Wesco indaga su una rivendicazione di violazione da parte del gruppo ExfilSquad

Wesco conferma un incidente di sicurezza informatica legato al CRM cloud

Il distributore di prodotti elettrici Wesco ha confermato di star indagando su un incidente di sicurezza informatica dopo che un gruppo di estorsione dati ha rivendicato di aver violato i sistemi dell'azienda. Secondo quanto riportato da SC Media, Wesco ha dichiarato che l'incidente coinvolge il suo ambiente cloud di gestione delle relazioni con i clienti (CRM) e che l'azienda sta collaborando con il proprio fornitore per determinare la portata dell'accaduto.

Il gruppo di estorsione dietro la rivendicazione è stato identificato in altre fonti come ExfilSquad, un attore che ha pubblicamente affermato di aver sottratto e diffuso dati che presumibilmente appartengono a Wesco. Come è tipico in queste situazioni, la conferma dell'azienda si limita a riconoscere un incidente e a indicare la categoria del sistema interessato (CRM cloud), mentre le affermazioni del gruppo di estorsione sul volume o sulla sensibilità dei dati rubati restano non verificate da Wesco stessa.

Questo schema, in cui un gruppo di hacker o di estorsione rende pubblica una violazione prima che l'azienda colpita completi le indagini, è diventato sempre più comune. Mette i clienti e i partner commerciali in una posizione scomoda: vengono a sapere di una potenziale esposizione dei propri dati dalle rivendicazioni di un gruppo criminale molto prima di ricevere comunicazioni ufficiali dall'azienda che li deteneva.

Perché le violazioni dei CRM cloud sono importanti per la privacy

Le piattaforme CRM sono obiettivi allettanti proprio per ciò che archiviano: nomi dei clienti, dettagli di contatto, relazioni commerciali, cronologia delle comunicazioni e a volte informazioni di fatturazione o account. Per un'azienda come Wesco, che funge da importante distributore per imprese e istituzioni, una violazione del CRM potrebbe esporre non solo dati personali generici, ma anche dettagli sui clienti aziendali, sulle relazioni con i fornitori e sulle operazioni di vendita interne.

Quando un gruppo di estorsione afferma di aver esfiltrato dati prima di qualsiasi cifratura o distribuzione di ransomware, l'obiettivo in genere non è bloccare i sistemi. È fare pressione sull'organizzazione vittima minacciando di diffondere o vendere le informazioni sottratte. Che un riscatto venga pagato o meno, i dati rubati che hanno già lasciato la rete possono finire pubblicati, venduti o scaricati pubblicamente indipendentemente dall'esito delle trattative. Abbiamo già visto questa dinamica con massicci scaricamenti di dati comparsi su forum criminali o piattaforme di messaggistica ben dopo la violazione iniziale, come documentato nei casi in cui 918 database sono stati diffusi su Telegram molto tempo dopo il furto originale.

Quella storia è un utile promemoria del fatto che la tempistica delle indagini di un'azienda e quella della divulgazione di un gruppo criminale non sempre coincidono. I dati dichiarati come rubati in un post di estorsione possono restare inattivi per settimane o mesi prima di riemergere in una forma pubblicamente ricercabile e più dannosa.

Cosa Wesco ha confermato e cosa no

In questa fase, i fatti confermati sono pochi. Wesco ha riconosciuto un incidente, identificato l'ambiente CRM cloud come sistema interessato e dichiarato di stare collaborando con il proprio fornitore per la risposta. Sulla base delle informazioni disponibili, l'azienda non ha confermato i tipi specifici di dati coinvolti, il numero di persone o organizzazioni interessate né se le affermazioni del gruppo di estorsione sulla portata della violazione siano accurate.

Si tratta di una posizione comune e ragionevole in una fase iniziale per un'azienda che sta ancora conducendo un'indagine forense. Divulgazioni premature o inesatte possono creare confusione o esposizione legale, perciò le organizzazioni in genere aspettano che l'indagine con fornitori esterni o società di risposta agli incidenti sia sufficientemente avanzata prima di rilasciare dichiarazioni dettagliate. I lettori dovrebbero trattare le affermazioni non verificate dei gruppi di estorsione con il dovuto scetticismo, pur prendendo seriamente la possibilità sottostante di un'esposizione.

Cosa significa per te

Se sei un cliente, un fornitore o un dipendente di Wesco, non esiste ancora un elenco confermato di quali dati possano essere stati esposti, il che rende la prudenza proattiva la risposta più ragionevole. Attendi comunicazioni ufficiali direttamente da Wesco invece di fare affidamento esclusivamente sulle rivendicazioni del gruppo di estorsione o su aggregatori terzi. I gruppi di estorsione hanno un incentivo a esagerare la portata o la sensibilità dei dati rubati per aumentare la pressione sul loro obiettivo, quindi considera le affermazioni iniziali con un certo scetticismo finché un'azienda non conferma i dettagli.

Più in generale, questo incidente ricorda che i sistemi CRM, spesso considerati meno prioritari rispetto ai sistemi finanziari o alle cartelle cliniche, contengono dati personali e aziendali sufficienti per essere realmente preziosi per gli aggressori. Se hai fatto affari con Wesco o condividi informazioni di contatto con qualsiasi fornitore che utilizza strumenti CRM basati su cloud, vale la pena rivedere periodicamente dove risiedono i tuoi dati e come sono protetti.

Consigli pratici

• Monitora gli aggiornamenti ufficiali direttamente da Wesco invece di fare affidamento solo sulle rivendicazioni del gruppo di estorsione.
• Se sei un cliente o un partner di Wesco, controlla le tue e-mail e i tuoi account per tentativi di phishing che potrebbero fare riferimento a questo incidente.
• Valuta di attivare l'autenticazione a più fattori su tutti gli account collegati a rapporti commerciali con Wesco.
• Sii scettico riguardo alle affermazioni non verificate sul volume o sulla sensibilità dei dati finché un'azienda non conferma i dettagli attraverso una notifica ufficiale di violazione.

Con il proseguire delle indagini, è probabile che emergano ulteriori dettagli sulla reale portata dell'incidente. Fino ad allora, affrontare con un sano scetticismo sia le caute dichiarazioni dell'azienda sia le rivendicazioni del gruppo di estorsione è la strada più sensata da seguire.