Il Ransomware Conti colpisce la San Carlo: la big delle patatine italiane dichiara che non pagherà alcun riscatto

Il gruppi di cyber attaccanti Conti ha rivendicato ieri pomeriggio, Lunedì 25 ottobre, l'irruzione nei sistemi della San Carlo Gruppo alimentare Spa: si è proprio lei, la famosissima azienda che produce patatine fritte, pop corn, pane e dolci. Il gruppo ha rivendicato l'attacco sul proprio sito Tor di leak:

Il sito di leak su Tor del gruppo ransomware Conti

Nella descrizione del post pubblicato dagli attaccanti si legge che:
"San Carlo ha sede a Milano, Italia [...] ha 310 dipendenti e genera circa 270 milioni di dollari USA in vendite. Ci sono oltre 340 aziende nella corporation San Carlo Gruppo Alimentare SPA"

Per adesso non sono stati pubblicati dati, ma solo una lista di file del peso di 59 MB ed alcuni sample: lo scopo è solo fornire le prove che l'irruzione è realmente avvenuta. Gli attaccanti dichiarano di aver avuto accesso a dati come passaporti, carte di identità, informazioni finanziarie, fatture e molto altro. 

Anagrafiche e utenze: uno dei sample pubblicati sul sito di leak Conti

Un passaporto pubblicato sul sito di leak di Conti

Va sottolineato come, per adesso, non sia stata resa pubblica alcuna richiesta di riscatto e, tra le altre cose, non risulta che i dati ospitati nelle infrastrutture informatiche aziendali siano stati criptati: sarebbe il secondo attacco che si realizza in Italia in pochi giorni nel quale una banda ransomware non utilizza alcun ransomware, ma si limita ad esfiltrare i dati e ricattare le aziende per non renderli pubblici. Fatto che, se confermato, andrebbe ormai a indicare una nuova modalità di attacco da parte di gruppi notoriamente riconosciuti per l'impiego di ransomware: in questo caso il ricatto, come sta avvenendo per SIAE, si baserebbe solo sulla semplice ingiunzione "paga e cancelliamo i dati rubati. Non pagare e noi pubblichiamo tutto e lo vendiamo nel dark web". 

In effetti, è interessante notare come in conseguenza dell'attacco contro SIAE, che ha deciso di non pagare, gli attaccanti di Everest abbiano spostato il ricatto sulle singole vittime: sono centinaia ormai gli artisti che denunciano di aver ricevuto SMS ed email a fini estorsivi con le quali gli attaccanti chiedono 10.000 dollari in Bitcoin per cancellare i dati rubati. Nel frattempo è lecito e verosimile aspettarsi che gli stessi possano divenire vittime di attacchi di phishing altamente personalizzati. 

"I nostri tecnici hanno riscontrato un'intrusione nei nostri sistemi informatici. Sono state immediatamente attivate tutte le procedure di sicurezza per isolare e contenere la minaccia. Al momento alcuni servizi informatici sono solo parzialmente funzionanti, ma l'operatività del gruppo è comunque garantita, dalla produzione, alla distribuzione, alla vendita dei nostri prodotti" ha fatto sapere il gruppo San Carlo in una nota, mentre già la Polizia Postale sono all'opera per le dovute indagini. Anche il Garante è stato allertato, come previsto dal GDPR: "abbiamo già provveduto ad informare le autorità competenti (Garante Privacy e Polizia Postale) e sta procedendo ad analizzare i dati che potrebbero essere stati danneggiati o trafugati, procedendo altresì a informare le persone che possono essere state interessate" conclude la nota. 

Non risultano, ad ora, interruzioni dell'operatività aziendale: San Carlo ha fatto sapere non solo di disporre dei backup, ma anche di aver garantito la continuità di produzione, alla distribuzione, alla vendita dei prodotti.