Sono migliaia i file dei dipendenti della regione Sardegna pubblicati online dal gruppo ransomware Quantum Locker all’interno del proprio blog (data leak site o Dls) nel DarkWeb. Da una prima conta sono 170 mila i file rubati ma potrebbero essere solo una parte di quelli di cui i delinquenti sono in possesso. I materiali, che chiunque può scaricare, comprendono documenti d’identità, residenza, numeri di telefono ed email, insieme a mansionari, spettanze, cambi di ruolo e stato di salute. Ci sono anche i GreenPass.

Il databreach, la violazione che coinvolge questi dati sensibili sembra risalire a un attacco informatico effettuato dalla famigerata gang nel febbraio scorso e documentato dalla testata indipendente Indip.it, con un’inchiesta del giornalista sardo Raffaele Angius, ma che ora è tornato alla ribalta per la pubblicazione dei dati rubati.

Nei 155 Gb ci sono documenti protocollari di varia natura come i verbali di verifiche e sopralluoghi relativi agli abusi edilizi in Sardegna, con migliaia di foto allegate. E poi ci sono cartelle esattoriali, i contratti della Regione, le informazioni sul demanio marittimo, la situazione del pagamento delle locazioni, eccetera, eccetera. Insomma, tutto quello che di digitale può passare per le carte bollate di un’amministrazione regionale.

Sicurezza informatica

Talento e creatività non bastano: contro il crimine arriva la cybersecurity automation

di Arturo Di Corinto 14 Giugno 2022

La maggior parte dei file sembra costituita da tabelle excel, coi nomi dei responsabili dei procedimenti amministrativi, nomi di creditori della Regione con relativi importi e rateizzazioni, e provenienti da database regionali apparentemente poco protetti, per capirci, senza l’ulteriore livello di sicurezza rappresentato dall’https e attualmente non raggiungibili.

Per capire la gravità dell’accaduto abbiamo anche sentito il capo ufficio stampa della Regione Sardegna che sul furto e la fuga dei dati ci ha detto: “Un attacco informatico c’è stato. L’attacco risale al primo febbraio scorso ed è tipo ransomware, l’abbiamo notificato al Garante per la Protezione dei dati personali e alla Polizia. Stiamo ancora lavorando con la collaborazione dei tecnici regionali per circoscrivere il danno. Siamo infatti venuti a conoscenza della pubblicazione sul dark web di dati che potrebbero riguardarci e per questo restiamo in stretto contatto con gli inquirenti.”

Contenuti illegali e rispetto dei diritti, troppi i problemi da risolvere

di Andrea Monti 20 Giugno 2022

I dati sarebbero online da tempo ma finora non risulta che ci sia stata una richiesta formale di riscatto. In Regione non ne abbiamo avuto conferma, bocche cucite quelle dei tecnici. Tuttavia da fonti istituzionali qualificate e che non vogliono essere citate, abbiamo potuto apprendere che nel caso in cui venisse chiesto un riscatto per rimuovere i dati dal web la risposta della Regione sarebbe negativa. Anche perché, dicono, “i tecnici hanno alzato le difese e non sono più rientrati”. Che forse vuol dire che i delinquenti ci hanno comunque riprovato.

Resta l’allarme per i dati personali e di carattere sanitario presenti nella fuga di dati, al contrario moltissimi degli atti pubblicati dai delinquenti sono teoricamente pubblici e con un accesso agli atti chiunque potrebbe averli e controllare il comportamento della giunta in ogni singola seduta.

Però come nota un ricercatore in cybersecurity, il cagliaritano Dario Fadda che ha seguito la vicenda: “La sensibilità dei dati riportati nel leak è alta. Ci sono documenti di interesse pubblico ma anche personale e riservato. Ad esempio ho contato 26 video di riunioni interne, e poi documenti di abusi edilizi, materiale fotografico, materiale sulle concessioni edilizie e soprattutto informazioni che riguardano tutto il territorio regionale da Cagliari ad Alghero, da Sassari a Oristano, e dati e informazioni che non si trovano di sicuro sul sito web dell’Istituzione regionale”.

Nel momento in cui scriviamo sembra che la gestione dei documenti online in possesso del governo regionale non presenti disservizi. Tuttavia poiché i gruppi ransomware una volta entrati in possesso dei dati li restituiscono dietro pagamento ci si chiede se un riscatto sia stato già pagato oppure se la pubblicazione dei dati rubati serve a mettere pressione sulla preda.

Secondo Cybereason, azienda israeliana di cybersecurity, per mollare la presa la gang Mount Locker chiede un riscatto da 150 mila dollari fino a diversi milioni di dollari a ogni vittima dandogli solo 72 ore di tempo per decidere e se non lo fanno scatta la seconda parte della strategia “steal and publish”, cioè “ruba e pubblica” i dati

E però c’è una storia nella storia. I dati relativi alla violazione dei database della Regione sono presentati all’interno di un avviso di riscatto relativo alla Confcommercio di Alessandria, come è d’abitudine per i delinquenti che in questo modo dimostrano di averceli. Navigando il sito della gang si vede che i dati della Sardegna si trovano sotto al link di un “piccolo” sample da 30 mega che riguarda la Confcommercio di Alessandria, anch’essa bucata, mentre i 155GB che appartengono alla Regione Sardegna stanno sotto, appunto. Insomma, pare che il possesso, illegittimo, dei dati sardi non sia stato rivendicato con la giusta intestazione. Per cui la domanda rimane, hanno sbagliato loro o c’è una trattativa in corso?

Il ransomware Quantum Locker, da qui il nome del gruppo che lo opera, identificato da Cybereason nel 2021, ha infettato almeno 20 altre vittime importanti ed è un rebranding di un altro ransomware, MountLocker, scoperto nel 2020, il cui blog non è più attivo nel DarkWeb, ma il gruppo di hacker criminali che lo gestiva è noto per giocare come il gatto col topo con le sue vittime.

Lavoro

La cybersicurezza sostenibile di Elmec, un angolo di Silicon Valley in Italia

di Emanuele Capone 20 Giugno 2022