La vittima dell’attacco ransomware questa volta è l’Università di Genova: 18 GB di dati sensibili rubati. I criminali informatici chiedono un riscatto per non divulgarli.
Ransomhub rivendica l’attacco
L’Universita di Genova ha subito un grave attacco ransomware in data lunedì 9 settembre. L’attacco è stato rivendicato dal gruppo criminale Ransomhub, il quale, oltre ad aver sottratto il materiale, ha indicato anche un conto alla rovescia di 13 giorni per pagare il riscatto.
Ransomhub continua ad essere attivo e a sferrare attacchi anche contro altre aziende italiane. Proprio ieri ha sferrato un altro attacco alla Kawasaki Motors. Questa operazione ransomware è attiva dal Febbraio 2024 e vanta, all’attivo, oltre 248 rivendicazione di attacchi sferrati con successo.
Tornando alla vicenda in oggetto, nella rivendicazione il gruppo stesso indica di aver esfiltrato ben 18 GB di dati, pubblicando anche due sample e lasciando intuire che il contenuto sia ricco di dati sensibili dell’Ateneo.
L’ateneo ligure ha, correttamente, informato il Garante per la Protezione dei dati personali e sta al momento collaborando con la Polizia Postale per le indagini sul caso.
“Il garante della privacy ci ha dato raccomandazioni che stiamo seguendo insieme a quelle del dpo. Ci vorrà ancora qualche giorno di controlli per concludere le attività di verifica, nel frattempo abbiamo preso contromisure“
ha dichiarato Gianni Vercelli, Prorettore di Unige per le ITC, tecnologie informatiche dell’Ateneo.
Attacco ransomware e data breach: un legame sempre più stretto
La recente notizia dell’attacco contro l’università di Genova ci consente di affrontare un argomento molto attuale, ovvero il fatto che gli attacchi ransomware, quando hanno successo, siano ormai da considerarsi a tutti gli effetti anche data breach. Vediamo insieme il perché.
I ransomware
I ransomware sono un tipo di malware progettato per criptare i dati sui dispositivi, rendendoli inaccessibili al legittimo proprietario. Una volta criptati, l’unica possibilità per recuperare l’accesso ai dati è ottenere una chiave di decriptazione dagli attaccanti. Per ottenerla, le vittime devono solitamente pagare un riscatto.
Negli ultimi anni, gli attacchi ransomware hanno subito un’evoluzione significativa con l’introduzione della tecnica della doppia estorsione. In questo caso, a seguito delle operazioni di criptazione e esfiltrazione dei dati, i gruppi criminali pubblicano sui propri siti di data leak la rivendicazione dell’attacco, accompagnata da un countdown. Una volta terminato, se la vittima non ha pagato il riscatto, i dati rubati vengono pubblicati. Di conseguenza il riscatto raddoppia: una somma serve per riportare in chiaro i file e un’altra affinché non vengano pubblicati i dati.
Dipende anche da questa evoluzione il fatto che ormai gli attacchi ransomware siano da considerarsi sempre anche data breach.
Per approfondire > Subire un attacco ransomware non esime dalle responsabilità di protezione dati: il Garante Privacy sanziona la regione Lazio
Data breach
Un data breach indica una violazione della sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o trattati. In caso di esposizione accidentale di dati si parla, più precisamente, di data leak.
In un attacco ransomware riuscito, il titolare del trattamento dei dati perde l’accesso e il controllo su questi ultimi. Tale perdita di accesso e controllo rientra nella definizione di data breach, poiché implica una compromissione della sicurezza e una violazione dei dati personali. Oltre a ciò, ad essere violata è anche la loro confidenzialità. Aspetto particolarmente preoccupante perché non c’è nessuna garanzia del fatto che i dati vengano effettivamente cancellati se viene pagato il riscatto.
Per approfondire > Un attacco Ransomware è da considerarsi anche un databreach: l’esempio dell’attacco a Luxottica
In caso di attacco ransomware come comportarsi per rispettare il GDPR?
Quando si verifica una violazione dei dati, le aziende sono tenute a notificarla al Garante per la Protezione dei Dati Personali entro 72 ore dalla scoperta. La notifica deve:
- descrivere la natura del data breach;
- contenere i dati di contatto del DPO;
- rendere chiari i possibili rischi derivanti dal data breach;
- elencare le misure che verranno adottate per impedire ulteriori violazioni e mitigare il danno;
Oltre a ciò, deve informare gli interessati della violazione subita, per consentire loro di minimizzare le conseguenze del data breach.
Per approfondire > Data breach: guida pratica per la notifica al Garante privacy
Hai subito una violazione e non sai come comunicarla al Garante? Non sei sicuro di doverla notificare o vuoi evitare di subirne in futuro?
Ti aiutiamo passo passo!
