Articolo Pubblicazioni
L’attacco ransomware alla Regione Lazio: lezioni per la pubblica amministrazione
di Vincenzo Calabrò · Pubblicato il 13 settembre 2021
Abstract
Nella notte tra il 31 luglio e il 1° agosto 2021 un attacco ransomware ha colpito i sistemi che gestiscono i servizi informatici della Regione Lazio, rendendo indisponibili per giorni il portale di prenotazione delle vaccinazioni contro il Covid-19 e altri servizi online. L’articolo riporta solo i fatti comunicati da fonti ufficiali, segnala ciò che resta da chiarire e trae dal caso indicazioni pratiche per le amministrazioni.
Una premessa
Le indagini sull’attacco sono in corso e coordinate dalla magistratura, con il supporto della Polizia Postale. Molte notizie circolate nelle prime settimane non sono state confermate. Il testo che segue si basa sulle comunicazioni ufficiali della Regione e delle istituzioni e indica come incerto ciò che non è stato chiarito. Lo scopo è trarre dal caso indicazioni utili, senza anticipare le conclusioni delle indagini.
I fatti comunicati
Nella notte tra il 31 luglio e il 1° agosto 2021 i sistemi del centro elaborazione dati che gestisce i servizi informatici della Regione Lazio sono stati colpiti da un ransomware, che ha cifrato i dati di numerosi server. La Regione ha comunicato che l’accesso iniziale sarebbe avvenuto tramite le credenziali di un dipendente che lavorava da remoto. I servizi coinvolti comprendevano il portale di prenotazione delle vaccinazioni, in piena campagna vaccinale, i servizi sanitari online, il sistema per il rilascio dei certificati e altre applicazioni regionali.
La Regione ha dichiarato di non aver pagato alcun riscatto. Le vaccinazioni già programmate sono proseguite, mentre le nuove prenotazioni sono state sospese e riattivate nei giorni successivi su un’infrastruttura ripristinata. Il ritorno alla piena operatività degli altri servizi ha richiesto più tempo.
Che cosa resta da chiarire
Alcuni aspetti non sono stati definiti in modo ufficiale, e per questo non vengono discussi nel dettaglio:
- la sequenza completa dei passaggi tra l’accesso iniziale e la cifratura dei sistemi;
- il gruppo responsabile e il tipo di ransomware usato;
- l’eventuale sottrazione di dati prima della cifratura;
- lo stato delle copie di sicurezza al momento dell’attacco e il modo in cui sono state usate per il ripristino.
Le lezioni sugli accessi remoti
Con la pandemia molte amministrazioni hanno esteso in pochi giorni l’accesso remoto a migliaia di dipendenti, spesso con dispositivi personali e con la sola password come protezione. Il caso mostra il rischio di questa scelta quando diventa permanente. Le misure da adottare sono note:
- autenticazione a più fattori per tutti gli accessi remoti, senza eccezioni per i dirigenti o per i fornitori;
- dispositivi gestiti dall’ente, aggiornati e protetti, per chi accede a sistemi critici;
- accessi limitati alle sole risorse necessarie per ciascun profilo, evitando VPN che danno visibilità sull’intera rete;
- monitoraggio degli accessi remoti, con allarmi per orari, luoghi o comportamenti anomali;
- revisione periodica delle utenze, disattivando quelle non più usate.
Le lezioni sui backup
I gruppi ransomware cercano attivamente i sistemi di backup per cifrarli o cancellarli prima di attivare la cifratura principale. Un backup raggiungibile dalla stessa rete e con le stesse credenziali amministrative dei sistemi di produzione rischia di essere perso insieme a essi. Servono copie offline o immutabili, conservate su sistemi con credenziali separate, e prove periodiche di ripristino che riguardino interi sistemi oltre ai singoli file. Conta anche il tempo. Un backup che richiede settimane per essere ripristinato non garantisce la continuità di servizi come le prenotazioni sanitarie.
Le lezioni sulla continuità operativa
L’articolo 50-bis del Codice dell’amministrazione digitale chiede da anni alle amministrazioni piani di continuità operativa e di disaster recovery. Il caso mostra che cosa significa non poter contare sui sistemi informatici per giorni. Servono procedure alternative per i servizi più critici, come la possibilità di registrare le prenotazioni in modo manuale o con sistemi indipendenti, canali di comunicazione con i cittadini che non dipendano dall’infrastruttura colpita e priorità di ripristino decise in anticipo.
Le lezioni sulla risposta
Un attacco di questo tipo richiede di gestire insieme il ripristino, l’indagine e la comunicazione. Per l’indagine bisogna conservare le prove prima di reinstallare i sistemi, cioè immagini dei server colpiti, log di autenticazione, VPN, firewall e sistemi di sicurezza. Per la comunicazione è utile informare con regolarità cittadini e media su ciò che è noto e su ciò che non lo è, evitando dichiarazioni che potrebbero essere smentite. Per gli adempimenti occorre valutare la notifica al Garante entro settantadue ore prevista dal GDPR e le comunicazioni al CSIRT italiano.
Il ruolo dei fornitori e delle società in house
Molte regioni e grandi comuni affidano la gestione dei sistemi a società in house o a fornitori esterni. Questo modello concentra competenze e infrastrutture, ma concentra anche il rischio, perché un attacco riuscito colpisce insieme tutti i servizi gestiti. Le convenzioni con queste società dovrebbero indicare con precisione le responsabilità per la sicurezza, i livelli di servizio per il ripristino, gli obblighi di notifica degli incidenti all’ente e la conservazione dei log necessari alle indagini. L’ente resta titolare dei trattamenti e risponde verso i cittadini e il Garante, anche quando la gestione è affidata ad altri.
Un problema comune
Il caso della Regione Lazio ha avuto grande visibilità per la coincidenza con la campagna vaccinale, ma episodi simili hanno colpito in Italia comuni, aziende sanitarie, università e aziende. La nascita dell’Agenzia per la cybersicurezza nazionale, prevista dal decreto-legge 82 di giugno 2021, offre l’occasione per rafforzare il supporto agli enti più piccoli, che raramente dispongono delle competenze per affrontare da soli un attacco di questo tipo.
Vedi anche: l’articolo del 2010 Continuità operativa e disaster recovery nella PA, l’articolo del 2022 Prevenire e contrastare i ransomware e l’articolo del 2017 WannaCry e NotPetya (2017).
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn