Gen 04, 2024 Marina Londei Approfondimenti, In evidenza, Minacce, RSS 0

---

Con la diffusione di nuove minacce informatiche e l’evoluzione delle tecniche di attacco, le imprese sono sempre più a rischio di incidenti di sicurezza. Affidarsi a soluzioni di cybersecurity ed esperti del settore è obbligatorio, ma non sempre è sufficiente a sventare gli attacchi; per questo è importante sottoscrivere una cyber insurance per ridurre la responsabilità dell’azienda e le ripercussioni finanziarie.

Le organizzazioni hanno compreso l’importanza di sottoscrivere una polizza assicurativa: come riporta Marco D’Elia, Country Manager Italia di Sophos, secondo uno studio della compagnia il 91% delle compagnie a livello globale ha sottoscritto una qualche forma di cyber insurance. Il 47% delle imprese ha scelto una polizza indipendente, mentre il 44% ha scelto una polizza integrata in una soluzione di sicurezza più ampia.

D’Elia sottolinea che prima di sottoscrivere una polizza è essenziale valutare lo stato delle soluzioni esistenti, scegliendo la protezione che meglio si adatta ai bisogni aziendali. Stando ai dati dello studio di Sophos, il 95% delle imprese coinvolte ha affermato che la qualità delle proprie difese di sicurezza ha un impatto diretto sull’assicurazione che scelgono, sia in termini di costi che di policy.

Secondo il report, il 62% delle organizzazioni ha dichiarato che lo stato delle proprie difese ha impattato sui costi della cyber insurance, mentre per il 28% ha impattato sui termini del contratto. È interessante notare che le misure di cybersecurity messe in campo hanno un ruolo più centrale nell’ottenere una cyber insurance indipendente rispetto a una integrata: il 71% delle realtà con policy indipendenti ha affermato che la qualità delle proprie protezioni ha influenzato la copertura assicurativa, contro il 49% di coloro che hanno scelto una soluzione integrata.

In entrambi i casi è importante migliorare l’efficacia e la robustezza delle soluzioni di sicurezza in uso prima di individuare una cyber insurance adatta. “Assicurare un livello di protezione il più possibile completo e robusto è fondamentale per risparmiare soldi e selezionare la policy che soddisfa i requisiti di business” – afferma D’Elia.

La cyber insurance migliora la risposta ai ransomware

Le polizze assicurative contro gli attacchi cyber sono particolarmente utili per affrontare le conseguenze di un attacco ransomware. Questo tipo di malware è tra i più diffusi degli ultimi anni ed è anche uno di quelli che spaventa di più le aziende: gli attaccanti evolvono costantemente le loro tecniche, tattiche e procedure e non è sempre facile bloccare le intrusioni.

Per questo, oltre alle soluzioni di sicurezza, le imprese dovrebbero stipulare una polizza che le protegga dalle ripercussioni di cifratura, furto o eliminazione dei dati. Lo studio di Sophos ha dimostrato che le compagnie che possono contare su un’assicurazione cyber hanno più probabilità di recuperare i dati cifrati: il 98% di coloro che hanno una cyber insurance ha ripristinato le informazioni compromesse contro l’84% di chi non ha un’assicurazione. Va comunque sottolineato che i beneficiari di una polizza assicurativa cyber sono più inclini a pagare il riscatto rispetto a chi non la possiede.

La cyber insurance, elemento ormai essenziale per la protezione delle aziende, non può esistere senza un’adeguata manutenzione delle soluzioni di sicurezza in uso e l’applicazione di misure di sicurezza volte a proteggere tutti gli asset delle imprese. Qualsiasi sia il settore della propria organizzazione, i leader aziendali devono garantire una protezione affidabile ed efficace per proteggere dati e sistemi da qualsiasi tipo di attacco.

