Cyber insurance: gli eventi di ottobre 2024

Salt Typhoon nelle reti di telecomunicazione, American Water Works, FortiJump, Internet Archive e Casio: i cinque eventi cyber di ottobre 2024 letti da chi assume il rischio. Con la scadenza della NIS2, l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di ottobre 2024

Ottobre 2024 porta il rischio cyber dentro le infrastrutture. Un gruppo legato allo Stato cinese entra nelle reti dei principali operatori di telecomunicazioni statunitensi, fino ai sistemi usati per le intercettazioni autorizzate. Uno dei maggiori gestori idrici privati degli Stati Uniti spegne il portale clienti e sospende la fatturazione. Un prodotto usato per gestire migliaia di firewall risulta sfruttato da giugno senza che nessuno se ne accorgesse. Il 17 ottobre scade inoltre il termine per recepire la direttiva NIS2, rispettato da pochi Stati. Per chi assume il rischio cyber, il mese mette al centro il confine tra criminalità e operazioni statali e la dipendenza da strumenti di gestione centralizzati.

In sintesi

Salt Typhoon: a inizio ottobre emerge che AT&T, Verizon e Lumen sono stati violati da un gruppo di spionaggio legato a Pechino, con accesso possibile ai sistemi per le intercettazioni disposte dai tribunali.
American Water Works: il 3 ottobre il gestore rileva attività non autorizzate, scollega il portale clienti e sospende la fatturazione; impianti idrici non toccati.
FortiManager (FortiJump): una vulnerabilità critica nello strumento che gestisce i firewall FortiGate, sfruttata dal 27 giugno 2024 su oltre 50 dispositivi.
Internet Archive: 31 milioni di account sottratti, attacchi DDoS e una seconda violazione tramite il sistema di assistenza.
Casio: ransomware del 5 ottobre, sistemi fermi per settimane, dati di circa 8.500 persone; nessun riscatto pagato.

Gli attacchi del mese

1. Salt Typhoon: le reti di telecomunicazione e le intercettazioni

All'inizio di ottobre 2024 il Wall Street Journal ha riferito che Verizon, AT&T e Lumen Technologies erano tra i provider statunitensi violati da Salt Typhoon, gruppo di spionaggio sostenuto dal governo cinese. Gli attaccanti avrebbero potuto accedere ai sistemi con cui gli operatori forniscono alle forze dell'ordine i dati delle intercettazioni disposte dai tribunali, oltre a traffico internet di persone e aziende. Restavano aperti il punto d'ingresso, con i router Cisco tra le ipotesi esaminate, e la quantità di dati sottratti. Gli operatori non hanno commentato (The Register).

L'indagine si è allargata nei mesi successivi, con la conferma di T-Mobile a novembre. Per un assicuratore il caso è un esempio di intrusione di lungo periodo, con finalità di spionaggio e attribuzione statale, in settori essenziali.

2. American Water Works: il gestore idrico spegne i sistemi

American Water Works, uno dei maggiori gestori privati di servizi idrici degli Stati Uniti, ha rilevato il 3 ottobre 2024 attività non autorizzate nella propria rete. Il 7 ottobre lo ha comunicato alla SEC: ha messo offline il portale clienti, scollegato o disattivato alcuni sistemi e sospeso temporaneamente la fatturazione, senza penali di mora per i clienti. La società ha dichiarato di ritenere che nessun impianto idrico o di depurazione fosse stato colpito e che l'acqua restasse potabile. Non ha indicato il tipo di attacco né se ci fosse ransomware (TechTarget, SEC).

La separazione tra sistemi informatici e sistemi operativi ha limitato il danno al lato commerciale. È il punto che, nelle infrastrutture idriche ed energetiche, distingue un sinistro di interruzione amministrativa da uno con conseguenze fisiche.

3. FortiJump: lo strumento di gestione dei firewall

A fine ottobre 2024 Fortinet ha avvisato i clienti e il 24 ottobre Mandiant ha pubblicato la sua analisi di CVE-2024-47575, soprannominata FortiJump: una vulnerabilità in FortiManager, il sistema che gestisce centralmente i firewall FortiGate, che permette a un dispositivo non autorizzato di eseguire codice o comandi. Mandiant ha osservato il primo sfruttamento il 27 giugno 2024 e un secondo tentativo il 23 settembre, con oltre 50 FortiManager potenzialmente compromessi in vari settori (Google Cloud – Mandiant).

Gli attaccanti, un gruppo nuovo che Mandiant chiama UNC5820, hanno esportato le configurazioni dei firewall gestiti, i numeri di serie, gli indirizzi IP, le regole e le password degli utenti in forma cifrata. Mandiant non aveva trovato prove di uso successivo di questi dati. Per un'azienda, la compromissione dello strumento di gestione apre la strada a tutti i dispositivi che controlla.

4. Internet Archive: dati, DDoS e assistenza clienti

Il 9 ottobre 2024 i visitatori di archive.org hanno visto un avviso che annunciava la violazione del sito. Gli attaccanti avevano sottratto un database di autenticazione con 31 milioni di record unici: indirizzi e-mail, nomi utente, date di cambio password e password cifrate con bcrypt. L'ultimo record risaliva al 28 settembre, probabile data del furto. Lo stesso giorno il sito ha subito attacchi DDoS rivendicati da un gruppo hacktivista, ritenuti non collegati alla violazione. Il 20 ottobre è arrivata una seconda intrusione, attraverso il sistema di assistenza clienti basato su Zendesk (BleepingComputer).

