Cyber insurance: gli eventi di settembre 2024

Porto e aeroporto di Seattle, MoneyGram, Ivanti, Slim CD e i furti a Indodax e BingX: i cinque eventi cyber di settembre 2024 letti da chi assume il rischio. Con le transazioni di 23andMe e Lehigh Valley, l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di settembre 2024

Settembre 2024 mostra tre modi diversi in cui un incidente informatico diventa un costo assicurabile. Il primo è l'interruzione dei servizi: un porto e aeroporto, una piattaforma di trasferimento di denaro e un costruttore di moto fermano i sistemi per giorni. Il secondo è il fornitore che sta a monte di migliaia di esercenti, come un gateway di pagamento rimasto esposto per dieci mesi. Il terzo è il conto finale di incidenti del 2023, chiusi a settembre con transazioni da decine di milioni di dollari. Per chi assume il rischio cyber, il mese ricorda che il sinistro si misura su anni, non su giorni.

In sintesi

Port of Seattle: il 13 settembre il porto conferma che dietro l'attacco di agosto all'aeroporto Sea-Tac c'è il gruppo Rhysida e rifiuta di pagare il riscatto. Nell'aprile 2025 le persone da avvisare risulteranno circa 90.000.
MoneyGram: accesso non autorizzato dal 20 al 22 settembre, sistemi spenti e servizi di trasferimento fermi per giorni; sottratti dati dei clienti, compresi documenti d'identità.
Ivanti Cloud Services Appliance: due vulnerabilità sfruttate in attacchi reali e concatenate tra loro, su una versione del prodotto già a fine vita.
Slim CD: un gateway di pagamento statunitense comunica circa 1,7 milioni di persone coinvolte, dopo un accesso durato da agosto 2023 a giugno 2024.
Furti di criptovalute: Indodax (circa 22 milioni di dollari) e BingX (oltre 44 milioni) perdono fondi dagli hot wallet nello stesso mese.

Gli attacchi del mese

1. Port of Seattle: Rhysida e il rifiuto di pagare

Il Port of Seattle, che gestisce l'aeroporto internazionale di Seattle-Tacoma, ha subito un'interruzione informatica alla fine di agosto 2024. Sono andati in tilt i sistemi di check-in, i tabelloni per i passeggeri, il sito del porto e l'app flySEA, con ritardi sui voli. Il 13 settembre 2024 il porto ha confermato che l'attacco era opera del gruppo ransomware Rhysida e ha dichiarato di aver rifiutato di pagare il riscatto richiesto (BleepingComputer).

Lo sviluppo successivo dà la misura del danno. Il 3 aprile 2025 il porto ha annunciato l'invio di circa 90.000 lettere di notifica, di cui circa 71.000 a residenti nello Stato di Washington. I dati riguardano soprattutto dipendenti, collaboratori e utenti dei parcheggi: nome, data di nascita, numero di previdenza sociale o le sue ultime quattro cifre, documento d'identità e, in alcuni casi, informazioni mediche. Il porto afferma di conservare pochissimi dati dei passeggeri e che i sistemi di pagamento non sono stati toccati (BleepingComputer).

2. MoneyGram: giorni senza trasferimenti

MoneyGram, uno dei maggiori operatori di trasferimento di denaro al mondo, ha subito a settembre 2024 un'interruzione dei servizi durata diversi giorni, durante la quale i clienti non potevano accedere ai conti né inviare denaro. Nella notifica successiva la società ha indicato che gli attaccanti hanno avuto accesso alla rete dal 20 al 22 settembre 2024. Secondo BleepingComputer, l'ingresso è avvenuto con un'azione di social engineering verso l'help desk informatico, fingendosi un dipendente; una volta dentro, gli attaccanti hanno preso di mira Active Directory (BleepingComputer).

I dati sottratti variano da cliente a cliente: nome, contatti, data di nascita, un numero limitato di numeri di previdenza sociale, copie di documenti d'identità, bollette, coordinate bancarie, numeri del programma fedeltà, storico delle transazioni e, per alcuni, informazioni legate a indagini penali. MoneyGram ha escluso che si trattasse di ransomware e nessun gruppo ha rivendicato l'attacco. Il numero di persone coinvolte non è stato reso noto nella comunicazione di ottobre.

