Attacco alla Colonial Pipeline

Attacco alla Colonial Pipeline

Cristiano Leoni, Gabriele Nica, Alessandro Lisi

Il 7 maggio 2021 si è verificato uno degli attacchi informatici più significativi contro un'infrastruttura critica americana. La Colonial Pipeline, responsabile del trasporto del 45% del carburante della costa orientale, è stata colpita da un devastante attacco ransomware. Analizzeremo l'attacco, le vulnerabilità sfruttate, i danni provocati e le contromisure adottate.

analisi tecnioca dell'attacco

Accesso Iniziale

Compromissione delle credenziali VPN di un account amministrativo non protetto da 2FA.

Furto di altri dati

Espansione dell'accesso ad altri sistemi cruciali attraverso la rete aziendale.

Crittogafia

Esecuzione del malware DarkSide che ha crittografato i dati critici.

Estorzione

Richiesta di riscatto con minaccia di pubblicazione dei dati rubati.

Vulnerabilità sfruttate

Sistemi Legacy: Software obsoleto con patch di sicurezza mancanti in sistemi operativi critici.

VPN non protetta: Assenza di autenticazione a due fattori sugli accessi remoti critici.

Step 4

Step 2

Step 3

Step 1

Segmentazione Inadeguata: Mancata separazione tra sistemi IT amministrativi e tecnologia operativa.

Monitoraggio non sufficiente: Scarsa visibilità e rilevamento tardivo delle attività sospette.

impatto economico dell'attacco

$4.4M

Somma versata in Bitcoin al gruppo criminale DarkSide.

$3

Aumento Carburante Incremento del prezzo al gallone in alcune aree.

Giorni di Blocco Durata dell'interruzione completa dell'infrastruttura.

45%

Approvvigionamento Percentuale di carburante della costa est compromessa.

Danni reputazionali e tecnici

perdita di credibilità

Investimenti Forzati

Conseguenze Legali

Esposizione a potenziali azioni legali da parte di aziende e consumatori danneggiati dall'interruzione.

Grave danno alla reputazione di Colonial Pipeline come gestore di infrastrutture critiche.

Necessità urgente di aggiornamenti infrastrutturali costosi. Revisione obbligatoria di tutti i protocolli di sicurezza esistenti per conformità normativa.

misure di sicurezza adottate dopo l'attacco

autenticazione rafforzata

Implementazione obbligatoria di 2FA su tutti gli account critici. Revisione completa delle politiche di gestione delle password.

segregazione di rete

Isolamento rigoroso tra sistemi IT e OT. Creazione di zone di sicurezza distinte con controlli di accesso dedicati.

monitoraggio avanzato

Implementazione di sistemi IDS/IPS e SIEM. Miglioramento delle capacità di rilevamento anomalie in tempo reale.

Risposta agli Incidenti

Sviluppo di nuovi protocolli d'emergenza. Formazione specializzata del personale per risposta rapida alle minacce.

Fine

grazie per la visione