---

---

---

https://www.securityinfo.it/2024/01/04/importanza-cyber-insurance-rischio-sicurezza/?utm_source=rss&utm_medium=rss&utm_campaign=importanza-cyber-insurance-rischio-sicurezza

Gen 03, 2024 Marina Londei Gestione dati, In evidenza, News, RSS 0

---

La crociata di Google contro i cookie di terze parti sta per partire: a partire dal 4 gennaio la compagnia comincerà a testare Tracking Protection, una nuova funzionalità parte dell’iniziativa Privacy Sandbox che limita il tracking cross-site restringendo di default l’accesso alle pagine da parte dei cookie terzi.

Il test avverrà per una piccola parte degli utenti Chrome, i quali verranno selezionati casualmente. Chi rientrerà nei test riceverà una notifica e verrà informato del blocco dei cookie impostato di default. Se un sito non dovesse funzionare senza cookie e Chrome si dovesse accorgere del problema, il browser consentirà all’utente di disabilitare temporaneamente la funzionalità.

Tracking Protection: il primo step verso Privacy Sandbox

Lanciata nel 2019, Privacy Sandbox mira a tutelare la privacy degli utenti eliminando i cookie di terze parti, limitando il monitoraggio nascosto. 

Google sta lavorando con altri stakeholder per identificare nuovi standard per il web che permettano da una parte di garantire la riservatezza delle informazioni degli utenti, e dall’altra continuare a proporre annunci rilevanti. L’idea alla base dell’iniziativa è di aggregare le informazioni sulle persone invece di tracciare il singolo, mostrando determinati annunci a un gruppo di utenti accomunati da interessi affini.

Esistono già alcune API pensate per definire categorie di interessi su cui basare gli annunci, misurare la conversione delle pubblicità e aggregare le statistiche su utenti e campagne di marketing.

“Con Tracking Protection, Privacy Sandbox e tutte le funzionalità che lanceremo in Chrome, continueremo a lavorare per creare un web più privato che mai e universalmente accessibile a tutti” ha affermato Anthony Chavez, VP, Privacy Sandbox di Google.

Il test coinvolgerà solo l’1% degli utenti Chrome. Tracking Protection è il primo passo del percorso di Google nell’eliminazione graduale dei cookie di terze parti, previsto in conclusione per la seconda metà del 2024.

---

---

---

https://www.securityinfo.it/2024/01/03/stop-ai-cookie-di-terze-parti-su-chrome-ecco-tracking-protection/?utm_source=rss&utm_medium=rss&utm_campaign=stop-ai-cookie-di-terze-parti-su-chrome-ecco-tracking-protection

Dic 29, 2023 Marina Londei Hacking, In evidenza, News, Vulnerabilità 0

---

Il Global Research and Analysis Team (GReAT) di Kaspersky ha scoperto una vulnerabilità nel System on a Chip (SoC) di Apple che è stata fondamentale nei recenti attacchi di Operation Triangulation. 

La campagna, scoperta dai ricercatori di Kaspersky, sfruttava quattro vulnerabilità zero-day per distribuire un malware che non necessitava dell’interazione utente per essere eseguito.

Ora il team della compagnia di sicurezza ha scoperto un’ulteriore vulnerabilità sfruttata dagli attaccanti, una funzionalità hardware che sembra fosse destinata solo al test o al debug. Dopo l’attacco iniziale a iMessage e successiva escalation dei privilegi, gli attaccanti hanno sfruttato la funzione per aggirare le protezioni di sicurezza basate su hardware e manipolare il contenuto delle aree di memoria protette, ottenendo in questo modo il controllo totale del dispositivo.

Poiché questa funzionalità non è stata documentata pubblicamente, è stato molto difficile rilevarla coi metodi di sicurezza convenzionali. Il GReAT si è occupato di un meticoloso reverse engineering, analizzando l’integrazione tra hardware e software dell’iPhone e in particolare gli indirizzi Memory-Mapped I/O (MMIO) utilizzati per facilitare la comunicazione tra la CPU e i dispositivi periferici del sistema.

