A più di otto mesi da quando una delle contee più ricche degli Stati Uniti è stata vittima di un devastante attacco informatico, le conseguenze dolorose e costose non sono ancora terminate.
La legislatura della contea di Suffolk, nella parte orientale di Long Island, ha votato la scorsa settimana per emettere un mandato di comparizione nei confronti di quattro dipendenti della contea a conoscenza dell’attacco ransomware “Fall 2022 ” sferrato dall’ , che ha reso inoperativi i siti web, i server e i database della contea. All’inizio di questo mese, la contea ha annunciato l’assunzione del proprio primo responsabile della sicurezza informatica (CISO) presso l’ , il signor. Ha inoltre ammesso che la mancanza, lo scorso anno, di un piano autonomo per la risposta agli incidenti ha probabilmente contribuito a prolungare il processo di ripristino.
Ad ogni nuovo titolo, mi si stringe un po’ lo stomaco. Sono passati ormai tanti mesi, e le autorità stanno ancora cercando di ricostruire cosa sia successo e perché. Nel mio settore, sento parlare di attacchi informatici quasi ogni settimana, ma questo mi ha colpito personalmente.
Lo scorso settembre mia madre è caduta e si è fratturata un braccio, e io mi sono precipitato dal mio appartamento di New York City alla mia casa d’infanzia nella contea di Suffolk per occuparmi di lei. L'attacco informatico è avvenuto due giorni dopo, costringendo la contea a chiudere il proprio sito web e le altre applicazioni online al servizio dei 1,5 milioni di residenti della zona. La polizia di Stato ha dovuto intervenire per assistere il personale locale di pronto intervento, effettuando controlli sulle targhe, sui precedenti penali, sui mandati di arresto e su altri dati fondamentali durante i controlli stradali, mentre 911 operatori di centrale registravano le chiamate manualmente. L'accesso alla posta elettronica per 10.000 dipendenti pubblici è stato sospeso. Il conteggio dei voti delle elezioni di medio termine ha subito un ritardo . E il mercato immobiliare locale — un settore di grande rilevanza ovunque, ma certamente nell’esclusivo East End di Long Island — ha subito un duro colpo, poiché l’ , non è stato in grado di elaborare le ricerche sui titoli di proprietà e altre pratiche commerciali.
Nei mesi successivi, mi sono preso cura della mia grintosa mamma mentre seguiva la fisioterapia e ho osservato come la contea — meno grintosa, più in difficoltà e in declino — arrancasse attraverso una sorta di riabilitazione tutta sua. Un rapporto forense dell’ ha rivelato che gli hacker sono penetrati nel sistema otto mesi prima dell’effettivo attacco ransomware , a dicembre 2021, sfruttando una vulnerabilità presente nell’ufficio del segretario della contea. Dopo essersi introdotti nel sistema, gli intrusi, rimasti inosservati, hanno installato un software di mining di bitcoin , strumenti di esfiltrazione e sistemi di monitoraggio; hanno creato account falsi e hanno sottratto circa 26.000 numeri di previdenza sociale e quasi mezzo milione di numeri di patente di guida.
Quel rapporto, nonostante le sue conclusioni che fanno riflettere, racconta solo metà della storia. A seguito dell’attacco sono emerse numerose rivelazioni, che dimostrano come il Suffolk rappresenti un triste esempio di come non si prenda sul serio la sicurezza informatica.
I costi di gestione dell'attività
Anziché pagare un riscatto di 2,5 milioni di dollari agli hacker, la contea ha deciso di ripristinare i servizi autonomamente. Ci sono voluti più di cinque mesi per rimettere in funzione il sito web e, ancora oggi, alcuni servizi online, tra cui la consultazione dei titoli di proprietà e il pagamento delle bollette fognarie, rimangono non disponibili.
«La triste realtà è che i criminali informatici avevano un accesso alla rete dell’impiegato più ampio di quello che abbia mai avuto il reparto IT della contea.»Steve Bellone, amministratore della contea di Suffolk
Secondo le ultime stime della contea, il costo delle misure adottate per far fronte alla violazione e ripristinare i servizi ammonterà a 5,7 milioni di dollari, sebbene gli esperti di sicurezza ritengano che tale cifra possa aumentare.
Se la contea avrebbe dovuto semplicemente stringere i denti e pagare il riscatto è oggetto di un (considerevole) dibattito su , sebbene molti esperti sostengano che il pagamento di un riscatto esponga un’azienda al rischio di ulteriori attacchi. Una volta che gli hacker originali (e altri) si renderanno conto che siete disposti a pagare, potrebbero continuare a tornare a rimpinzarsi.
[Leggi anche: Alla scoperta dell’arte della negoziazione con gli autori di ransomware]
Cosa non è oggetto di discussione? La preparazione del tutto inadeguata della contea.
Ciò che è visibile, ciò che non lo è
La mancanza di visibilità sugli endpoint della rete ha messo la contea in grande difficoltà nelle prime settimane successive all’attacco. «La triste realtà è che i criminali informatici hanno avuto un accesso alla rete dell’ufficio del segretario più ampio di quanto ne abbia mai avuto il reparto IT della contea», ha affermato Steve Bellone, amministratore della contea, in occasione di una conferenza stampa tenutasi presso l’ nel mese di febbraio. Una gestione efficace di endpoint, che includesse un'analisi completa e un inventario delle risorse, avrebbe fornito un valido supporto ai team di sicurezza una volta individuata la violazione.