3. Ivanti CSA: vulnerabilità concatenate su un prodotto a fine vita

Il 10 settembre 2024 Ivanti ha pubblicato un avviso su CVE-2024-8190, una vulnerabilità di command injection nel Cloud Services Appliance (CSA) 4.6 che, con privilegi di amministratore, permette di eseguire codice da remoto. Il 13 settembre Ivanti ha confermato lo sfruttamento presso un numero limitato di clienti e la CISA ha inserito la falla nel catalogo delle vulnerabilità sfruttate. La versione 4.6 è a fine vita: la patch 519 è l'ultima correzione prevista, e Ivanti indica CSA 5.0 come unica versione supportata (SecurityWeek, CyberScoop).

Una settimana dopo è emersa una seconda falla, CVE-2024-8963, di tipo path traversal e con gravità critica (9,4). Concatenata con la prima, consente di eseguire comandi con privilegi di amministratore senza averli; anche questa è stata sfruttata presso un numero limitato di clienti ed è entrata nel catalogo CISA. Ivanti ha consigliato a chi trova segni di compromissione di ricostruire l'appliance (The Register).

4. Slim CD: dieci mesi dentro un gateway di pagamento

Slim CD, società statunitense che fornisce a esercenti di commercio, ristorazione e ospitalità i sistemi per accettare pagamenti con carta, ha comunicato a settembre 2024 una violazione che riguarda quasi 1,7 milioni di persone. L'accesso non autorizzato è durato dal 17 agosto 2023 al 15 giugno 2024; i dati delle carte potrebbero essere stati visti o sottratti il 14 e 15 giugno 2024. Sono coinvolti nome, indirizzo, numero di carta e data di scadenza, ma non il codice di sicurezza (BleepingComputer).

Le persone avvisate in molti casi non hanno mai avuto un rapporto diretto con Slim CD: erano clienti degli esercenti che usavano il gateway. È lo schema tipico del rischio da fornitore, in cui la violazione di un solo anello tocca i clienti di molte aziende diverse.

5. Criptovalute: Indodax e BingX

Il 10 settembre 2024 sono iniziati i deflussi anomali da Indodax, la principale piattaforma di scambio di criptovalute in Indonesia, che dichiara oltre 6 milioni di utenti. Le società di analisi blockchain hanno stimato il furto in circa 22 milioni di dollari; Indodax ha sospeso il servizio per manutenzione e si è impegnata a rimborsare gli utenti colpiti. L'attacco non è stato attribuito (The Record).

Il 20 settembre BingX, piattaforma con sede a Singapore, ha rilevato attività anomale su un hot wallet. Le stime iniziali parlavano di oltre 44 milioni di dollari, poi salite a oltre 47 milioni secondo SlowMist. BingX ha spostato i fondi residui in cold wallet, sospeso temporaneamente i prelievi e dichiarato che la perdita rientrava nelle proprie riserve di capitale (Security Affairs).

Altri eventi da segnalare

23andMe (genetica): accordo da 30 milioni di dollari per chiudere la causa sulla violazione del 2023, che ha toccato 6,9 milioni di clienti; circa 25 milioni dovrebbero essere pagati dall'assicurazione.
Lehigh Valley Health Network (sanità): transazione da 65 milioni di dollari per l'attacco BlackCat del 2023, con oltre 130.000 pazienti e dipendenti coinvolti e la pubblicazione di immagini cliniche e foto di pazienti.
Star Health (assicurazioni, India): da fine settembre dati di oltre 30 milioni di clienti del primo assicuratore sanitario indiano, compresi documenti di sinistro, vengono offerti tramite chatbot Telegram. Il 24 settembre il tribunale di Madras concede un'ingiunzione chiesta dalla compagnia contro Telegram e l'autore.
Kawasaki Motors Europe (manifattura): server isolati dopo un attacco all'inizio di settembre, oltre il 90% delle funzioni ripristinate in circa una settimana; RansomHub rivendica il furto di 487 GB.
Microchip Technology (semiconduttori): il 4 settembre conferma alla SEC il furto di dati dei dipendenti nell'attacco di agosto, rivendicato da Play; spedizioni ripartite ma ripristino non completo.
Fortinet (sicurezza informatica): accesso a un numero limitato di file su un'unità cloud condivisa di un fornitore terzo, con dati di pochi clienti.
ENISA Threat Landscape 2024: il rapporto annuale dell'agenzia europea indica attacchi alla disponibilità e ransomware come minacce principali.