Gli attaccanti hanno utilizzato indirizzi MMIO sconosciuti e difficili da identificare, tanto che il team di Kaspersky ha dovuto analizzare a fondo il funzionamento del SoC e l’interazione col sistema operativo per comprendere la gestione della memoria e i meccanismi di protezione, nel tentativo di trovare qualsiasi riferimento agli indirizzi.

“Non si tratta di una vulnerabilità ordinaria e, a causa della natura chiusa dell’ecosistema iOS, il processo di scoperta è stato impegnativo e ha richiesto una comprensione completa delle architetture hardware e software. Questa scoperta ci insegna ancora una volta che anche le protezioni avanzate basate sull’hardware possono essere rese inefficaci di fronte a un aggressore sofisticato, in particolare quando esistono caratteristiche hardware che consentono di bypassare queste protezioni” ha spiegato Boris Larin, Principal Security Researcher del GReAT di Kaspersky.

Operation Triangulation è attiva dal 2019, quindi è probabile che la vulnerabilità sia stata utilizzata per quattro anni prima di essere individuata dal team di Kaspersky. Apple ha risolto il bug e ha invitato gli utenti con iPhone vulnerabili ad aggiornare il prima possibile i dispositivi.

---

---

---

https://www.securityinfo.it/2023/12/29/scoperta-una-vulnerabilita-hardware-negli-iphone-usata-in-operation-triangulation/?utm_source=rss&utm_medium=rss&utm_campaign=scoperta-una-vulnerabilita-hardware-negli-iphone-usata-in-operation-triangulation

Dic 28, 2023 Marina Londei In evidenza, Minacce, News, RSS 0

---

Il problema delle password di default nei dispositivi e nei sistemi è molto sentito: i cybercriminali continuano a sfruttare le credenziali preimpostate per ottenere accesso iniziale alle infrastrutture e spostarsi nelle reti aziendali; per questo CISA, l’agenzia governativa statunitense di cybersecurity, ha pubblicato un avviso rivolto a tutti i produttori OT invitandoli a eliminare le password di default nei propri prodotti.

“Anni di riscontri hanno dimostrato che affidarsi al cambio password da parte dei consumatori non è sufficiente e solo azioni collettive da parte dei produttori tecnologici riusciranno a gestire adeguatamente i gravi rischi a cui sono esposte le infrastrutture critiche delle organizzazioni” si legge nell’avviso.

L’Agenzia ha definito “inaccettabile” l’uso di password conosciute e semplici come “1234”, “default” e “password”, sottolineando che si tratta di una delle debolezze più usate per accedere ai sistemi delle aziende.

Eliminare le password di default per garantire prodotti “Secure by Design”

Nell’avviso CISA ha imposto ai produttori di seguire due dei tre principi già definiti per assicurare che i prodotti di tecnologia siano “Secure by Design”, ovvero costruiti in modo da essere protetti contro le principali minacce.

Il primo principio richiede ai produttori di prendersi la responsabilità delle implicazioni di sicurezza di sistemi e dispositivi e dell’utilizzo che ne fa l’utente; ciò implica che i prodotti devono essere sviluppati per essere resistenti contro le minacce prevedibili, prima fra tutte l’uso delle password di default da parte degli attaccanti.

In questo caso i produttori dovrebbero fornire password uniche per il setup del prodotto, possibilmente temporanee e che vengano disabilitate automaticamente dopo l’inizializzazione, richiedendo all’utente di seguire metodi di autenticazione più sicuri. L’obiettivo di questo principio è di creare sicurezza duratura per la gestione dei prodotti fin dalle fasi di installazione.

L’altro principio su cui si sofferma CISA riguarda la creazione di una cultura di cybersecurity nell’azienda produttrice, affinché i dipartimenti che si occupano del design, dello sviluppo e della consegna dei prodotti siano consapevoli dei problemi di sicurezza e lavorino per contenerli.

I team dovrebbero dare priorità alla comprensione dell’utilizzo dei prodotti da parte dei consumatori, cercando di identificare i possibili punti critici per mitigare i rischi di cybersecurity. 

