Cyber insurance: gli eventi di marzo 2025

La violazione di Oracle Cloud negata dal fornitore, l'aeroporto di Kuala Lumpur, le ferrovie ucraine, Western Alliance Bank e NTT Communications: i cinque eventi cyber di marzo 2025 letti da chi assume il rischio. Con l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di marzo 2025

Marzo 2025 è il mese delle smentite e delle infrastrutture. Un utente rivendica il furto di milioni di record dall'ambiente di accesso di un grande fornitore cloud, che nega la violazione mentre clienti e ricercatori trovano riscontri nei dati pubblicati. Nello stesso fine settimana un aeroporto internazionale in Malesia e le ferrovie ucraine subiscono attacchi che fermano servizi rivolti al pubblico. Negli Stati Uniti e in Giappone due notifiche mostrano quanto tempo passa tra l'intrusione e la comunicazione: una banca regionale e un grande operatore di telecomunicazioni. Per chi assume il rischio cyber, marzo 2025 pone domande su fornitori cloud, infrastrutture di trasporto e tempi di notifica.

In sintesi

Oracle Cloud: il 20 marzo un utente rivendica circa 6 milioni di record legati ai sistemi di accesso; Oracle nega una violazione, poi ad aprile informa alcuni clienti del furto di credenziali da un ambiente datato.
Malaysia Airports: dal 23 marzo disservizi all'aeroporto di Kuala Lumpur; il primo ministro respinge una richiesta di riscatto di 10 milioni di dollari.
Ukrzaliznytsia: un attacco alle ferrovie ucraine ferma la vendita online dei biglietti per 89 ore.
Western Alliance Bank: 21.899 persone coinvolte in un furto di file avvenuto a ottobre 2024 attraverso uno strumento di trasferimento file di un fornitore.
NTT Communications: accesso non autorizzato a un sistema di gestione degli ordini, con dati di 17.891 clienti aziendali.

Gli attacchi del mese

1. Oracle Cloud: la violazione negata

Il 20 marzo 2025 un utente chiamato rose87168 ha messo in vendita circa 6 milioni di record che dichiarava di aver sottratto dai server di accesso di Oracle Cloud, tra cui password cifrate dei sistemi SSO e LDAP e certificati. Il 21 marzo Oracle ha dichiarato: «There has been no breach of Oracle Cloud». Ricercatori di CloudSEK e alcuni clienti hanno però riconosciuto nei campioni dati reali, e una copia archiviata di un file caricato dall'attaccante su un server di accesso di Oracle è stata rimossa dall'archivio web (The Register).

Nello stesso mese Oracle ha avvisato i clienti del software per le cartelle cliniche, Oracle Health, che degli attaccanti avevano copiato dati dei pazienti da server dell'azienda; a fine marzo è stata depositata una causa collettiva. Ai primi di aprile, secondo fonti citate da Bloomberg, Oracle ha comunicato ad alcuni clienti che un attaccante aveva sottratto vecchie credenziali di accesso da un «ambiente legacy», con l'FBI e CrowdStrike al lavoro sul caso e una richiesta di estorsione (Insurance Journal).

2. Malaysia Airports: il riscatto respinto

Dal 23 marzo 2025 l'aeroporto internazionale di Kuala Lumpur ha registrato disservizi nei sistemi. Il primo ministro Anwar Ibrahim ha dichiarato che gli attaccanti avevano chiesto 10 milioni di dollari e che il governo ha rifiutato subito: «I did not wait five seconds. I said no». L'agenzia nazionale per la sicurezza informatica ha indicato che le operazioni non sono state compromesse, mentre un ex parlamentare ha riferito di sistemi fermi per oltre 10 ore. Nessun gruppo ha rivendicato l'attacco (The Record).

3. Ukrzaliznytsia: la biglietteria online ferma

Il 23 marzo 2025 è diventato pubblico un attacco contro Ukrzaliznytsia, le ferrovie statali ucraine. La vendita online dei biglietti si è fermata e i passeggeri hanno potuto acquistare i biglietti solo presso le biglietterie fisiche, mentre i treni hanno continuato a circolare. Il servizio online è stato ripristinato dopo 89 ore; secondo la società non ci sono state fughe di dati sensibili (Babel).

4. Western Alliance Bank: il trasferimento file del fornitore

Western Alliance Bank, banca regionale statunitense, ha comunicato che 21.899 persone sono coinvolte in una violazione. I file sono stati copiati tra il 12 e il 24 ottobre 2024 attraverso uno strumento di trasferimento file di un fornitore; la banca ne è venuta a conoscenza il 27 gennaio 2025. Sono coinvolti numeri di previdenza sociale, conti, passaporti e altri dati personali, e la banca offre un anno di protezione dell'identità. Il gruppo Clop ha inserito la banca tra le vittime della campagna contro il software Cleo, ma la banca non ha confermato di quale strumento si trattasse (The Record).

