Cyber insurance: gli eventi di novembre 2024

L'atto d'accusa per i furti dai clienti Snowflake, Salt Typhoon, i firewall Palo Alto, Ahold Delhaize e Finastra: i cinque eventi cyber di novembre 2024 letti da chi assume il rischio. Con la direttiva prodotti difettosi, il Cyber Resilience Act e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di novembre 2024

Novembre 2024 chiude il cerchio su alcune grandi violazioni dell'anno e ne apre di nuove. Le autorità statunitensi incriminano i presunti autori dei furti di dati dai clienti di Snowflake e confermano una vasta campagna di spionaggio contro gli operatori di telecomunicazioni. Due vulnerabilità nei firewall Palo Alto Networks vengono sfruttate su circa 2.000 dispositivi. Un grande gruppo della distribuzione alimentare e un fornitore di software per le banche subiscono incidenti che toccano molti clienti a valle. Nella Gazzetta ufficiale dell'UE escono intanto la nuova direttiva sulla responsabilità per prodotti difettosi e il Cyber Resilience Act. Per chi assume il rischio cyber, il mese mostra come un'unica piattaforma condivisa possa produrre sinistri in decine di aziende diverse.

In sintesi

Snowflake: un atto d'accusa statunitense contro Connor Moucka e John Binns per i furti di dati da circa 165 clienti della piattaforma, tra cui AT&T, Ticketmaster e Santander; almeno 2,5 milioni di dollari di estorsioni.
Salt Typhoon: FBI e CISA confermano una campagna di spionaggio ampia e significativa contro più operatori di telecomunicazioni; a metà novembre anche T-Mobile riconosce tentativi di intrusione.
Palo Alto Networks PAN-OS: due vulnerabilità concatenate nei firewall, sfruttate da metà novembre; circa 2.000 dispositivi compromessi secondo Shadowserver.
Ahold Delhaize: l'8 novembre un incidente ferma farmacie ed e-commerce di più catene statunitensi; nel 2025 le persone coinvolte risulteranno oltre 2,2 milioni.
Finastra: furto di dati da una piattaforma di trasferimento file usata con alcuni clienti, in un fornitore che serve 45 delle 50 maggiori banche del mondo.

Gli attacchi del mese

1. Snowflake: l'atto d'accusa

A novembre 2024 il Dipartimento di giustizia statunitense ha incriminato Connor Moucka e John Binns per la serie di furti di dati dagli account di clienti della piattaforma cloud Snowflake, avvenuti nel 2024. Secondo l'accusa, gli imputati hanno sottratto dati di circa 165 aziende clienti, tra cui Santander e Ticketmaster, e circa 50 miliardi di registrazioni di chiamate e messaggi di un operatore che corrisponde ad AT&T. Tra novembre 2023 e ottobre 2024 avrebbero estorto ad almeno tre vittime almeno 36 bitcoin, circa 2,5 milioni di dollari al momento dei pagamenti. Moucka è stato arrestato in Canada; Binns era già stato arrestato in Turchia (TechCrunch).

Secondo l'analisi di Mandiant del giugno 2024, la campagna sfruttava credenziali rubate da malware di tipo infostealer e account senza autenticazione a più fattori (The Hacker News). Per un assicuratore è l'esempio più chiaro dell'anno di cumulo: la piattaforma non è stata violata in sé, ma la stessa debolezza nei controlli d'accesso dei clienti ha prodotto sinistri in decine di aziende.

2. Salt Typhoon: la conferma delle autorità

Dopo le notizie di ottobre su AT&T, Verizon e Lumen, a metà novembre 2024 FBI e CISA hanno confermato una campagna di spionaggio ampia e significativa contro più reti di telecomunicazione, attribuita a un gruppo legato alla Repubblica popolare cinese. Le agenzie hanno indicato il furto di registri delle chiamate dei clienti, la compromissione di comunicazioni private di un numero limitato di persone del governo o della politica e la copia di informazioni legate a richieste di intercettazione legale (The Register).

