Un’importante multinazionale del lusso italo-francese, attiva nella produzione e commercializzazione di occhiali, montature e lenti, è stata oggetto di una grossa violazione dei dati, con oltre 300 milioni di record e 71 milioni di indirizzi e-mail esfiltrati, a causa di un attacco subito nel 2021 da un appaltatore esterno che deteneva i dati dei clienti.
Il database contenente i dati esfiltrati, inizialmente in vendita, era stato pubblicato e reso disponibile gratuitamente su numerosi forum di hacking, fino a qualche giorno fa quando i diversi forum sono stati chiusi dalle autorità.
Questo è l’ennesimo esempio della sempre maggiore diffusione di una modalità di attacco informatico molto pericolosa anche per le PMI, che rischiano di trasformarsi nel “cavallo di Troia” degli hacker per colpire le grandi imprese: il supply chain attack, o attacco della catena di fornitura.
Riassumendo, gli attaccanti anziché colpire direttamente la grande azienda – vero obiettivo dell’attacco ma spesso ben protetta e con misure imponenti a difesa dei propri sistemi – preferiscono violare un suo fornitore: spesso una piccola-media impresa, con misure di sicurezza molto meno stringenti o, a volte, del tutto assenti, che rappresenta un bersaglio molto più semplice da violare per colpire successivamente una multinazionale.
Spesso i criminali sfruttano il rapporto di fiducia tra cliente e fornitore, per arrivare a colpire la grande azienda sottraendo denaro (ad es. comunicando un differente metodo di pagamento), oppure infiltrandosi direttamente nel sistema informatico per esfiltrare dati, progetti, know-how, etc.
Le conseguenze per il fornitore possono essere drammatiche, visto il diritto di rivalsa che la grande azienda può vantare a seguito di danni economici e (soprattutto) reputazionali subiti a causa dalla violazione, il rischio di blocco di produzione e consegne, oltre alla possibilità di essere sanzionati per non aver rispettato la normativa sulla protezione dei dati personali (con sanzioni fino a 20 milioni di euro o al 4% del fatturato globale).
Diversi associati CNA operano conto terzi per multinazionali o aziende di grandi dimensioni; suggeriamo di mantenere un’elevata attenzione rispetto al tema della sicurezza informatica, onde evitare spiacevoli conseguenze economiche, giuridiche e reputazionali che il coinvolgimento in questi attacchi possono portare.
Cogliamo inoltre l’occasione per segnalarvi che CNA Reggio Emilia è a disposizione per valutare le migliori soluzioni per le PMI per rafforzare le misure di sicurezza, ridurre il rischio informatico e trasferire il rischio residuo a soggetti professionali, anche mediante una polizza assicurativa.
Per maggiori informazioni sui nostri servizi cyber security e di adeguamento privacy potete contattarci all’indirizzo e-mail: gdpr@cnare.it, al numero 0522 356340 o compilando il nostro questionario di primo contatto.