5. NTT Communications: i dati dei clienti aziendali

Il 5 febbraio 2025 NTT Communications ha rilevato un accesso non autorizzato al proprio sistema di distribuzione delle informazioni sugli ordini. A marzo la società ha comunicato che sono coinvolti 17.891 clienti aziendali, senza dati di clienti privati: nomi delle aziende e dei referenti, contatti e informazioni sull'uso dei servizi. Il 15 febbraio gli attaccanti si sono spostati su un secondo dispositivo, poi scollegato dalla rete (BleepingComputer).

Altri eventi da segnalare

Astral Foods (alimentare): il maggiore produttore di pollame del Sudafrica comunica un attacco che ha fermato lavorazione e consegne della divisione avicola, con un impatto sull'utile di circa 20 milioni di rand; nessun dato sensibile compromesso.
X (piattaforme online): il 10 marzo più interruzioni a livello mondiale; Elon Musk parla di un «massive cyberattack», il gruppo Dark Storm rivendica attacchi DDoS e la piattaforma passa sotto la protezione di Cloudflare.
Rubrik (software): la società di protezione dei dati rileva attività anomala su un server di file di log, alcuni dei quali con informazioni di accesso, e ruota le chiavi di autenticazione; nessuna prova di accesso ai dati dei clienti.

Impatto assicurativo

Oracle Cloud. Coperture potenzialmente attivate: gestione dell'incidente, notifica, responsabilità verso terzi per gli assicurati clienti. Potenziale di cumulo: alto, per i clienti di un grande fornitore cloud. Nodo contrattuale: l'onere della prova quando il fornitore nega la violazione.
Malaysia Airports. Coperture potenzialmente attivate: interruzione di attività, ripristino, gestione dell'estorsione. Potenziale di cumulo: medio, per compagnie aeree e operatori aeroportuali. Nodo contrattuale: la versione divergente sui tempi di fermo, che complica la quantificazione.
Ukrzaliznytsia. Coperture potenzialmente attivate: interruzione di attività, ripristino. Potenziale di cumulo: basso. Nodo contrattuale: le esclusioni per guerra e operazioni statali in un paese in conflitto.
Western Alliance Bank. Coperture potenzialmente attivate: notifica, monitoraggio dell'identità, cause collettive. Potenziale di cumulo: alto, come parte della campagna contro gli strumenti di trasferimento file. Nodo contrattuale: la responsabilità del fornitore e il recupero dei costi.
NTT Communications. Coperture potenzialmente attivate: gestione dell'incidente, notifica. Potenziale di cumulo: basso. Nodo contrattuale: gli obblighi verso clienti aziendali per dati commerciali, diversi da quelli sui dati personali.

Una smentita non chiude il caso. Con Oracle la parola del fornitore e i riscontri dei clienti divergono per settimane. Per gli assicurati che dipendono da quel fornitore il sinistro nasce anche senza conferma ufficiale.

I trasporti fermano il servizio, non i mezzi. A Kuala Lumpur e in Ucraina aerei e treni continuano a muoversi; si fermano i sistemi rivolti al pubblico. È un danno da interruzione che va misurato sui ricavi persi e sui costi di gestione manuale.

La notifica arriva mesi dopo. Western Alliance comunica a marzo un furto di ottobre. Gli scenari di danno devono considerare i tempi lunghi delle campagne contro i fornitori.

Cosa portare nei rinnovi

Da quali fornitori cloud dipendono i sistemi di accesso dell'assicurato, e con quali impegni contrattuali di notifica?
Le credenziali e i certificati condivisi con i fornitori vengono ruotati dopo un incidente sospetto, anche senza conferma?
L'assicurato ha procedure manuali per continuare a servire i clienti se i sistemi online si fermano?
Quali strumenti di trasferimento file usano l'assicurato e i suoi fornitori, e quanto in fretta vengono aggiornati?
Quali dati commerciali dei clienti aziendali sono conservati nei sistemi di gestione degli ordini?
L'assicurato ha una posizione definita sul pagamento dei riscatti, condivisa con il vertice?

Sul lato portafoglio, marzo 2025 suggerisce di mappare la dipendenza degli assicurati dai grandi fornitori cloud e di trattare gli strumenti di trasferimento file come punti di cumulo ricorrenti.