L'attacco a Hof van Twente (2020): 5 lezioni per i comuni

Che cosa è successo

Gli aggressori sono entrati tramite una password debole su un account amministrativo, per il quale inoltre l'autenticazione a due fattori era disattivata. In più, da tempo una porta di accesso (RDP) di un server era aperta verso internet. In questo modo i criminali hanno potuto cifrare i sistemi e, aspetto cruciale, rendere inutilizzabili anche i backup.

Il ripristino da un backup pulito non era quindi un'opzione. Il comune ha dovuto ricostruire molto; i servizi ai cittadini sono rimasti compromessi per settimane. Il danno complessivo è stato stimato in circa quattro milioni di euro, mentre gli aggressori chiedevano un riscatto molto più basso. Il comune non ha pagato.

Lezione 1: i backup sono davvero backup solo se sono offline

La lezione più dolorosa: se i Suoi backup sono collegati alla stessa rete, il ransomware li cifra insieme al resto. Predisponga backup offline o immutabili, non raggiungibili dalla rete ordinaria.

Inoltre, verifichi regolarmente se da un backup è davvero possibile ripristinare. Un backup che non ha mai ripristinato è un'ipotesi, non una certezza.

Lezione 2: le basi in ordine evitano la maggior parte dei guai

L'attacco non è stato un capolavoro tecnico. È andato storto sulle basi. E quelle basi sono alla portata di ogni comune.

• Password forti e uniche e autenticazione a due fattori obbligatoria, soprattutto sugli account amministrativi.
• Nessun accesso amministrativo (come RDP) aperto direttamente verso internet.
• Applicare per tempo le patch e disattivare i servizi non necessari.
• Segmentazione della rete, affinché un'infezione non possa diffondersi ovunque.

Lezione 3: comunichi ai cittadini quali servizi non funzionano

Per i cittadini non conta la tecnologia, ma la domanda: posso richiedere il passaporto, il mio sussidio, la mia autorizzazione? Sia rapido e onesto in questo: quali servizi sono fuori uso, quali alternative esistono e quando ci saranno novità.

Offra, dove possibile, uno sportello di emergenza o un canale telefonico. E ripeta il messaggio in modo coerente su tutti i canali. L'incertezza aumenta il malcontento più del guasto stesso.

Lezione 4: coinvolga l'area legale e la privacy fin dal primo minuto

In un attacco spesso vengono sottratti dati personali. Questo non lo rende soltanto una crisi IT, ma anche una questione di privacy. Coinvolga quindi subito il responsabile della protezione dei dati e competenze legali, e valuti se vi sia una violazione dei dati.

Una violazione dei dati va notificata entro 72 ore all'Autoriteit Persoonsgegevens e, in caso di rischio elevato, informi i cittadini interessati. Esperti forensi esterni aiutano nell'indagine; registri chi fa cosa e quando.

Lezione 5: governance e obblighi di notifica (NIS2, BIO2, GDPR)

Una conclusione importante a Hof van Twente è stata che i segnali sulla sicurezza delle informazioni non raggiungevano a sufficienza la direzione. Collochi perciò la sicurezza delle informazioni a livello direttivo, con un CISO e un budget dedicato, e faccia in modo che i rischi siano visibili.

I comuni operano secondo la BIO2 e il GDPR e rientrano nella legge sulla cybersicurezza (NIS2). Un incidente informatico va notificato al NCSC e al CSIRT settoriale; una violazione dei dati entro 72 ore all'Autoriteit Persoonsgegevens. Coinvolga l'Informatiebeveiligingsdienst (IBD) per i comuni e registri tutte le notifiche.

Come CrisisRadar aiuta in questo

CrisisRadar riunisce direzione, CISO, responsabile della protezione dei dati, comunicazione ed esperti esterni in un quadro di crisi condiviso. Registra i fatti con la fonte, prepara in pochi minuti un messaggio per i cittadini e una notifica per l'autorità di vigilanza, e presidia con i timer degli obblighi di notifica le scadenze del GDPR e della NIS2. I soggetti forensi esterni collaborano tramite un accesso ospite sicuro e temporaneo.

Vuole vedere come si presenta passo dopo passo un attacco informatico con violazione dei dati all'interno della piattaforma? Consulti allora il relativo caso pratico.

Stappenplan

Veelgestelde vragen

Come è stato possibile violare il comune di Hof van Twente?

Gli aggressori sono entrati tramite una password debole su un account amministrativo privo di autenticazione a due fattori, mentre anche una porta di amministrazione (RDP) era aperta verso internet. In questo modo hanno potuto cifrare i sistemi e persino i backup.

Perché il comune non ha potuto semplicemente ripristinare da un backup?

Perché i backup erano collegati alla stessa rete e quindi sono stati cifrati anch'essi. Questo mostra perché i backup debbano essere offline o immutabili e perché il ripristino vada testato regolarmente.

Quale obbligo di notifica vale in caso di attacco informatico a un comune?

Una violazione dei dati va notificata entro 72 ore all'Autoriteit Persoonsgegevens; in caso di rischio elevato informi i cittadini. Un incidente informatico va notificato, ai sensi della legge sulla cybersicurezza (NIS2), al NCSC e al CSIRT. I comuni coinvolgono anche l'Informatiebeveiligingsdienst (IBD).