Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Italia non aver paura del ransomware. Andiamo tutti a scuola di Crisis Management

Massimiliano Brolli : 14 Luglio 2022 07:00

Autore: Massimiliano Brolli

Contrariamente a quanto succede in Italia, molte aziende estere non hanno paura degli incidenti informatici e riescono a diffondere all’interno delle proprie pagine web dei comunicati che informano passo passo gli utenti su come l’azienda sta affrontando una crisi informatica, senza alcuna paura.

Con trasparenza.

Il caso di APETITO


Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:
  • L'acquisto del fumetto sul Cybersecurity Awareness
  • Ascoltando i nostri Podcast
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Telegram
  • Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


  • Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


    Questo caso che analizzeremo è molto recente e parla dell’azienda APETITO in Gran Bretagna, la quale si occupa di fornire pasti ad organizzazioni (ospedali, case di cura, mense scolastiche e anziani), la quale ha diffuso fin dal 26 giugno informazioni sull’attacco informatico che si è palesato oggi, esattamente 20 giorni dopo con una pubblicazione fatta nelle underground da Hive ransomware.

    Il comunicato emesso, ha avuto ben 5 aggiornamenti dall’azienda, che ha raccontato fin dal giorno successivo all’attacco informatico cosa stava facendo per rispondere alla crisi.

    Oggi, 13 luglio (mentre sto scrivendo), viene pubblicato per la prima volta da Hive Ransomware un post sul suo data leak site (DLS), dove si evince che l’azienda era stata violata e rimasta vittima del ransomware.

    Pubblicazione effettuata sul DLS di Hive Ransomware il 13 luglio 2022 alle 16:07

    Ora invece vediamo il primo comunicato emesso da APETITO. Si tratta del 26 giugno del 2022, ovvero ben 20 giorni prima che Hive ransomware avesse pubblicato il suo post sul suo DLS.

    Inoltre, tale comunicato è stato aggiornato con cadenza, fornendo ben 5 aggiornamenti verso i propri clienti, tutti firmati del suo CEO.

    Sono tutti matti?


    Non hanno paura della web & brand reputation?

    Comunicato emesso il 26 giugno da APETITO con 5 successivi aggiornamenti firmati dal suo CEO

    Cosa ha fatto APETITO

    Come abbiamo avuto modo di osservare, l’azienda, ha allertato gli utenti appena si è accorta dell’incidente, 20 giorni prima che venisse pubblicato da Hive ransomware la news sul suo data leak site. La pubblicazione da parte dei cyber criminali avviene generalmente quando l’organizzazione non vuole pagare il riscatto.

    Inoltre APETITO ha riportato chiaramente nella sua Home Page che l’azienda era rimasta vittima di un attacco informatico riportando: “apetito Victim of International Criminal Cyber Attack – Statement” dove al click sul link si viene rimandati al PDF dei comunicati.

    Home page del sito di APETITO dove viene riportato in evidenza il link al comunicato e la notizia dell’attacco cyber

    Alcune riflessioni sulla crisis management

    A questo punto prendiamo in esame due approcci completamente divergenti:

    • Primo approccio: approccio trasparente (Approccio APETITO) : immediatamente, dopo l’incidente informatico, l’azienda emette dei comunicati stampa cadenzati, informando i propri clienti dell’avvenuto incidente informatico. Vengono quindi informati i clienti di quali sono gli impatti immanenti e successivi sull’erogazione del servizio, quali sono stati i danni, cosa sta facendo l’azienda per rispondere all’attacco informatico. Inoltre vengono fornite indicazioni sui successivi aggiornamenti relativi all’evoluzione della crisi che si succederanno che saranno su base giornaliera.
    • Secondo approccio: approccio “in preda al panico” (Approccio classico italiano): Non si emette alcun comunicato relativo all’incidente informatico nemmeno dopo la pubblicazione nelle underground della violazione e nemmeno dopo che la stampa ha pubblicato informazioni in anteprima sul possibile incidente informatico. Dopo una settimana dalla pubblicazione della violazione nelle underground, a ridosso della pubblicazione dei dati, viene emesso un comunicato che minimizza la fuoriuscita delle informazioni e che riporta il difficile approvvigionamento di questi dati e che non sono di natura sensibile (anche se lo sono).

