ANALISI
Transport for London: cosa insegna a chi assume il rischio cyber un attacco senza fermo dei treni
Tra il 31 agosto e il 3 settembre 2024 Scattered Spider è entrato nella rete di Transport for London: 148 sistemi fermi, 27.000 password da rifare di persona, 29 milioni di sterline di costi. L'analisi: identità, servizi pubblici, dati, cumulo e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di settembre 2024 · di cybercoverinsurance
Tra il 31 agosto e il 3 settembre 2024 due giovani del gruppo Scattered Spider sono entrati nella rete di Transport for London (TfL), l'ente che gestisce i trasporti pubblici della capitale britannica. Metropolitana e autobus hanno continuato a funzionare. Ma 148 sistemi interni sono diventati inutilizzabili, 27.000 dipendenti hanno dovuto presentarsi di persona per reimpostare la password e alcuni servizi ai cittadini sono rimasti fermi per mesi. TfL ha indicato perdite e costi di ripristino per 29 milioni di sterline.
Il caso è utile a chi assume il rischio cyber per tre ragioni. Mostra quanto costa ricostruire l'identità digitale di un'intera organizzazione. Mostra quanto la stima iniziale dei dati sottratti possa allontanarsi da quella finale. E mostra il divario tra il danno subito e il danno evitato per poco: secondo l'accusa, un blocco della rete di trasporto avrebbe potuto costare all'economia britannica fino a 56 miliardi di sterline.
Cosa si sa
L'attacco. Secondo la National Crime Agency (NCA), la rete di TfL è stata violata tra il 31 agosto e il 3 settembre 2024. Gli autori sono Thalha Jubair, di Londra, e Owen Flowers, di Walsall, indicati come membri di primo piano di Scattered Spider (NCA). Flowers è stato arrestato una prima volta il 6 settembre 2024. Secondo la procura britannica, nello stesso periodo stava attaccando due gruppi sanitari statunitensi, SSM Health e Sutter Health (CPS).
I danni operativi. La NCA riporta 148 sistemi resi inutilizzabili, diversi dei quali sostituiti per settimane da procedure manuali. Sono stati colpiti il servizio Dial-a-Ride per le persone con disabilità, le tessere di viaggio agevolate, il canale dei pagamenti digitali e l'estensione prevista del pagamento contactless. Il sistema dei rimborsi Oyster è stato violato e quello delle richieste di tessere con foto per ragazzi è stato chiuso. Per contenere l'attacco, TfL ha dovuto spegnere parte della propria rete (CPS).
I dati. All'inizio TfL aveva parlato di dati bancari di circa 5.000 clienti legati ai rimborsi Oyster (The Register). A marzo 2026 un'inchiesta della BBC ha stimato in circa 10 milioni le persone con nomi, indirizzi e contatti sottratti. TfL ha inviato comunicazioni a circa 7,1 milioni di clienti. Secondo la stessa fonte, l'Information Commissioner's Office ha chiuso il caso a febbraio 2025 senza provvedimenti formali (Tech Digest).
Il processo. Jubair e Flowers sono stati arrestati di nuovo il 16 settembre 2025, si sono dichiarati colpevoli il 22 giugno 2026 e il 16 luglio 2026 sono stati condannati a cinque anni e sei mesi ciascuno. La NCA lo definisce il più grande procedimento per reati informatici mai portato davanti a un tribunale britannico. La perdita di 29 milioni di sterline è il dato indicato da TfL. Alcuni articoli riportano 39 milioni, senza una fonte primaria. La NCA non ha pubblicato la ripartizione dei costi.
Cosa non è noto. Né la NCA né la procura hanno indicato come gli attaccanti siano entrati. Il gruppo è noto per l'ingegneria sociale verso gli help desk, ma per TfL questo collegamento non risulta dagli atti pubblici.
L'identità come costo di ripristino
Rifare 27.000 password di persona è una voce di danno, non un dettaglio. Quando un attaccante ha avuto accesso ai sistemi di autenticazione, il ripristino richiede di verificare di nuovo l'identità di ogni utente. TfL lo ha fatto convocando tutti i dipendenti in ufficio. È tempo di lavoro perso, costi logistici e servizi rallentati, per settimane.