La volontà dell’Agenzia è di sollevare gli utenti dalla maggior parte della responsabilità di sicurezza e portare i produttori a integrare le buone pratiche di protezione dei dispositivi sin dalla fase di design. 

---

---

---

https://www.securityinfo.it/2023/12/28/stop-alle-password-di-default-cisa-chiede-ai-produttori-ot-di-eliminarle/?utm_source=rss&utm_medium=rss&utm_campaign=stop-alle-password-di-default-cisa-chiede-ai-produttori-ot-di-eliminarle

Dic 22, 2023 Marina Londei In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Alcuni cybercriminali stanno sfruttando una vecchia vulnerabilità di Microsoft Office per diffondere Agent Tesla, un malware piuttosto datato in grado di ottenere informazioni sensibili delle vittime e inviarle agli attaccanti; a dirlo sono i ricercatori di sicurezza di Zscaler.

La vulnerabilità, identificata come CVE-2017-11882, si tratta di un bug di Memory Corruption che consente a un attaccante di eseguire codice arbitrario coi privilegi dell’utente corrente. La falla è presente in Office 2007 Service Pack 2, Office 2010 Service Pack 2, Office 2013 Service Pack 1 e Office 20216.

In un post sul blog della compagnia, il ricercatore di ZScaler Kaivalya Khursale spiega che la nuova campagna consiste in una serie di email di spam con allegati malevoli .xlam. L’obiettivo degli attaccanti è indurre le vittime a scaricare e aprire questi file, nella speranza di trovare versioni vulnerabili di Excel.

Le email analizzate contengono informazioni su fantomatici ordini effettuati dagli utenti e chiedono di verificare i dati del file per poter procedere con le consegne e i pagamenti. Se la vittima scarica l’allegato e lo apre con una versione vulnerabile di Excel, il file esegue uno script che inizializza la comunicazione col server degli attaccanti e scarica altri file malevoli per installare Agent Tesla sul dispositivo.

Il malware a quel punto cerca di sottrarre dati sensibili da diversi browser e client FTP, tra i quali credenziali e testo copiato dagli utenti, e inviare le informazioni raccolte a un bot Telegram controllato dagli  attaccanti.

Secondo l’analisi di Zscaler, le istanze di Agent Tesla analizzate cercavano di sottrarre credenziali da client mail come Discord, Opera Mail, FileZilla, Mailbird OpenVPN e molti altri.

Il consiglio è come sempre quello di scaricare e aprire solo gli allegati provenienti da fonti attendibili, e in caso di dubbi verificare la legittimità delle comunicazioni con il presunto mittente; inoltre, è essenziale mantenere aggiornato il software in uso per evitare di utilizzare prodotti vulnerabili e non più soggetti a manutenzione.

---

---

---

https://www.securityinfo.it/2023/12/22/agent-tesla-torna-a-diffondersi-grazie-a-una-vecchia-vulnerabilita-di-office/?utm_source=rss&utm_medium=rss&utm_campaign=agent-tesla-torna-a-diffondersi-grazie-a-una-vecchia-vulnerabilita-di-office

Dic 21, 2023 Marina Londei Attacchi, In evidenza, News 0

---

Pochi giorni fa il Dipartimento di Giustizia degli Stati Uniti ha annunciato che l’FBI è riuscita ad accedere ai server di BlackCat (ALPHV), il gruppo dietro l’omonimo ransomware, per monitorare le attività e ottenere le chiavi di decrittazione.

Come riporta BleepingComputer, l’Agenzia statunitense ha osservato per mesi l’attività del ransomware ottenendo al contempo le chiavi per decifrare i file; queste sono state condivise con più di 400 vittime del malware, aiutandole a recuperare i file cifrati per un risparmio totale di 68 milioni di dollari.

La conferma del Dipartimento di Giustizia arriva dopo la pubblicazione di un mandato di cattura per i cybercriminali di BlackCat dove si specifica che l’FBI è riuscito ad accedere alla rete del gruppo. “L’FBI ha identificato e ottenuto 946 coppie di chiavi pubbliche/private per i siti Tor che il gruppo ransomware BlackCat ha usato per le comunicazioni, i leak e le offerte per gli affiliati” si legge nel mandato.

