. La società ha parlato di un «security incident», senza indicare se si trattasse di ransomware (Fortune).

Altri eventi da segnalare

Arla Foods (alimentare): dal 16 maggio la produzione dello stabilimento lattiero-caseario di Upahl, in Germania, si ferma dopo un'attività sospetta sulla rete locale; possibili ritardi e cancellazioni nelle consegne, gli altri siti non sono colpiti.
Adidas (abbigliamento): un soggetto esterno ottiene, attraverso un fornitore del servizio clienti, i contatti di consumatori che si erano rivolti all'assistenza; esclusi password e dati di pagamento.
SimpleHelp (servizi informatici): Sophos descrive un fornitore di servizi gestiti colpito da DragonForce attraverso tre vulnerabilità del software di gestione remota SimpleHelp, usato poi per raccogliere informazioni sugli ambienti di più clienti.

Impatto assicurativo

Co-op. Coperture potenzialmente attivate: gestione dell'incidente, notifica, responsabilità per la privacy, interruzione di attività. Potenziale di cumulo: medio, per lo stesso gruppo attivo contro più distributori britannici. Nodo contrattuale: il social engineering sull'help desk e la sua copertura.
Nucor. Coperture potenzialmente attivate: interruzione di attività, ripristino, gestione dell'incidente. Potenziale di cumulo: basso. Nodo contrattuale: il fermo precauzionale deciso dall'assicurato e la sua indennizzabilità.
Peter Green Chilled. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione. Potenziale di cumulo: medio, per fornitori e supermercati clienti. Nodo contrattuale: l'interruzione di attività dipendente per chi riceve o consegna merce deperibile.
Kettering Health. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione, notifica. Potenziale di cumulo: basso. Nodo contrattuale: i ricavi persi per interventi annullati e rinviati.
Victoria's Secret. Coperture potenzialmente attivate: interruzione di attività, gestione dell'incidente. Potenziale di cumulo: basso. Nodo contrattuale: la misura del danno quando restano aperti i negozi ma si ferma il canale online.

La filiera alimentare è fragile. Peter Green Chilled e Arla mostrano che il blocco di un distributore o di uno stabilimento si traduce in merce deperita e consegne cancellate per altri soggetti. È un danno che si propaga in pochi giorni.

Il fermo precauzionale è una scelta. Nucor e Victoria's Secret fermano attività per contenere l'attacco. La polizza deve chiarire se questo fermo volontario rientra nell'interruzione di attività.

L'help desk resta la porta d'ingresso. Co-op conferma che un reset di password ottenuto con l'inganno basta per entrare. Le domande sulle procedure di verifica dell'identità diventano centrali.

Cosa portare nei rinnovi

Come verifica l'help desk l'identità di chi chiede il reset di una password o dell'autenticazione a più fattori?
L'assicurato dipende da un unico distributore o fornitore logistico, e per quanto tempo può operare senza?
La polizza copre l'interruzione di attività per un fermo precauzionale deciso dall'assicurato?
Gli strumenti di gestione remota usati dai fornitori di servizi gestiti sono aggiornati e monitorati?
Quali dati dei clienti sono accessibili ai fornitori del servizio clienti?
Esiste un piano per mantenere aperti i negozi se il canale online si ferma, e viceversa?

Sul lato portafoglio, maggio 2025 suggerisce di mappare i distributori della filiera alimentare come punti di cumulo e di trattare i fornitori di servizi gestiti come un rischio condiviso tra molti assicurati.