L'assicurazione informatica cresce di oltre il 500%, ma di solito non copre casi come il furto da 1 miliardo di R$ legato a Pix

La Polizia civile e la Polizia federale di San Paolo continuano a indagare sul più grande attacco hacker nella storia del Brasile , che ha utilizzato credenziali di accesso valide e ha invaso i sistemi di C&M, un'azienda tecnologica che media l'accesso di banche e piccole fintech ai sistemi della Banca centrale (BC), tra cui Pix, per rubare denaro da sei istituti finanziari clienti dell'azienda.

Con nuove segnalazioni di perdite finanziarie, la polizia stima che i danni potrebbero superare il miliardo di R$ . In Brasile, sta diventando sempre più comune stipulare una "cyber insurance" per aiutare le aziende a coprire vari aspetti delle perdite in caso di attacco hacker .

Secondo un'indagine della Confederazione Nazionale degli Assicuratori (CNSeg) con dati dell'anno scorso, la ricerca di un'assicurazione contro gli attacchi hacker è cresciuta del 12,7% tra gennaio e giugno 2024, con una raccolta di 110,6 milioni di R$ versati dalle aziende clienti agli assicuratori, un importo noto come premio, che è ciò che i clienti pagano alle compagnie assicurative per avere la polizza.

Nella serie storica a partire dal 2020, l'aumento dei contratti di assicurazione informatica in Brasile ha raggiunto il 512,4%, ma il mercato nazionale è ancora limitato: nel 2024, ha chiuso con circa 240 milioni di R$ di premi in questo segmento. Negli Stati Uniti, ad esempio, i premi hanno raggiunto i 10 miliardi di dollari nello stesso periodo.

In casi come l'attacco a C&M, tuttavia, di default i contratti delle compagnie assicurative non coprono gli importi finanziari rubati durante gli attacchi informatici oppure escludono il pagamento della copertura in diverse situazioni, ad esempio se il furto è stato effettuato con l'aiuto di qualcuno all'interno dell'azienda vittima (come in questo caso) o tramite ingegneria sociale: si verifica quando gli hacker riescono a penetrare in un sistema catturando dati di accesso validi da qualcuno con autorizzazione al sistema, ad esempio nel caso del phishing , quando i truffatori catturano informazioni sensibili delle vittime tramite link dannosi.

Solo BMP, una banca digitale tra i sei clienti di C&M coinvolti, ha denunciato il furto di 541 milioni di R$ alla polizia di San Paolo. Inizialmente, il denaro non ha avuto ripercussioni sui clienti ed è stato prelevato dai conti di riserva degli istituti finanziari presso la Banca Centrale. La Polizia Civile di San Paolo ha arrestato un dipendente di C&M accusato di aver fornito le credenziali di accesso e la password del sistema aziendale agli hacker responsabili della truffa in cambio di 15.000 R$.

Ad oggi, la Banca Centrale ha sospeso sei piccoli istituti finanziari dal sistema Pix, sospettati di aver trasferito fondi e altrimenti partecipato al sistema di appropriazione indebita da miliardi di dollari. La sospensione ha una durata massima di 60 giorni. L'articolo 95-A della Risoluzione 30/2020, la "legge Pix", stabilisce che la Banca Centrale può "sospendere provvisoriamente, in qualsiasi momento, la partecipazione a Pix di qualsiasi partecipante la cui condotta metta a repentaglio il regolare funzionamento del sistema di pagamento".

La copertura "cyber insurance" di solito non è completa

Secondo il rapporto finale del Gruppo di lavoro sulla sicurezza informatica e le nuove assicurazioni per l'economia digitale, datato dicembre 2024, della Sovrintendenza alle assicurazioni private (Susep), un'agenzia federale collegata al Ministero delle Finanze, "nonostante l'ambito di copertura, è importante evidenziare le esclusioni, ovvero clausole contrattuali che limitano la responsabilità dell'assicuratore. Le principali esclusioni includono atti intenzionali, guerre, calamità naturali, danni fisici e morali, perdite su strumenti finanziari ed eventi pregressi".

Nel documento si afferma che "offrire queste coperture in Brasile sarebbe importante per un migliore allineamento con le migliori pratiche internazionali, una protezione più completa per le aziende, in particolare per le micro, piccole e medie imprese, compresi i privati, oltre a stimolare la crescita del mercato delle assicurazioni informatiche in Brasile, attraendo nuovi clienti e aumentando la competitività tra gli assicuratori".

Sul suo sito web, dove propone soluzioni di sicurezza digitale, il colosso IBM consiglia di acquistare una "cyber insurance" insieme ai suoi prodotti, ma mette in guardia dalle esclusioni tipiche di questo tipo:

• violazioni di terze parti (quando l'attacco che colpisce il cliente viene in realtà eseguito da una società partner terza, come nel caso di C&M);
• ingegneria sociale;
• minacce interne (nel caso in cui qualcuno in azienda partecipi all’attacco “dall’interno”, come è avvenuto anche in C&M);
• attacchi sponsorizzati da uno Stato nazionale o da un governo;
• attacchi che sfruttano una vulnerabilità già nota nel sistema;
• guasti di rete non causati da attacchi hacker .

Secondo Marta Schuh, direttrice del reparto Cyber and Technology Insurance di Howden, sul mercato esistono alcune opzioni che assicurano almeno una parte del denaro perso in un attacco , ma a causa della storia delle frodi in Brasile e della scarsa maturità delle compagnie nazionali in materia, esiste una restrizione locale sull'offerta e i costi dei prodotti più completi sono molto elevati.

"Il prodotto è disponibile, ma deve essere ben consolidato, e il costo dell'inclusione della deviazione monetaria aumenta significativamente il premio", afferma. Schuh spiega che in questo caso, l'assicuratore verifica le procedure di sicurezza della compagnia cliente e contribuisce a raccomandare rinforzi se ritenuti necessari; in caso contrario, la polizza non verrà emessa.

"Credo che questo incidente contribuisca a sottolineare l'urgenza per le nostre istituzioni di riconoscere che il mondo è cambiato, il nostro modo di fare business si è trasformato e, di conseguenza, sono emersi nuovi rischi ", afferma Marta Schuh. "Molte aziende considerano ancora la sicurezza informatica esclusivamente come un rischio legato alla protezione dei dati, ma va ben oltre. Ha un impatto sulla continuità operativa, sulla reputazione del marchio, sulla fiducia dei clienti e persino sulla stabilità operativa."