Il documento spiega che l’Agenzia è riuscita a scoprire gli indirizzi Tor di ciascuna vittima usati dal gruppo per la negoziazione del riscatto e li ha usati per contattare le aziende colpite e fornire a ciascuna le chiavi di decrittazione.

L’FBI ha inoltre preso il controllo del sito dei leak di BlackCat, pubblicando un avviso sul risultato dell’operazione. Nella nota l’Agenzia inviata chiunque avesse informazioni sul gruppo o sui suoi affiliati a contattarla, offrendo in cambio una ricompensa.

BlackCat promette di vendicarsi

Qualche giorno dopo l’operazione dell’FBI, BlackCat è tornato a reclamare i propri server annunciando sul sito dei leak di aver ripreso il controllo del sito web, affermando che l’Agenzia sarebbe riuscita ad accedere soltanto a uno dei loro data center.

Il gruppo ha specificato che, anche se l’FBI è riuscita ad aiutare più di 400 compagnie, a pagare le conseguenze di questo attacco saranno oltre 3.000 aziende che non riceveranno mai le proprie chiavi di decrittazione.

BlackCat ha inoltre annunciato di aver rimosso ogni restrizione per i propri affiliati; ciò significa che i gruppi partner potranno ora colpire qualsiasi organizzazione, incluse le infrastrutture critiche. Restano invece valide le restrizioni per gli attacchi contro la Comunità degli Stati Indipendenti (CSI).

“Grazie per la vostra esperienza, terremo conto dei nostri errori e lavoreremo ancora più duramente, in attesa dei vostri piagnistei in chat e delle richieste di sconti che non esistono più” conclude la nota.

---

---

---

https://www.securityinfo.it/2023/12/21/fbi-sequestra-i-server-di-blackcat-ma-il-gruppo-torna-a-reclamarli-e-minaccia-le-infrastrutture-critiche/?utm_source=rss&utm_medium=rss&utm_campaign=fbi-sequestra-i-server-di-blackcat-ma-il-gruppo-torna-a-reclamarli-e-minaccia-le-infrastrutture-critiche

Dic 20, 2023 Marina Londei Approfondimenti, Campagne malware, In evidenza, RSS 0

---

Aumentano gli attacchi tramite chiavette USB: secondo le indagini di Check Point, le chiavette stanno diventando uno dei vettori d’attacco più diffusi, usate sia da criminali informatici che da gruppi hacker legati ai governi.

Gli attaccanti considerando le unità USB come il modo migliore per infettare reti isolate, segmentate e altamente protette. Il trend era sotto osservazione già nel 2022, quando l’FBI aveva lanciato un allarme riguardo una campagna ai danni delle società di difesa statunitensi, nella quale i cybercriminali inviavano USB con payload dannosi ai loro dipendenti.

Anche in Italia la situazione non è delle migliori: Check Point riporta che lo ZLab di Yoroi, società di cybersecurity, ha rilevato una minaccia persistente che colpisce le aziende italiane di diversi settori tramite unità USB infette. Si tratta di una nuova famiglia di malware che, una volta compromesso il dispositivo della vittima, carica altri payload malevoli in diversi linguaggi di programmazione, tra cui NodeJS, Python, .NET e Golang.

Il malware è stato chiamato “Vetta Loader” dai ricercatori di Yoroi e, secondo la compagnia, dietro la campagna c’è un gruppo di cyberattaccanti italiani. I primi attacchi si sarebbero verificati nel 2020.

Le chiavette USB infette contengono un file .lnk che, una volta aperto, esegue uno script PowerShell che a sua volta scarica un file presente in un file caricato sulla piattaforma Vimeo, contenente il payload del malware vero e proprio in una delle quattro varianti individuate.

