Il leak del ransomware di Berlino dimostra che le regole sulla divulgazione non sono una difesa

Questa settimana Google ha corretto dodici vulnerabilità di Chrome, tra cui una falla di V8 già sotto attacco attivo, sei giorni prima che il Cyber Resilience Act dell'UE obblighi i produttori a segnalare le falle sfruttate entro 24 ore. Che si tratti di una coincidenza o di un vendor che ha interpretato correttamente la scadenza: in ogni caso, la patch è arrivata con l'urgenza che la nuova regola intende imporre. Nella stessa settimana, l'amministrazione pubblica di Berlino ha scoperto i limiti di ciò che qualsiasi regola di divulgazione può fare. La città ha rifiutato un riscatto da due milioni di euro e gli hacker hanno comunque divulgato sei terabyte dei suoi dati, incluse mappe infrastrutturali e dettagli personali di cittadini e personale.

Non si tratta dello stesso fallimento. Il Cyber Resilience Act regola ciò che accade dopo la scoperta di una vulnerabilità: segnalarla velocemente, correggerla velocemente, informare l'ente regolatore. Il caso di Berlino riguarda ciò che accade quando un attaccante è già all'interno e ha già sottratto i dati. Nessuna scadenza di segnalazione recupera sei terabyte dal dark web e nessuna maturità normativa può sostituire il lavoro più duro e lento di tenere fuori gli aggressori e mantenere backup utilizzabili quando questi riescono comunque a entrare. Come riporta Pplware, Berlino ha scelto di non finanziare le persone che hanno sottratto i suoi dati, il che è la decisione giusta ma, di per sé, non rappresenta una strategia di cybersicurezza.

Una scadenza di segnalazione non recupera sei terabyte dal dark web.

Una seconda notizia di questa settimana riguarda il controllo piuttosto che il crimine. Il CISPE, l'associazione europea dell'industria cloud, ha dichiarato alla Commissione che la strategia di Broadcom per l'AI aziendale è progettata per vincolare i clienti al proprio stack, come riporta Heise. Non è la prima lamentela del CISPE nei confronti dell'azienda: a marzo ha definito l'eliminazione dei partner indipendenti di VMware da parte di Broadcom una "condanna a morte" per i provider cloud europei. A sei mesi di distanza, lo scontro si è spostato da chi ha il diritto di rivendere software di virtualizzazione a chi può costruire il livello di AI aziendale al di sopra di esso, e si tratta della stessa questione sulla sovranità digitale europea su cui questa rubrica continua a tornare, ora a un livello superiore nello stack.

Consumatori…

Se i vostri dati personali hanno interessato l'amministrazione pubblica di Berlino, nelle mappe infrastrutturali esposte o nei registri del personale e dei cittadini ora sul dark web, trattate le chiamate o le email inattese che fanno riferimento ai vostri dettagli con più sospetto del solito nei prossimi mesi. Questa è l'unica esposizione diretta per i consumatori derivante dalle notizie di questa settimana; lo scontro su Broadcom si svolge un livello più in alto, nei contratti cloud aziendali che mantengono operativi i servizi rivolti ai consumatori che utilizzate, non in qualcosa che comprate o su cui cliccate direttamente.

Imprese…

Sei giorni non sono molto margine di manovra se l'obbligo di segnalazione delle vulnerabilità sfruttate entro 24 ore previsto dal Cyber Resilience Act non è già integrato nel vostro processo di risposta agli incidenti, e la patch di Google, arrivata poco prima di tale data, è un segnale ragionevole che i vendor stanno già trattando la scadenza come un vincolo reale piuttosto che come una formalità. Separatamente, qualsiasi azienda che esegue carichi di lavoro aziendali sullo stack VMware di Broadcom dovrebbe interpretare la lamentela del CISPE come un avvertimento sulla direzione che prenderà tale dipendenza: dai termini di licenza al controllo dell'infrastruttura AI. OVHcloud e altri provider cloud europei non sono una sostituzione immediata per un'infrastruttura VMware esistente, ma rappresentano l'alternativa concreta verso cui indirizzare un piano di migrazione prima che la decisione venga presa al posto vostro.

Pubbliche amministrazioni…

Il rifiuto di pagare da parte di Berlino è in linea con la posizione più dura che le amministrazioni pubbliche europee hanno progressivamente assunto nei confronti delle richieste di riscatto, ed è la politica giusta in sé: pagare finanzia l'attacco successivo. Tuttavia, la fuga di dati che ne è seguita ricorda che questa politica regge solo se abbinata a capacità di prevenzione e ripristino che la maggior parte delle amministrazioni pubbliche, compresa Berlino, visibilmente ancora non possiede. Il Cyber Resilience Act conferisce ad autorità nazionali come il BSI tedesco nuovi poteri sanzionatori nei confronti dei vendor; ai sensi di tale legge in particolare, non conferisce loro alcuna autorità sulla postura di sicurezza di un'amministrazione, che rimane un compito separato e incompiuto.

Fonti

• Google ha corretto uno zero-day di Chrome V8 sfruttato attivamente pochi giorni prima dell'entrata in vigore dell'obbligo di segnalazione delle vulnerabilità sfruttate entro 24 ore previsto dal Cyber Resilience Act dell'UE · The Next Web
• Il CISPE ha avvertito che la strategia per l'AI aziendale di Broadcom è progettata per controllare le scelte dei clienti, innescando reclami formali all'UE · Heise Online
• L'amministrazione pubblica di Berlino ha rifiutato una richiesta di riscatto da due milioni di euro e ha comunque subito una fuga di sei terabyte di dati sul dark web · Pplware