Ransomware Concevis 2023 — fatti e lezioni per le PMI

In breve: L’azienda svizzera di software Concevis AG è stata vittima di un attacco ransomware il 4 e 5 novembre 2023. Secondo il Centro nazionale per la cibersicurezza (oggi Ufficio federale della cibersicurezza, UFCS), gli aggressori hanno sottratto dati e poi cifrato tutti i server dell’azienda; tra i dati rubati figuravano presumibilmente anche vecchi dati operativi dell’Amministrazione federale. Concevis non ha pagato alcun riscatto, dopodiché gli aggressori hanno minacciato di pubblicare i dati nel darknet.

In sintesi

Data: attacco il 4 e 5 novembre 2023 (Concevis, citata dalla SRF); informazione pubblica della Confederazione il 14 novembre 2023 (NCSC/UFCS).
Azienda: Concevis AG, fornitrice di soluzioni software per amministrazioni pubbliche (Confederazione, Cantoni, Città), il settore finanziario, l’industria e la logistica (NCSC/UFCS).
Tipo di attacco: ransomware con furto di dati e successiva cifratura di tutti i server (NCSC/UFCS).
Impatto confermato: presumibilmente coinvolti vecchi dati operativi dell’Amministrazione federale; una compromissione dei sistemi federali è ritenuta improbabile (NCSC/UFCS).
Altri soggetti coinvolti: presso la Città di Lucerna possono essere coinvolti vecchi dati di domande per l’uso del suolo pubblico (Città di Lucerna). Presso Sympany sono stati cifrati i dati di uno strumento per le offerte gestito da Concevis; i sistemi informatici propri di Sympany non sono stati colpiti (Sympany).
Reazione: denuncia penale presso il Ministero pubblico di Basilea Città, coinvolgimento di un fornitore esterno di sicurezza, informazione dei clienti (NCSC/UFCS).

Quali fatti sono confermati?

Il 14 novembre 2023 l’NCSC ha comunicato che gli aggressori avevano prima sottratto dati e poi cifrato tutti i server di Concevis. Poiché l’azienda non ha dato seguito alla richiesta di riscatto, gli aggressori hanno minacciato di pubblicare i dati nel darknet.

Secondo l’NCSC, tra i clienti di Concevis figuravano l’Ufficio federale della protezione della popolazione, l’Ufficio federale dello sviluppo territoriale, l’Ufficio federale di statistica, l’Ufficio federale dell’aviazione civile, l’Amministrazione federale delle contribuzioni e il Comando Istruzione. Quali unità e quali dati fossero effettivamente coinvolti era allora ancora in fase di accertamento. Le applicazioni di Concevis sono gestite da fornitori di prestazioni dell’Amministrazione federale; le analisi svolte fino ad allora non hanno rilevato indizi di una compromissione dei sistemi federali.

Il 16 novembre 2023 la Città di Lucerna ha comunicato di utilizzare l’applicazione eLICET di Concevis per le domande di uso del suolo pubblico. Possono essere coinvolti vecchi dati delle domande, come nome, indirizzo, data di nascita, numero di telefono, indirizzo e-mail e informazioni sull’evento. La Città ha escluso un’ulteriore compromissione dei propri sistemi. L’assicuratore malattia Sympany ha segnalato l’incidente alla FINMA, all’IFPDT e all’UFSP.

Che cosa non è noto?

Le fonti ufficiali citate non indicano né il gruppo responsabile né il punto d’ingresso degli aggressori. Non quantificano l’importo del riscatto richiesto, il volume dei dati sottratti, un danno finanziario o la durata di un’eventuale interruzione dell’attività. Non confermano se e quali dati siano stati effettivamente pubblicati. Non vi sono informazioni su una polizza assicurativa o sulla liquidazione di un sinistro presso Concevis.

Inquadramento per la cyberassicurazione

Dal solo incidente non si può dedurre alcun impegno di copertura. A seconda del contratto, moduli rilevanti possono essere tra l’altro la risposta agli incidenti e l’informatica forense, il ripristino dei dati, l’interruzione dell’attività, la consulenza legale e in materia di protezione dei dati, la notifica alle persone interessate, la comunicazione di crisi e una copertura di responsabilità civile per le pretese dei clienti. Se e in quale misura sussista una prestazione dipende in particolare dal testo contrattuale, da sottolimiti ed esclusioni, dagli obblighi di sicurezza concordati e dal concreto processo di gestione del sinistro.

Il caso è particolarmente rilevante per i fornitori di software, perché possono essere coinvolti i dati dei loro clienti. Per i clienti di tali fornitori si pone la questione se gli incidenti presso i fornitori siano considerati nella propria polizza.

Lezioni per le PMI svizzere

Censire i dati presso i fornitori: tenete un elenco di quali fornitori di software conservano quali vostri dati, comprese copie e archivi più vecchi.
Regolare la minimizzazione dei dati per contratto: stabilite quali dati servono a un fornitore, per quanto tempo li conserva e quando li cancella. Il caso mostra che proprio le vecchie copie di dati possono essere coinvolte.
Preparare i canali di segnalazione: chiarite in anticipo chi informa chi in caso di incidente presso un fornitore, come vengono avvisate le persone interessate e quali autorità di vigilanza sono rilevanti.
Verificare la separazione dei sistemi: controllate se un fornitore compromesso potrebbe accedere ai vostri sistemi e limitate gli accessi allo stretto necessario.
Testare i backup offline: se tutti i server vengono cifrati, backup separati e testati regolarmente sono decisivi per il ripristino.
Verificare la polizza rispetto ai rischi della catena di fornitura: chiarite con il vostro assicuratore o broker come sono disciplinati gli incidenti presso i fornitori e le pretese di responsabilità civile di terzi.

Attacco ransomware contro Concevis

In sintesi

Quali fatti sono confermati?

Che cosa non è noto?

Inquadramento per la cyberassicurazione

Lezioni per le PMI svizzere

Fonti

Avete domande sulle cyberassicurazioni?