Il consiglio è di utilizzare solo chiavette USB provenienti da fonti conosciute, abilitare la scansione automatica dei dispositivi con l’antivirus e utilizzare programmi per sanificare le chiavette.

---

---

---

https://www.securityinfo.it/2023/12/20/aumentano-gli-attacchi-tramite-chiavette-usb-in-italia-spicca-vetta-loader/?utm_source=rss&utm_medium=rss&utm_campaign=aumentano-gli-attacchi-tramite-chiavette-usb-in-italia-spicca-vetta-loader

Dic 19, 2023 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Pochi giorni fa 3CX, fornitore di soluzioni per i centralini telefonici e videoconferenze, ha esortato i propri clienti a disabilitare alcune integrazioni coi database a causa di una vulnerabilità presente in alcune configurazioni.

Le integrazioni colpite sono quelle con MongoDB, MsSQL, MySQL e PostgreSQL. La compagnia ha spiegato che si tratta di una disattivazione temporanea in attesa che venga rilasciata una patch di sicurezza. Le versioni della piattaforma di 3CX colpite dalla vulnerabilità sono la 18 e la 20.

Per disattivare l’integrazione è sufficiente accedere alle impostazioni del CRM dalla console di gestione e selezionare “Nessuna” tra le soluzioni proposte. Le integrazioni CRM web-based non sono vulnerabili.

In un post sul blog dell’azienda Nick Galea, CEO di 3CX, ha spiegato che i template di integrazione “possono essere soggetti ad attacchi di SQL injection se il server 3CX è raggiungibile dal web e non ci sono firewall a proteggere la macchina”; in caso di attacco, gli aggressori possono manipolare le query sul database per esfiltrare o compromettere i dati presenti.

L’azienda ha rilasciato un hotfix pochi giorni dopo l’avviso di sicurezza e ha invitato i propri clienti ad aggiornare la piattaforma. La soluzione prevede un template SQL per costruire query parametrizzate ed evitare la SQL injection. “In generale consigliamo fortemente di utilizzare API web moderne e sicure, non query SQL dirette” scrive Galea.

La compagnia ha specificato che attualmente solo lo 0.25% dei suoi clienti ha il database SQL integrato e che la configurazione vulnerabile è di vecchia data; in ogni caso è importante che questi clienti aggiornino il software il prima possibile o disabilitino l’integrazione se non strettamente necessaria.

---

---

---

https://www.securityinfo.it/2023/12/19/vulnerabilita-3cx-la-compagnia-chiede-ai-clienti-di-disabilitare-le-integrazioni-coi-database/?utm_source=rss&utm_medium=rss&utm_campaign=vulnerabilita-3cx-la-compagnia-chiede-ai-clienti-di-disabilitare-le-integrazioni-coi-database

Dic 14, 2023 Marina Londei Approfondimenti, Attacchi, Hacking, In evidenza, Minacce, RSS 0

---

I QR code stanno diventando uno dei mezzi preferiti dagli attaccanti per distribuire malware e ottenere i dati degli utenti, tanto che la Federal Trade Commission (FTC), l’agenzia statunitense per la tutela dei consumatori, ha pubblicato un avviso per aiutare le persone a proteggersi da questo vettore di attacco.

I codici QR sono ormai ovunque: nei bar e ristoranti per visualizzare menù, nei luoghi pubblici per accedere ai servizi e in quasi tutti i grandi eventi come verifica d’accesso; per questo per i cybercriminali è diventato semplice sfruttarli per inserirvi link malevoli e sottrarre i dati sensibili degli utenti.

Spesso i cybercriminali sostituiscono i QR code compromessi a quelli legittimi, soprattutto nei parcheggi e in altri luoghi pubblici, oppure inviano email e messaggi per spingere l’utente a scansionarli. Spesso si fingono un corriere che non è riuscito a consegnare un pacco, condividendo un codice QR per riprogrammare la consegna; in altri casi comunicano all’utente che c’è un problema con l’account di qualche servizio e richiedono la conferma dell’identità, oppure notificano gli utenti di attività sospette sul loro profilo social e inviano un codice QR per confermare la password.

