Michele PinassiTL;DR un fornitore esterno a cui alcuni comuni avevano affidato i servizi per il pagamento dei tributi e tasse è stato colpito da un ransomware, causando l’indisponibilità del servizio per almeno due giorni. Disagi per i cittadini, data breach per le amministrazioni coinvolte: gli effetti di un attacco alla supply-chain.
“AVVISO URGENTE: Si avvisa la cittadinanza che la società ADVANCED SYSTEMS spa, gestrice di alcuni servizi online per il comune di Recale, ci informa che è stata oggetto di un attacco informatico che ha colpito alcuni server aziendali e causato difficoltà operative” si legge in prima pagina sul sito web dell’Amministrazione Comunale di Recale, comune del casertano.
L’attacco alla Advanced System Spa ad opera del ransomware Phobos (una analisi piuttosto dettagliata dello stesso è disponibile qui: Overview of Phobos Ransomware) è stato prontamente comunicato attraverso un comunicato stampa pubblicato sul sito web della societa (un aggiornamento in data odierna comunica il ripristino dei servizi offerti in SaaS).
L’azienda offre piattaforme in modalità SaaS ad alcune amministrazioni comunali per alcuni servizi di pagamento come IMU, TARI, IUC, PAGOPA, COSAP.
L’attacco, che ha reso indisponibile le piattaforme di pagamento, si è ovviamente “propagato” a tutte quelle amministrazioni comunali che ne usufruivano, tra cui il Comune di Campobasso, di Nocera Superiore, di Sarno e, appunto, di Recale.
Si è trattato di un attacco alla supply chain, alla “catena di approvvigionamento”, che ha coinvolto gli utenti dei Comuni coinvolti in conseguenza di un problema ad un servizio fornito da un soggetto terzo, in questo caso la Advanced System Spa.
E’ una delle potenziali conseguenze dell’affidamento di servizi a soggetti terzi, sui quali si è legati da un contratto di servizio ma dove, in caso di problemi, non c’è modo di intervenire se non quello di attendere che il fornitore ripristini l’operatività del servizio stesso.
In questo caso si è trattato di un attacco ransomware, risolto dall’azienda coinvolta nel giro di un paio di giorni. Due giorni che, per una Amministrazione Comunale, possono rappresentare un serio problema quando parliamo di strumenti critici, come i portali di pagamento dei tributi.
Tecnicamente, parliamo di un attacco alla disponibilità del servizio (“availability“) e questo, ovviamente, scatena un potenziale data breach su cui, probabilmente, indagherà il Garante della Privacy.
In ogni caso, l’incidente merita una riflessione sulla discutibile abitudine di dare in outsourcing la gestione di attività strategiche, o comunque critiche, delle PA. Sarebbe auspicabile che certi servizi fossero offerti da piattaforme su cloud certificati e sicuri, come peraltro la strategia nazionale sembra indicare.
Con questo, chiudiamo l’anno in bellezza e incrociamo le dita per il 2023.
Hai trovato utile questo articolo?