    Ore pensiamo che entrambi gli approcci vengono messi in atto da due aziende che vendono lo stesso prodotto e tu sei il cliente di una delle due.

    Se tu fossi un cliente di queste due aziende, quale ti darebbe più fiducia?

    A quale delle due aziende affideresti i tuoi dati personali?

    Ovviamente la prima, oppure mi sbaglio?

    Imparare la crisis management prima che sia troppo tardi

    Spesso dimentichiamo che ogni azienda privata deve dar conto ai propri clienti, mentre una pubblica amministrazione deve dar conto ai suoi cittadini e ai suoi elettori. Tutto questo deve avvenire prima di dar conto al proprio consiglio di amministrazione, al top management e alle successive guerre di palazzo.

    Il secondo approccio che abbiamo visto, significa che in Italia non sappiamo fare “Crisis Management” negli incidenti di sicurezza informatica e la dobbiamo imparare.

    Ma senza inventarci nulla di nuovo e di trascendentale, si potrebbe impararla osservando chi riesce a farla meglio di noi e magari riesce a trarre un vantaggio dalla crisi stessa e tornare in pista più forte che mai.

    Non pensate che voi non rimarrete vittima di un incidente informatico e che nessuno è interessato ai vostri dati.

    Oggi tutti avranno il proprio incidente di sicurezza informatica. L’unica incognita è solo quando.

    Pertanto impariamo la “crisis management”, in quanto oggi questa “materia”, è uno tra i pilastri portanti nella risposta agli incidenti informatici e soprattutto nella risposta al ransomware e prima o poi capiterà che dovremo metterla in atto.

    E che questo articolo sia uno spunto di riflessione per tutti.

    Massimiliano Brolli
    Responsabile del RED Team e della Cyber Threat Intelligence di una grande azienda di Telecomunicazioni e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali che vanno dal ICT Risk Management all’ingegneria del software alla docenza in master universitari.

    Lista degli articoli
    Visita il sito web dell'autore

    Articoli in evidenza

    Nuovi ricatti: se non paghi, daremo tutti i tuoi dati in pasto alle intelligenze artificiali!
    Di Redazione RHC - 03/09/2025

    Il gruppo di hacker LunaLock ha aggiunto un nuovo elemento al classico schema di estorsione, facendo leva sui timori di artisti e clienti. Il 30 agosto, sul sito web Artists&Clients, che mette in ...

    LockBit 5.0 : segnali di una nuova e possibile “Rinascita”?
    Di Pietro Melillo - 03/09/2025

    LockBit rappresenta una delle più longeve e strutturate ransomware gang degli ultimi anni, con un modello Ransomware-as-a-Service (RaaS)che ha segnato in maniera profonda l’ecosistema criminale. A ...

    Il RE dei DDoS! Cloudflare blocca un attacco mostruoso da 11,5 terabit al secondo
    Di Redazione RHC - 03/09/2025

    Il record per il più grande attacco DDoS mai registrato nel giugno 2025 è già stato battuto. Cloudflare ha dichiarato di aver recentemente bloccato il più grande attacco DDoS della storia, che ha ...

    Anche Cloudflare violata nell’incidente Salesforce! I rischi del cloud colpiscono tutti
    Di Redazione RHC - 03/09/2025

    Un’intrusione di dati è stata rilevata da Cloudflare, dove un aggressore esperto ha potuto accedere e quindi rubare i dati sensibili dei propri clienti da quella che era l’istanza Salesforce mess...

    Anche Palo Alto Networks Compromessa tramite Salesforce e Drift
    Di Antonio Piazzolla - 03/09/2025

    All’inizio di settembre 2025,Palo Alto Networks ha confermato di essere stata vittima di una violazione dei dati. La compromissione non ha interessato i suoi prodotti o servizi core, bensì alcune i...