Qilin dice di avere 250 GB di file di Coop Italia e ne ha mostrato alcuni campioni. Conferme non ce ne sono, ma la notizia gira già. E qui conta chi la racconta per primo.
Se domani mattina un gruppo criminale scrivesse su un sito pubblico di avere i tuoi contratti, chi in azienda sarebbe il primo a parlare? È la domanda che resta in mente leggendo la rivendicazione apparsa il 23 ottobre contro Coop Italia.
Cosa sappiamo
Il gruppo ransomware Qilin ha messo Coop Italia nella lista delle vittime sul suo sito di leak. Dice di aver portato via circa 250 GB di file aziendali: contratti commerciali, report finanziari, dati di vendita, presentazioni interne e documenti personali. Secondo chi monitora questi siti, il gruppo ha pubblicato anche alcuni campioni. Nessuno però li ha ancora verificati in modo indipendente. Coop Italia, al momento, non ha rilasciato una posizione ufficiale. Bisogna quindi essere chiari: oggi c'è una rivendicazione, non una violazione confermata.
Chi è Qilin
Qilin, noto anche come Agenda, è attivo almeno dal 2022. Funziona come un ransomware-as-a-service: chi sviluppa il malware lo «affitta» ad affiliati che fanno gli attacchi e dividono i guadagni. Usa la doppia estorsione. Prima copia i dati, poi cifra i sistemi. Così, anche se hai i backup e ripristini tutto, resta il ricatto: paga, oppure pubblichiamo. Il malware esiste in versioni per Windows, Linux e VMware ESXi, cioè anche per i server che fanno girare le macchine virtuali.
Le tecniche viste in Italia
A maggio il CSIRT Italia ha descritto una serie di attacchi Qilin contro piccole e medie imprese e fornitori cloud. Lo schema è sempre quello: entrano da apparati perimetrali vulnerabili o con credenziali VPN rubate, spesso comprate da chi vende accessi già pronti. Poi esportano i dati con strumenti comuni come Rclone o WinSCP, disattivano l'antivirus e colpiscono i backup. Non sappiamo se il caso Coop sia andato così. Nessuno ha dato dettagli tecnici, e fare ipotesi sarebbe solo rumore.
Perché la rivendicazione pesa comunque
Che sia vera o gonfiata, la rivendicazione è già pubblica. Fornitori, partner e giornalisti la leggono adesso, non quando arriverà la conferma. E nel frattempo la storia la racconta solo una parte: quella che ha tutto l'interesse a far sembrare il danno il più grande possibile, per alzare la pressione sul riscatto.
Fonte: IlSoftware.it
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Due giorni senza dire niente, dopo un annuncio del genere, sembrano un'eternità. Per chi è dentro all'incidente, invece, sono pochissimi. Capire cosa è uscito davvero, da quali sistemi e da quando, richiede tempo. A volte servono settimane. E sbilanciarsi troppo presto è un rischio vero: se dici «nessun dato coinvolto» e dopo dieci giorni salta fuori il contrario, hai perso più credibilità che con il silenzio. Quindi non me la sento di fare la morale a nessuno, tanto meno a Coop, di cui non sappiamo nulla.
Una cosa però la noto spesso quando preparo un piano di incident response con un'azienda. Ci si concentra sulla parte tecnica: isolare, ripristinare, analizzare. Ed è giusto. Ma alla domanda «chi parla con l'esterno, e cosa dice nelle prime sei ore?» di solito cala il silenzio. Nessuno ha deciso chi è il portavoce. Non c'è una frase già concordata tipo «stiamo verificando una segnalazione, vi aggiorniamo entro domani». Nessuno sa chi avvisa il Garante entro le 72 ore previste dal GDPR, né, per chi rientra nella NIS2, chi manda la preallerta al CSIRT entro 24 ore. Sono cose che si scrivono in una mattina, a mente fredda, e che durante una crisi non riesci a inventare. Il dubbio che mi resta, però, è un altro: quanto silenzio è prudenza, e da che punto in poi diventa lasciare il microfono a chi ti ha attaccato?