Impatto assicurativo

Port of Seattle. Coperture potenzialmente attivate: interruzione di attività, ripristino dei sistemi, notifica e responsabilità per i dati. Potenziale di cumulo: basso come evento, ma l'interruzione tocca compagnie aeree e operatori che dipendono dall'aeroporto. Nodo contrattuale: il rifiuto del riscatto sposta il costo sul ripristino; contano sottolimiti e durata del periodo di indennizzo.
MoneyGram. Coperture potenzialmente attivate: interruzione di attività, gestione dell'incidente, notifica, responsabilità verso i clienti. Potenziale di cumulo: medio, per gli agenti e i partner che dipendono dalla piattaforma. Nodo contrattuale: l'ingresso via social engineering sull'help desk, che mette al centro le procedure di verifica dell'identità prima del reset delle credenziali.
Ivanti CSA. Coperture potenzialmente attivate: tutte quelle di un incidente informatico. Potenziale di cumulo: alto, perché lo stesso prodotto è usato da molte organizzazioni. Nodo contrattuale: l'uso di software a fine vita, che alcune polizze trattano come aggravamento del rischio o come condizione di copertura.
Slim CD. Coperture potenzialmente attivate: responsabilità per violazione dei dati, notifica, costi verso i circuiti di pagamento. Potenziale di cumulo: alto lato esercenti. Nodo contrattuale: chi risponde verso i titolari delle carte, il gateway o l'esercente, e la durata dell'accesso rispetto alla retroattività.
Indodax e BingX. Coperture potenzialmente attivate: furto di asset digitali, ove previsto. Potenziale di cumulo: basso. Nodo contrattuale: molte polizze cyber escludono o limitano le criptovalute; contano la definizione di bene assicurato e i controlli sugli hot wallet.

Il sinistro si chiude anni dopo. Le transazioni di 23andMe e Lehigh Valley arrivano a settembre 2024 per incidenti del 2023. Per 23andMe circa 25 dei 30 milioni dovrebbero essere a carico dell'assicurazione: le cause collettive sono una parte rilevante del costo finale.

Il fornitore moltiplica le vittime. Slim CD mostra un danno a persone che non conoscevano il fornitore. Nelle valutazioni contano i fornitori di pagamento e di servizi gestiti, non solo i controlli interni dell'assicurato.

Il prodotto a fine vita è un segnale. Il caso Ivanti indica che l'inventario delle versioni installate è un'informazione utile in sede di assunzione del rischio.

Cosa portare nei rinnovi

L'assicurato usa prodotti o versioni a fine vita esposti su internet, e con quale piano di sostituzione?
Come verifica l'help desk l'identità di chi chiede un reset di password o di autenticazione a più fattori?
Quali fornitori di pagamento o di servizi gestiti trattano dati di carte per conto dell'assicurato, e con quali obblighi contrattuali in caso di violazione?
La polizza copre le cause collettive e le transazioni, con quale limite e con quale retroattività?
Esiste un piano di continuità per l'interruzione dei sistemi rivolti ai clienti, provato negli ultimi dodici mesi?
Sono coperti gli asset digitali, e con quali controlli sugli hot wallet?

Sul lato portafoglio, settembre 2024 suggerisce di censire l'esposizione a pochi fornitori comuni (gateway di pagamento, appliance di accesso remoto) e di tenere conto, nelle riserve, dei tempi lunghi delle cause collettive.