La Federazione Calcistica Olandese Paga un Riscatto di 1
Data: 14 Settembre 2023
La Federazione Calcistica Olandese (KNVB) ha recentemente optato per versare un riscatto di 1 milione di dollari al gruppo di hacker noto come LockBit. Questa mossa è stata fatta per prevenire la divulgazione di dati sensibili dei suoi membri, tra cui informazioni sui passaporti, indirizzi residenziali e dettagli sugli stipendi dei calciatori professionisti.
L'attacco informatico è stato condotto dal gruppo LockBit nell'aprile di quest'anno. Gli esperti nel campo della sicurezza informatica hanno espresso preoccupazione per questa decisione, sottolineando che potrebbe incoraggiare ulteriori attacchi di questo tipo.
Secondo Lisette Meij, una specialista in diritto tecnologico, la decisione della KNVB è giustificabile poiché le vere vittime sono le persone i cui dati sono a rischio. Ha inoltre osservato che gli hacker di LockBit seguono un modello specifico: se il riscatto non viene pagato, iniziano a minacciare di divulgare i dati, spesso rilasciando piccole porzioni di essi sulla darknet.
Tuttavia, alcuni esperti criticano la decisione della KNVB, sostenendo che pagare il riscatto potrebbe semplicemente incoraggiare ulteriori attacchi criminali. Altri ritengono che la probabilità di ulteriori divulgazioni di dati sulla darknet sia bassa, poiché ciò potrebbe compromettere i piani di profitto dei criminali.
La KNVB ha avvertito le vittime potenziali dell'abuso dei loro dati e ha sottolineato che la prevenzione della fuga di dati è più importante del principio di non cedere alle richieste di estorsione.
I funzionari della KNVB non hanno rilasciato dichiarazioni sul valore esatto del riscatto pagato, ma secondo le fonti di RTL Nieuws, la somma richiesta dagli estorsori era superiore a 1 milione di euro.
Fonte: Red Hot Cyber
Cosa insegna un caso come questo
Il primo elemento è che il pagamento non ha risolto. Gli esperti di sicurezza hanno più volte documentato casi in cui, anche dopo il versamento, i dati sono comunque comparsi online o la chiave fornita ha permesso di recuperare solo una parte degli archivi. Pagare compra una promessa fatta da chi ha appena dimostrato di non essere affidabile.
Il secondo è la natura dei dati coinvolti. Una federazione sportiva tratta dati di tesserati, dipendenti e minori, e in molti casi dati sanitari legati alle visite di idoneità: sono categorie che il GDPR protegge in modo rafforzato, con obblighi di notifica e conseguenze sanzionatorie autonome rispetto al danno dell'attacco.
Il terzo è che il conto vero arriva dopo: analisi forense, ricostruzione dei sistemi, comunicazione agli interessati, assistenza legale, rapporti con l'autorità di controllo. In incidenti di questa scala il riscatto è spesso la voce minore del costo complessivo.
Le tre decisioni da prendere prima, non durante
Chi decide. In un incidente serve sapere in anticipo chi ha l'autorità di fermare i sistemi, chi parla con l'esterno e chi contatta l'autorità. Deciderlo mentre i sistemi sono cifrati significa perdere le ore che contano di più.
Con chi si lavora. Il nome e il numero di un team di risposta agli incidenti vanno individuati prima. Cercare un fornitore in emergenza costa di più e fa perdere tempo.
Cosa si comunica. Una bozza di comunicazione a clienti, dipendenti e fornitori preparata a mente fredda evita sia il silenzio che alimenta i sospetti, sia le dichiarazioni affrettate da correggere il giorno dopo.
Cosa può fare una copertura cyber
Le polizze cyber per organizzazioni e imprese coprono tipicamente i costi di risposta all'incidente, l'interruzione dell'attività, gli oneri di notifica agli interessati, l'assistenza legale e la responsabilità civile verso i terzi i cui dati sono stati compromessi. L'eventuale garanzia sul pagamento del riscatto, dove prevista, è soggetta a condizioni specifiche e ad autorizzazione preventiva.
Non è un sostituto delle misure di sicurezza: molte polizze subordinano l'operatività al rispetto di requisiti minimi dichiarati in fase di sottoscrizione. Coperture, massimali ed esclusioni sono regolate dalle Condizioni di Assicurazione, da leggere prima della sottoscrizione.