Violazione presso il Crown Office scozzese: esposti i dati di circa 300 dipendenti

L’incidente nasce da un fornitore esterno

Il Crown Office and Procurator Fiscal Service (COPFS), il servizio scozzese responsabile dell’azione penale pubblica e delle indagini sui decessi, ha comunicato il 13 agosto una possibile violazione di dati personali.

L’incidente non avrebbe colpito direttamente i sistemi del COPFS. Il punto d’ingresso sarebbe invece un fornitore esterno incaricato di gestire una valutazione online sulla maturità dei dati, realizzata nell’ambito di un programma di formazione rivolto a diverse amministrazioni pubbliche.

L’organizzazione che aveva emesso il questionario ha rilevato attività sospette il 5 agosto. Gli eventi sembravano avere un impatto sulla rete interna del fornitore e hanno comportato la perdita di informazioni relative a dipendenti governativi.

Il COPFS ha stimato in circa 300 le persone coinvolte. Il perimetro potrebbe però essere più ampio: la valutazione faceva parte del Data Maturity Programme del governo scozzese, avviato nel 2021 e aperto ogni anno a gruppi di organizzazioni pubbliche.

Non è noto se il COPFS sia l’unico ente scozzese interessato. Resta inoltre da chiarire se lo stesso fornitore abbia perso dati appartenenti ad altri clienti.

Quali informazioni sono state esposte

Le informazioni potenzialmente compromesse riguardano elementi identificativi e organizzativi del personale:

• nome;
• ruolo professionale;
• indirizzo e-mail di lavoro.

Gli indirizzi IP non risultano inclusi nei dati sottratti. Il COPFS ha inoltre precisato che l’incidente non ha coinvolto le informazioni relative a procedimenti giudiziari, vittime o testimoni.

Non ci sono quindi evidenze, sulla base degli elementi disponibili, di un accesso ai fascicoli giudiziari o ai dati operativi gestiti dal servizio. Il rischio riguarda soprattutto la possibilità di identificare dipendenti, comprenderne la funzione e raggiungerli attraverso i canali istituzionali.

Anche un insieme limitato di dati può avere valore per un attaccante. Il ruolo professionale, associato a un indirizzo governativo, permette di costruire messaggi più credibili rispetto a una campagna di phishing generica. Un’e-mail indirizzata a una persona reale e formulata in relazione alle sue mansioni può aumentare la probabilità che un collegamento venga aperto o che una richiesta venga considerata legittima.

Il fornitore non è stato nominato formalmente

Il COPFS non ha identificato pubblicamente l’azienda responsabile dell’assessment. Un possibile amministratore del programma è stato individuato in Data Orchard, società di ricerca con sede nel Regno Unito.

Data Orchard descrive sul proprio sito la partecipazione a una quinta coorte di organizzazioni pubbliche impegnate in un percorso di valutazione della maturità dei dati. Questo elemento non costituisce però una conferma formale che l’azienda sia il fornitore coinvolto nella violazione.

La società avrebbe inoltre lavorato con organizzazioni di grandi dimensioni, tra cui il World Wildlife Fund e il governo del Galles. Non è noto se i dati di tali enti siano stati coinvolti nell’incidente.

Restano senza risposta anche altri interrogativi: quali sistemi siano stati compromessi, per quanto tempo l’attaccante abbia avuto accesso alla rete e se siano stati copiati dati appartenenti a organizzazioni diverse dal COPFS. Non è stata resa nota una tecnica d’attacco specifica e non è stato assegnato un livello formale di gravità.

Perché nomi e ruoli possono diventare un rischio operativo

La combinazione di nome, mansione ed e-mail professionale offre informazioni utili per attività di ricognizione. Un attaccante può usarle per impersonare un collega, un dipartimento interno, un fornitore o un partner istituzionale.

Il rischio cresce quando il messaggio indirizza il destinatario verso un falso portale di accesso, chiede di verificare un documento o sollecita un’azione urgente. In questi scenari, l’obiettivo non è necessariamente il dipendente in quanto tale: il suo account può diventare il primo punto d’accesso a risorse più ampie.

La violazione non dimostra che un account del COPFS sia stato compromesso. Tuttavia, i dati esposti possono facilitare attacchi successivi contro il personale interessato, soprattutto se gli indirizzi vengono combinati con informazioni pubbliche sui compiti e sulla struttura dell’amministrazione.

Per questo il numero di persone coinvolte non è sufficiente a misurare l’impatto. Trecento identità professionali ben profilate possono offrire una superficie utile per campagne mirate, anche senza includere password, dati finanziari o fascicoli giudiziari.

Il problema dei fornitori “periferici”

Il caso mette in evidenza un rischio frequente nei programmi di gestione delle terze parti. Le organizzazioni tendono a concentrare i controlli sui fornitori strategici e sui servizi utilizzati continuamente, mentre piattaforme impiegate per questionari, formazione o assessment possono ricevere un livello di sorveglianza inferiore.

Secondo Cory Kennedy, ricercatore di threat intelligence presso SecurityScorecard, molte aziende fanno ancora affidamento su verifiche iniziali, questionari, certificazioni SOC 2 o ISO 27001. Dopo l’onboarding, però, il monitoraggio può ridursi drasticamente o interrompersi.

Una certificazione o una valutazione positiva descrive una situazione osservata in un determinato momento. Non garantisce che il fornitore resti protetto dopo mesi, né che tutte le sue dipendenze mantengano lo stesso livello di sicurezza.

Kennedy indica come alternativa il monitoraggio esterno e continuo della superficie d’attacco effettiva, includendo anche le dipendenze dei fornitori diretti. NIS2 e DORA stanno contribuendo a spostare il quadro europeo verso una gestione più dinamica del rischio di terze parti, ma la loro applicazione non elimina automaticamente le lacune nei processi interni.

Boris Cipot, principal security engineer presso Black Duck, osserva che il superamento dei controlli di conformità iniziali non impedisce a un fornitore di essere compromesso in seguito. La verifica prima della firma del contratto, quindi, non può essere considerata una garanzia permanente.

Cosa devono fare il COPFS e le persone interessate

Non sono state comunicate patch, revoche di credenziali, blocchi tecnici o altre misure di contenimento già applicate dal COPFS o dal fornitore. Il perimetro definitivo dell’incidente resta da chiarire.

Nel frattempo, le organizzazioni coinvolte dovrebbero:

• avvisare il personale interessato del possibile uso fraudolento delle informazioni;
• rafforzare il monitoraggio delle e-mail indirizzate ai dipendenti esposti;
• verificare i controlli di autenticazione e le protezioni degli account;
• preparare controlli aggiuntivi per accessi anomali e tentativi di raccolta delle credenziali;
• rivalutare i fornitori occasionali, non solo quelli considerati strategici;
• estendere l’analisi alle dipendenze tecniche dei fornitori diretti;
• eseguire controlli periodici e non soltanto verifiche al momento dell’onboarding.

I dipendenti dovrebbero diffidare di richieste inattese relative a password, documenti, pagamenti o accessi a portali interni, anche quando il mittente sembra appartenere a un ufficio conosciuto. In caso di dubbio, la richiesta va verificata attraverso un canale indipendente.

La priorità rimane stabilire se l’incidente abbia coinvolto altri enti partecipanti al Data Maturity Programme e quali dati siano stati effettivamente copiati. Fino a quel momento, il numero di circa 300 dipendenti rappresenta una stima del danno noto, non necessariamente il limite massimo della violazione.