Caso pubblico di crisi cyber · 2024
Santander: proteggere la fiducia quando i dati sono presso un terzo
Perimetro dei dati, continuità dei servizi e attribuzione delle informazioni. Una lettura che non confonde le dichiarazioni della banca con i numeri diffusi dagli attaccanti.
Analisi di un incidente pubblico, non una referenza cliente CyberUP. Dichiarazioni, documenti e lettura operativa.
In sintesi
Il perimetro conta più di un numero isolato
Dichiarazione del Gruppo
Accesso non autorizzato a un database ospitato da un fornitore. [1]
Perimetro della notifica USA
Persone indicate nella comunicazione Santander Holdings U.S.A.; non totale mondiale. [2]
Valori e date appartengono alle fonti indicate. Non sono risultati di un’esercitazione CyberUP.
Che cosa è documentato
Fatti e perimetro.
Il quadro dichiarato dalla banca
Santander include clienti di Spagna, Cile e Uruguay, dipendenti attuali del Gruppo e alcuni ex dipendenti. Dichiara esclusi dati transazionali e credenziali utilizzabili per operare sui conti. Riferisce blocco degli accessi compromessi, controlli antifrode aggiuntivi e comunicazioni ai soggetti interessati. [1]
Una notifica locale non misura il caso globale
Il registro del Maine riporta una comunicazione di Santander Holdings U.S.A. con 12.786 persone e date proprie. Il valore documenta quel perimetro: non va esteso a tutti i clienti e dipendenti del Gruppo. La notifica locale non risolve da sola il perimetro complessivo dell’incidente. [2]
Date del caso
La cronologia documentata.
La comunicazione deve mantenere la stessa precisione dei dati
Per un’esercitazione proponiamo di separare subito tre domande: quali informazioni risultano coinvolte, quali attività restano disponibili e quali azioni sono richieste alle persone. Confondere questi piani può produrre sia allarmismo sia rassicurazioni troppo ampie. L’obiettivo è costruire un messaggio utile anche quando il quadro non è completo.
Il tavolo di lavoro dovrebbe includere chi gestisce il fornitore, Security, le funzioni responsabili dei dati, Legal, HR e comunicazione. Non è necessario attivarle secondo una sequenza inventata: occorre stabilire quali decisioni richiedano il loro contributo e chi consolidi le versioni delle informazioni.
La stessa disciplina vale per i numeri. Un conteggio relativo a un’entità o a una comunicazione non deve diventare il totale dell’incidente. Proponiamo di annotare sempre popolazione, fonte e data, distinguendo una dichiarazione societaria da una rivendicazione esterna. L’esercizio può cambiare deliberatamente il perimetro per osservare come il team aggiorna il messaggio.
Sul piano della preparazione del personale, l’analisi può alimentare scenari di richieste sospette e verifica dell’interlocutore. Si tratta di un possibile tema di esercitazione, non della prova che un determinato tentativo di frode sia seguito a questo incidente. Il personale deve sapere come segnalare, senza ricevere il compito di investigare autonomamente.
Dal caso alla preparazione
Tre domande da mettere alla prova.
Proposte per un’esercitazione nel contesto della tua organizzazione. Non descrivono attività svolte da CyberUP per il soggetto analizzato.
Chi riconcilia le informazioni del fornitore?
Definite un referente e una versione condivisa del perimetro. Registrate cosa è confermato, cosa è escluso dalla dichiarazione e cosa resta da verificare.
Il messaggio è utile senza essere assoluto?
Preparate indicazioni per clienti e personale che distinguano operatività e dati. Non convertite “nessuna evidenza” in “impossibile”.
La popolazione è indicata correttamente?
Verificate che ogni numero resti collegato all’entità, al periodo e ai soggetti a cui si riferisce, anche nelle infografiche e nei titoli.
Tracciabilità
Fonti e approfondimenti.
Le date delle fonti e il periodo analizzato sono distinti dalla data di verifica di questa pagina. Le interpretazioni CyberUP sono segnalate come tali; le fonti esterne non implicano endorsement o rapporti commerciali.
- Banco Santander · 14 maggio 2024
Statement (si apre in una nuova scheda)Dichiarazione societaria primaria. Perimetro della banca, soggetti interessati, dati esclusi e operatività secondo la dichiarazione. - Maine Attorney General · comunicazione Santander Holdings U.S.A. · Notifiche del 18 giugno 2024
Data Breach Notice — Santander Holdings U.S.A., Inc. (si apre in una nuova scheda)Notifica societaria in registro pubblico. Perimetro USA della comunicazione; non conteggio globale del gruppo.