Quando due giorni e mezzo di silenzio costano tutto
25 novembre 2022, ore ignote. Qualcuno entra nella rete di CAMST. Nessun allarme.
CAMST non è una piccola azienda. È una delle maggiori imprese cooperative italiane di ristorazione collettiva: mense aziendali, ospedali, scuole, aeroporti, università. Migliaia di dipendenti. Decine di migliaia di pasti al giorno. Un’infrastruttura IT proporzionata.
Eppure qualcuno entra. Si guarda intorno. Comincia a lavorare.
Per due giorni e mezzo, nessuno se ne accorge.
Come è andata
Il 30 dicembre 2022, un mese dopo l’attacco, il gruppo Hive Ransomware scrive una email alla redazione di Red Hot Cyber. Vogliono raccontare come è andata. La redazione decide di pubblicarla nell’interesse della comunità professionale, perché in Italia, scrivono, non si fanno mai lesson learned.
Quello che segue è tratto da quella fonte.
“Abbiamo iniziato l’attacco contro di loro il 25 novembre e l’abbiamo terminato la sera del 27 novembre.”
Venerdì, sabato, domenica. Un weekend intero, in piena attività, perché CAMST non si ferma. Le mense ospedaliere non si fermano. Le scuole il lunedì devono garantire i pasti. L’infrastruttura che gestisce tutto questo era nelle mani di Hive Ransomware mentre nessuno lo sapeva.
“Non è stato difficile per noi collegarci al controller di dominio della loro rete e prendere tutte le informazioni di sistema per esaminare in dettaglio come tutto era configurato, e non ci è voluto molto perché tutto era configurato in modo standard.”
Standard. Non c’era nessuna trappola. Nessuna anomalia che suonasse. Una rete normale.
Una volta dentro, con accesso al domain controller, Hive Ransomware riferisce di aver rimosso l’antivirus Sophos, “senza problemi”, e di aver copiato 370 gigabyte in circa quaranta minuti.
Contratti, dati sensibili, dati di pagamento, documentazione interna. Fuori, nel silenzio più assoluto.
Poi inizia la cifratura. Lenta, metodica, inesorabile.
“Solo la sera del 27 novembre hanno scoperto la nostra presenza quando il 99,9% della rete era già stata crittografata.”
Il 99,9%.
Non un allarme prima. Non uno.
Quello che è successo dopo
Hive Ransomware contatta l’azienda e fissa la scadenza al 30 dicembre per il pagamento del riscatto. L’azienda non paga, una scelta in linea con le raccomandazioni delle autorità. Hive Ransomware riferisce di non aver ricevuto risposta alle proprie comunicazioni entro la scadenza fissata.
Il 30 dicembre Hive Ransomware pubblica tutto. Non una parte, tutto. I 370 gigabyte esfiltrati finiscono integralmente sul data leak site di Hive Ransomware, accessibile via browser Tor da chiunque. Non da hacker. Da chiunque abbia un computer e voglia scaricarlo.
Tra quei dati c’erano le polizze cyber aziendali. Non è un dettaglio marginale.
Le polizze cyber contengono la descrizione dettagliata dell’infrastruttura assicurata: quali sistemi, quali rischi coperti, quale massimale. Sono, in sostanza, una mappa di quello che l’azienda stessa dichiara di avere e di quanto vale. In mano a un attaccante che sta negoziando un riscatto, sono uno strumento di pressione preciso.
Hive Ransomware lo dice esplicitamente nell’email a Red Hot Cyber: “Hanno capito che sapevamo che avevano un’assicurazione.” Non l’hanno dedotto dall’esterno: la polizza era, con ogni probabilità, nella rete stessa, archiviata come qualsiasi altro documento aziendale, alla portata di chi aveva già in mano il domain controller.
Quegli stessi documenti, insieme ai dati dei dipendenti (documenti personali, stipendi...), alle password utenti, ai dati di pagamento di clienti, ai documenti amministrativi, ai rapporti con fornitori e clienti, sono stati pubblicati integralmente sul dark web il 30 dicembre, scaricabili da chiunque. Il sito di Hive Ransomware è stato sequestrato dalle forze dell’ordine il 26 gennaio 2023, quasi un mese dopo. Ma nessun sequestro richiama indietro dati che sono già stati scaricati.
La copertura giornalistica dell’epoca si è concentrata sui disservizi operativi: qualche giorno di rallentamenti, poi tutto risolto. La vicenda dei dati pubblicati sul dark web non ha ricevuto analoga attenzione pubblica.
La domanda che resta
CAMST non era un’azienda negligente. Aveva un antivirus e le difese di una grande organizzazione. La domanda non è perché non abbia fermato Hive Ransomware alla porta: era già dentro, con credenziali valide, e si muoveva come un amministratore.
La domanda è un’altra: in quei due giorni e mezzo, che cosa avrebbe dovuto suonare?
In una rete configurata in modo standard, la risposta onesta è: niente. L’antivirus è stato rimosso “senza problemi”. Il traffico di un amministratore e quello di chi ne ha rubato le credenziali sono indistinguibili. Nessuno aveva messo nella rete qualcosa pensato per accorgersi di chi è già dentro.
Oggi questa domanda ha anche un risvolto normativo. Nel novembre 2022 la Direttiva NIS2 non era ancora in vigore in Italia. Oggi lo è, recepita con il D.Lgs. 138/2024. Per i soggetti che rientrano nel suo ambito, stabilisce obblighi precisi in caso di incidente significativo: un preallarme al CSIRT competente entro 24 ore, una notifica più completa entro 72 ore, una relazione finale entro un mese. Non sono raccomandazioni. Sono obblighi con responsabilità esplicita del management. Ma chi scopre un attacco dopo due giorni e mezzo parte già in ritardo: non si può notificare in 24 ore quello che non si è visto.
Separatamente, il GDPR impone un obbligo diverso ma altrettanto rilevante: quando una violazione comporta un rischio elevato per i diritti delle persone, come nel caso di dati personali di dipendenti pubblicati sul dark web, l’azienda deve comunicarlo direttamente agli interessati, non solo alle autorità.
E poi ci sono le persone. I dati personali dei dipendenti non appartengono all’azienda che li custodisce. Appartengono a chi li ha generati lavorando, firmando contratti, ricevendo stipendi. Quando finiscono sul dark web, il danno è reale e personale, e dura molto più a lungo di qualche giorno di disservizio alle mense.
Casi come questo meritano di essere raccontati non per identificare un colpevole, ma perché chi lavora in azienda, chi gestisce l’IT, chi siede nei consigli di amministrazione capisca cosa significa, concretamente, quando un incidente accade davvero. Non in termini di log e firewall. In termini di persone reali, dati reali, conseguenze reali.
Quella sera del 27 novembre, per CAMST, la risposta a “cosa suona?” fu: niente.
La risposta, adesso, tocca a te.
Fonti: Red Hot Cyber, January 2023; United States Department of Justice, January 26, 2023.