Le polizze coprono il ripristino, ma con definizioni da leggere. Le garanzie di ripristino dei dati e dei sistemi rispondono di norma ai costi per riportare i sistemi allo stato precedente all'attacco. Il tempo del personale interno e le procedure manuali sono spesso coperti solo come costi straordinari, entro sottolimiti. Per un'organizzazione con decine di migliaia di dipendenti, la ricostruzione dell'identità può valere quanto l'analisi forense.
I miglioramenti non sono ripristino. Un ente che dopo l'attacco adotta un sistema di autenticazione più robusto sostiene un costo che molte polizze escludono come miglioria. Il confine tra ripristino e miglioramento va chiarito prima del sinistro.
Un ente pubblico non perde fatturato, perde servizi
La business interruption classica misura poco. TfL ha continuato a far circolare treni e autobus. Il danno è stato altrove: rimborsi ritardati, tessere non emesse, servizi sociali bloccati, un progetto di estensione del contactless rinviato. Una garanzia calcolata sulla perdita di margine intercetta male questo tipo di danno.
I costi straordinari sono la voce che conta. Per enti pubblici e organizzazioni senza scopo di lucro, la protezione utile è quella sui costi aggiuntivi per mantenere i servizi: personale extra, processi manuali, comunicazioni ai cittadini. Le domande di assunzione dovrebbero chiedere quali servizi critici possono andare avanti a mano, per quanto tempo e a quale costo.
Il rinvio dei progetti non è quasi mai coperto. Il ritardo nell'estensione del contactless è un costo reale per l'ente, ma raramente rientra in una garanzia di interruzione. È un danno che resta all'assicurato.
Dati: la stima iniziale non è quella finale
Da 5.000 a 10 milioni. A settembre 2024 il dato pubblico erano circa 5.000 clienti con dati bancari. Diciotto mesi dopo la stima giornalistica era di circa 10 milioni di persone con dati anagrafici e di contatto. Le due cifre misurano cose diverse, ma il segnale per chi assume il rischio è chiaro: la riserva di un sinistro con furto di dati non va fissata sul primo comunicato.
Notificare milioni di persone ha un costo misurabile. TfL ha scritto a circa 7,1 milioni di clienti. Il costo delle notifiche, dei servizi di assistenza e del monitoraggio, quando offerto, cresce con il numero di persone, non con la gravità del dato. Un ente con molti clienti registrati ha un'esposizione elevata anche quando i dati sono solo anagrafici.
Il regolatore non sempre sanziona. La chiusura del caso da parte dell'ICO senza provvedimenti formali, secondo Tech Digest, riduce il rischio di sanzioni. Non riduce il rischio di azioni dei clienti, che nel Regno Unito restano possibili.
Il danno evitato e il cumulo
56 miliardi di sterline sono uno scenario, non un sinistro. La NCA riporta la stima secondo cui un blocco della rete di trasporto avrebbe potuto costare all'economia britannica fino a 56 miliardi di sterline. Nelle chat tra i due, citate dall'accusa, si parlava di «annientare l'accesso» ai sistemi di TfL (CPS). L'attacco non ci è arrivato. Ma il caso mostra quanto vicino possa passare un evento sistemico a partire da un'intrusione criminale ordinaria.
Il cumulo passa dagli assicurati che dipendono dall'ente. Un fermo prolungato dei trasporti di una capitale colpirebbe migliaia di imprese senza che nessuna di loro sia stata violata. Le garanzie di interruzione per dipendenza coprono di solito fornitori IT nominati, non servizi pubblici. È un'area in cui il danno economico reale e quello assicurato divergono molto.
Lo stesso gruppo, molti settori. Mentre attaccava TfL, Flowers lavorava contro due gruppi sanitari statunitensi (CPS). Gli stessi attori, con le stesse tecniche, colpiscono settori diversi in pochi giorni. Per un portafoglio, il cumulo non passa solo dai fornitori comuni, ma anche dagli attaccanti comuni.
Cosa portare nei rinnovi
Impatto per gli assicuratoriAlto
Un ente con milioni di clienti registrati e decine di migliaia di dipendenti somma costi di ripristino, notifiche e servizi manuali, anche senza perdita di fatturato.
Sul lato portafoglio, i grandi enti pubblici e le aziende di servizi sono nodi da cui dipendono molti altri assicurati. Una mappa di queste dipendenze, anche solo per settore e area geografica, aiuta a stimare lo scenario di danno che la NCA ha descritto e che nel 2024 non si è verificato.