Il caso mostra come un'organizzazione senza scopo di lucro, con pochi dati sensibili per utente, possa subire in poche settimane violazione dei dati, interruzione del servizio e una seconda intrusione da un canale diverso.

5. Casio: settimane per ripartire

Il 5 ottobre 2024 un attacco iniziato con phishing ha compromesso la rete di Casio. Il 10 ottobre il gruppo Underground ha rivendicato l'attacco, minacciando di pubblicare documenti finanziari, progetti e dati dei dipendenti. L'interruzione dei sistemi ha rallentato le attività per settimane. Il 7 gennaio 2025, a indagine conclusa, Casio ha indicato circa 8.500 persone coinvolte: 6.456 dipendenti, 1.931 partner commerciali e 91 clienti. La società non ha pagato né negoziato, su indicazione di forze dell'ordine, legali e consulenti (BleepingComputer).

Altri eventi da segnalare

Radiant Capital (finanza decentralizzata): il 16 ottobre circa 50 milioni di dollari rubati su quattro blockchain. Mandiant attribuisce l'attacco a un gruppo nordcoreano; l'ingresso è partito a settembre da un file PDF inviato via Telegram da chi si fingeva un ex collaboratore (The Record).
Halliburton (energia): nei risultati del terzo trimestre la società indica circa 35 milioni di dollari di perdite legate all'attacco di agosto, attribuito a RansomHub.
NIS2 (normativa): il 17 ottobre scade il termine di recepimento. Al 18 ottobre solo sei Stati (Belgio, Croazia, Ungheria, Italia, Lettonia e Lituania) hanno adottato la legge nazionale.

Impatto assicurativo

Salt Typhoon. Coperture potenzialmente attivate: gestione dell'incidente, ripristino, responsabilità verso i clienti e le autorità. Potenziale di cumulo: alto, perché più operatori dello stesso settore sono colpiti dallo stesso attore. Nodo contrattuale: l'attribuzione a uno Stato richiama le esclusioni per operazioni statali; conta come il testo le definisce e chi può stabilirle.
American Water Works. Coperture potenzialmente attivate: interruzione di attività, ripristino, gestione dell'incidente. Potenziale di cumulo: basso come evento, ma il settore idrico condivide tecnologie e fornitori. Nodo contrattuale: la separazione tra sistemi informatici e operativi, decisiva per escludere danni fisici e responsabilità verso terzi.
FortiJump. Coperture potenzialmente attivate: tutte quelle di un incidente informatico. Potenziale di cumulo: alto, per la diffusione dei prodotti Fortinet. Nodo contrattuale: lo sfruttamento iniziato mesi prima della correzione, che sposta l'attenzione dal tempo di applicazione delle patch alla capacità di rilevare l'intrusione.
Internet Archive. Coperture potenzialmente attivate: notifica, responsabilità per i dati, interruzione da DDoS. Potenziale di cumulo: basso. Nodo contrattuale: due intrusioni in poche settimane, da trattare come uno o due sinistri a seconda della clausola sugli eventi collegati.
Casio. Coperture potenzialmente attivate: interruzione di attività, ripristino, notifica. Potenziale di cumulo: basso. Nodo contrattuale: la durata del ripristino rispetto al periodo di indennizzo.

L'attribuzione statale entra nei sinistri. Salt Typhoon e Radiant Capital sono attribuiti a gruppi statali, ma con conseguenze diverse: spionaggio nel primo caso, furto di denaro nel secondo. Le clausole sulle operazioni statali vanno lette rispetto a entrambi gli scenari.

Lo strumento di gestione è un punto di cumulo. FortiManager controlla molti firewall con un'unica console: chi ne prende il controllo ottiene le chiavi di tutta la rete. Lo stesso vale per i sistemi di gestione remota usati dai fornitori di servizi.

La normativa si muove a velocità diverse. Con la NIS2 recepita da pochi Stati alla scadenza, gli obblighi di sicurezza e di notifica degli assicurati europei restano diversi da Paese a Paese.

Cosa portare nei rinnovi

Le console di gestione dei dispositivi di rete sono esposte su internet, e chi può accedervi?
L'assicurato riesce a rilevare un'intrusione già in corso, oltre ad applicare le correzioni?
I sistemi operativi sono separati da quelli informatici, e la separazione è stata provata?
Dopo una violazione, le credenziali e i token di accesso ai servizi esterni vengono ruotati?
Come la polizza definisce le operazioni statali e chi stabilisce l'attribuzione?
L'assicurato europeo rientra nella NIS2 nel proprio Paese, e con quali obblighi di notifica?

Sul lato portafoglio, ottobre 2024 suggerisce di censire gli assicurati che usano gli stessi prodotti di sicurezza perimetrale e di considerare, negli scenari di danno, un'intrusione silenziosa che dura mesi prima di essere scoperta.