Gli attaccanti giocano molto sul senso di urgenza per convincere le vittime ad aprire il link collegato al QR code, navigare su un sito web che imita una piattaforma conosciuta e inserire i propri dati personali e finanziari.

Truffe con QR code: come proteggersi

Non è ovviamente possibile identificare un QR code malevolo a occhio, ma ci sono alcune indicazioni da seguire per proteggersi. La FTC consiglia per prima cosa di analizzare attentamente il link che si sta per aprire, soprattutto se proviene da un codice che abbiamo trovato in un posto inaspettato (per esempio attaccato a un palo), controllando che l’URL non contenga errori di ortografia o lettere scambiate.

In nessun caso si deve scansionare un codice QR arrivato via mail o via messaggio, a meno che non si stesse aspettando di riceverlo, specialmente se viene richiesto di aprire il link con una certa urgenza.

Infine, è buona pratica generale tenere sempre aggiornati i dispositivi e proteggere gli account con password robuste e autenticazione multi-fattore. 

---

---

---

https://www.securityinfo.it/2023/12/14/le-truffe-con-qr-code-dilagano-e-preoccupano-le-istituzioni/?utm_source=rss&utm_medium=rss&utm_campaign=le-truffe-con-qr-code-dilagano-e-preoccupano-le-istituzioni

Dic 13, 2023 Marina Londei Attacchi, In evidenza, News, RSS 0

---

WestPole, l’azienda fornitrice di servizi informatici alla pubblica amministrazione italiana, è stata colpita da un attacco informatico. L’aggressione è avvenuta l’8 dicembre e la compagnia sta ancora lavorando per ripristinare il data center, con la conseguenza che i servizi digitali di enti e comuni italiani sono offline da giorni.

“L’8 Dicembre, abbiamo rilevato alcune attività sospette nel Data Center Westpole in Italia. Non appena siamo venuti a conoscenza di questo incidente, abbiamo immediatamente avviato i processi di emergenza previsti” si legge in una nota sulla home page del sito del fornitore. “A causa di questo incidente di sicurezza, molti dei sistemi IT dei nostri clienti, ed i nostri stessi, stanno subendo interruzioni. Vogliamo assicurarvi che al momento non ci sono indicazioni nei sistemi informativi (dei clienti) di Westpole che i dati (dei clienti) siano stati esfiltrati o trapelati”.

Uno dei principali clienti della compagnia è PA Digitale, la società che a sua volte offre servizi di pubblica amministrazione a molti enti pubblici. Secondo quanto riportato da una nota della società, quello contro WestPole è stato un attacco ransomware di portata non indifferente: “Da preliminari comunicazioni ricevute, la società Westpole S.p.A. notificava di aver riscontrato la cifratura della propria intera infrastruttura informatica, che risultava così interamente compromessa”. PA Digitale specifica inoltre che per ora non risulta un’esfiltrazione di dati.

Tra gli altri clienti che hanno subito le conseguenze dell’attacco ci sono anche diverse istituzioni e organizzazioni italiane, tra le quali il Quirinale, l’Istat, il Ministero dell’Ambiente, la Banca d’Italia, diversi enti regionali e comuni. A notificare per primo l’interruzione di alcuni servizi è stato il comune di Rieti, seguito a ruota da molti altri.

Al momento non si è a conoscenza dell’identità degli attaccanti né di quando i sistemi torneranno online. L’azienda sta lavorando per riportare gli ambienti in funzione, ma non ha reso noti altri dettagli.

WestPole ha specificato che rimarrà a stretto contatto con i propri clienti per monitorare la situazione e aggiornerà le comunicazioni non appena ci saranno sviluppi. 

---

---

---

https://www.securityinfo.it/2023/12/13/attacco-ransomware-a-westpole-offline-i-servizi-di-pa-digitale/?utm_source=rss&utm_medium=rss&utm_campaign=attacco-ransomware-a-westpole-offline-i-servizi-di-pa-digitale