Il 15 novembre il Wall Street Journal ha incluso T-Mobile tra gli operatori colpiti. T-Mobile ha dichiarato di non aver rilevato impatti significativi su sistemi o dati, né prove di accesso ai dati dei clienti; secondo fonti di Bloomberg, l'operatore ha fermato gli intrusi su alcuni apparati di rete prima che arrivassero più in profondità (TechCrunch, stesso articolo di The Register).

3. Palo Alto Networks: i firewall come porta d'ingresso

Il 18 novembre 2024 Palo Alto Networks ha rilasciato le correzioni per due vulnerabilità di PAN-OS, il sistema dei suoi firewall. CVE-2024-0012, critica, permette a chi raggiunge l'interfaccia di gestione di ottenere privilegi di amministratore senza autenticazione; CVE-2024-9474 consente poi di ottenere i privilegi di root. Le due falle sono state concatenate in attacchi reali, confermati dall'azienda dal 15 novembre. Shadowserver ha contato circa 2.000 firewall compromessi, soprattutto negli Stati Uniti e in India; le interfacce di gestione esposte su internet sono scese da circa 11.000 il 10 novembre a circa 2.700 il 20 novembre. Palo Alto Networks sostiene che il numero reale sia inferiore e che meno dello 0,5% dei suoi firewall abbia l'interfaccia esposta (SecurityWeek).

4. Ahold Delhaize: farmacie ed e-commerce fermi

L'8 novembre 2024 Ahold Delhaize, gruppo che negli Stati Uniti controlla catene come Stop & Shop, Food Lion, Hannaford e Giant Food, ha comunicato un problema di sicurezza informatica. Hannaford ha sospeso per alcuni giorni ritiro e consegna degli ordini online, e anche farmacie ed e-commerce di altre insegne sono stati colpiti; i negozi fisici sono rimasti aperti (Grocery Dive).

Gli sviluppi successivi completano il quadro. Nell'aprile 2025 il gruppo ha confermato il furto di file dalle attività statunitensi, rivendicato da Inc Ransom. A giugno 2025 le persone da avvisare sono risultate 2.242.521, con dati che comprendono documenti d'identità, coordinate bancarie e informazioni sanitarie legate al rapporto di lavoro. L'accesso all'archivio interno è avvenuto il 5 e 6 novembre 2024 (Security Affairs).

5. Finastra: il fornitore delle banche

Il 7 novembre 2024 il centro operativo di sicurezza di Finastra, fornitore di software per oltre 8.000 istituzioni finanziarie in 130 Paesi, tra cui 45 delle 50 maggiori banche del mondo, ha rilevato un accesso sospetto. Un attaccante aveva usato credenziali compromesse per entrare in una piattaforma interna di trasferimento sicuro di file, usata per inviare file ad alcuni clienti. Finastra ha dichiarato che l'incidente era limitato a quella piattaforma, senza movimenti laterali. Un utente di un forum criminale ha messo in vendita 400 GB di dati presentati come sottratti a Finastra; la società non ha confermato né smentito (BleepingComputer).

Altri eventi da segnalare

AEP (distribuzione farmaceutica, Germania): attacco ransomware rilevato a fine ottobre, sistemi in parte cifrati e scollegati; l'azienda rifornisce oltre 6.000 farmacie, invitate a rivolgersi ad altri grossisti.
Schneider Electric (industria): accesso non autorizzato a una piattaforma interna di gestione dei progetti; il gruppo Hellcat rivendica oltre 40 GB di dati sottratti dal sistema Jira.
Direttiva (UE) 2024/2853 (normativa): il 18 novembre esce in Gazzetta la nuova direttiva sulla responsabilità per prodotti difettosi, che include il software tra i prodotti; recepimento entro il 9 dicembre 2026.
Cyber Resilience Act (normativa): pubblicato il 20 novembre, in vigore dal 10 dicembre 2024; obblighi di segnalazione per i produttori dall'11 settembre 2026, applicazione piena dall'11 dicembre 2027.
NIS2 (normativa): il 28 novembre la Commissione invia lettere di costituzione in mora a 23 Stati membri per il mancato recepimento completo.