Il fatto che non fosse presente alcun CISO — una figura autorevole che avrebbe potuto segnalare ai funzionari dell’amministrazione locale la mancanza di preparazione, guidarli nel processo di attuazione di miglioramenti economicamente vantaggiosi e tenere le redini della situazione dopo l’attacco degli hacker — non ha certo aiutato. Per molte amministrazioni statali e locali, che spesso dispongono di risorse finanziarie limitate e non possiedono una grande competenza in materia di sicurezza informatica, un CISO sembra un lusso e un attacco informatico una minaccia lontana e improbabile. Quest’ultima ipotesi è del tutto errata ; la prima, pur essendo comprensibile, presenta tuttavia alcune soluzioni alternative.
[Leggi anche: In che modo i CISO possono contrastare il burnout e prolungare la propria carriera]
Suffolk ha preso in considerazione 30 candidati per la nomina del suo primo CISO, prima di scegliere Kenneth Brancik, ex responsabile della sicurezza informatica del Mount Sinai Health System, che percepirà uno stipendio annuo di 184.214 dollari, secondo quanto riportato da Newsday . Un costo del genere potrebbe risultare fuori dalla portata di alcune amministrazioni locali e di altre piccole imprese, ma soluzioni quali o la condivisione di un CISO stanno acquisendo sempre maggiore popolarità come strumento per contenere i costi legati alle competenze informatiche.
Partecipare a livello statale
La partecipazione ai programmi statali “ ” ( ) sta inoltre fornendo sempre più spesso agli enti comunali, tribali e di contea informazioni, orientamento e — finanziamenti! — a cui non avrebbero potuto accedere autonomamente. Quarantotto Stati hanno presentato domanda per ottenere una quota del programma quadriennale di sovvenzioni per la sicurezza informatica “ ” , del valore di 1 miliardo di dollari, che fa parte della legge sulla spesa per le infrastrutture da 1,2 trilioni di dollari dell’amministrazione Biden, approvata nel 2021. Poiché negli ultimi mesi tali fondi hanno iniziato ad affluire gradualmente agli Stati, i funzionari statali li stanno utilizzando per condividere i servizi con gli enti presenti sul territorio dello Stato.
«Il giorno in cui si subisce un attacco, si [dovrebbe] avere un piano pronto all’uso per reagire immediatamente, anziché agitarsi e cercare di capire cosa sia necessario fare.»Richard Donoghue, consulente legale della Commissione per le indagini sulle intrusioni informatiche dell’Assemblea legislativa dello Stato di New York
Il Dipartimento statale per le tecnologie dell’informazione del New Hampshire, ad esempio, sta fornendo assistenza alle amministrazioni locali, ai distretti scolastici e ai distretti idrici nell’implementazione dell’autenticazione a più fattori e nella formazione del personale informatico. L’Illinois sta mettendo a disposizione i servizi del proprio centro operativo di sicurezza statale, fornendo funzionalità avanzate di rilevamento delle minacce informatiche ( endpoint ) al fine di migliorare la visibilità della rete per le contee, i comuni, gli uffici dello sceriffo, i servizi 911 e i distretti idrici.
“Il nostro obiettivo per il primo anno è quello di garantire la massima copertura e visibilità possibile alla difesa condivisa in tutto lo Stato”, ha recentemente dichiarato Adam Ford, CISO dell’Illinois, a Statescoop.
L'importanza di un piano di risposta agli incidenti
Ma si può sostenere che l’errore più grave commesso da Suffolk sia stata la mancanza di un piano di risposta agli incidenti relativo all’ . Gli attacchi informatici non sono più una questione di “se”, ma di “quando”. Accadrà, indipendentemente da quanto vi organizziate. Pertanto, disporre di un piano di intervento in caso di violazione pronto all’uso è fondamentale e rappresenta forse lo strumento più importante nell’arsenale di un’azienda. La contea di Suffolk non disponeva di un piano di questo tipo, e ciò ha contribuito in modo significativo al tempo e alle risorse finanziarie necessari affinché la contea potesse riprendersi.
Sebbene la contea disponga di un piano generale di risposta alle emergenze, esso “non era specifico per le violazioni informatiche”, ha dichiarato Richard Donoghue, consulente legale della Commissione d’inchiesta sulle intrusioni informatiche appositamente nominata dall’assemblea legislativa, al quotidiano Newsday all’inizio di questo mese. «Il giorno in cui verrà attaccato», proseguì, «dovrebbe avere un piano pronto all’uso per reagire immediatamente, anziché agitarsi e cercare di capire cosa sia necessario fare».
[Legga anche: 5 passaggi per un piano di risposta agli incidenti solido come una roccia]
Nelle prossime settimane si chiarirà in che misura si sarebbero potuti evitare ulteriori disagi e risarcimenti, una volta che le quattro persone citate in giudizio, a conoscenza delle prassi informatiche della contea di Suffolk, saranno costrette a testimoniare dinanzi alla commissione d’inchiesta.
Il braccio di mia madre è guarito, ma il suo medico dice che ne sentirà gli effetti ancora per mesi. La ripresa potrebbe facilmente richiedere un anno. Lo stesso vale, a quanto pare, per la contea di Suffolk, che si trova ancora a dover fornire spiegazioni e fare i conti con gli errori commessi in passato. Si prevede che la commissione d’inchiesta presenti la relazione finale in occasione del primo anniversario dell’attacco.
Senza dubbio assisteremo ad altre conferenze stampa con il dirigente della contea Bellone, che ha una folta chioma di capelli bianchi. Potrebbe essere ancora più bianco? Il tempo — e forse ulteriori mandati di comparizione — lo diranno.