Impatto assicurativo

Snowflake. Coperture potenzialmente attivate: responsabilità per violazione dei dati, notifica, estorsione, cause collettive. Potenziale di cumulo: molto alto, per il numero di clienti colpiti con lo stesso metodo. Nodo contrattuale: la responsabilità condivisa tra piattaforma cloud e cliente, e la mancanza di autenticazione a più fattori come possibile condizione di copertura.
Salt Typhoon. Coperture potenzialmente attivate: gestione dell'incidente, ripristino, responsabilità. Potenziale di cumulo: alto nel settore delle telecomunicazioni. Nodo contrattuale: l'attribuzione a uno Stato e le esclusioni per operazioni statali.
Palo Alto Networks. Coperture potenzialmente attivate: tutte quelle di un incidente informatico. Potenziale di cumulo: alto, per la diffusione dei firewall. Nodo contrattuale: l'esposizione delle interfacce di gestione su internet, contraria alle indicazioni del produttore.
Ahold Delhaize. Coperture potenzialmente attivate: interruzione di attività, notifica, responsabilità per i dati. Potenziale di cumulo: basso come evento, ma con milioni di persone coinvolte. Nodo contrattuale: il tempo tra l'incidente e la conferma del furto, che sposta in avanti costi di notifica e cause.
Finastra. Coperture potenzialmente attivate: responsabilità verso i clienti, notifica, gestione dell'incidente. Potenziale di cumulo: alto lato banche clienti. Nodo contrattuale: la ripartizione delle responsabilità tra fornitore e istituzioni finanziarie per i dati affidati.

La piattaforma condivisa è il cumulo. Snowflake e Finastra mostrano due forme dello stesso rischio: una piattaforma usata da molti clienti, colpita attraverso credenziali. Le analisi di portafoglio devono contare quante aziende assicurate dipendono dallo stesso servizio.

Il dispositivo di sicurezza è un bersaglio. Dopo Ivanti a settembre e Fortinet a ottobre, a novembre tocca a Palo Alto Networks: gli apparati perimetrali sono il punto d'ingresso più ricorrente del trimestre.

Le nuove regole spostano la responsabilità. La direttiva 2024/2853 e il Cyber Resilience Act rendono più facile chiamare in causa chi produce software e dispositivi connessi. Per le polizze di responsabilità prodotti e per quelle cyber dei produttori cambia il perimetro del rischio a partire dal 2026.

Cosa portare nei rinnovi

Tutti gli accessi alle piattaforme cloud e ai servizi di trasferimento file richiedono l'autenticazione a più fattori, compresi gli account di servizio?
Le interfacce di gestione dei firewall e degli apparati di rete sono raggiungibili da internet?
Quali piattaforme cloud contengono dati dei clienti dell'assicurato, e quali obblighi di notifica prevede il contratto con il fornitore?
Come vengono rilevate le credenziali rubate da malware sui dispositivi dei dipendenti?
L'assicurato produce o distribuisce software o dispositivi connessi venduti nell'UE, e si sta preparando agli obblighi del Cyber Resilience Act e della nuova direttiva sui prodotti difettosi?
In caso di interruzione dei servizi rivolti ai clienti, come farmacie ed e-commerce, quanto dura il periodo di attesa e quali sottolimiti si applicano?

Sul lato portafoglio, novembre 2024 suggerisce di trattare le grandi piattaforme cloud e i fornitori di software per il settore finanziario come punti di cumulo da censire, e di seguire le nuove norme europee perché cambiano chi paga il danno.