Trafugati i dati di 40 milioni di elettori nel Regno Unito. All’origine dell’intrusione un falla zero-day in Exchange

Un attacco informatico contro la Commissione Elettorale del Regno Unito ha consentito ai delinquenti di sottrarre i dati elettorali di qualcosa come 40 milioni di residenti in UK. A quanto dichiara la commissione, si tratta di informazioni personali (nomi, indirizzi fisici ed e-mail) di chi si è registrato al voto nel Regno Unito nel periodo compreso fra il 2014 e il 2022.

All’origine dell’incidente sembra esserci una vulnerabilità di Exchange non corretta tempestivamente. 

Un bug non corretto per più di un mese

Sebbene la Commissione non abbia divulgato molti dettagli tecnici sull’intrusione, secondo alcune fonti, come il ricercatore Kevin Beaumont, gli attaccanti potrebbero aver sfruttato una vulnerabilità zero-day di Exchange: come indicato dalla Commissione stessa, infatti, si stima che i criminali avessero accesso ai sistemi già dall’ottobre 2022. 

Il solito esempio di patch correttive non applicate in tempo? Non proprio. La vulnerabilità (CVE-2022-41080 and CVE-2022-41082) è stata scoperta dai ricercatori il 30 settembre 2020, quando ormai già da un mese stava venendo sfruttata da alcuni criminali. Microsoft, in questa occasione, si è limitata a dare indicazioni su come mitigare il problema, ma solo l’8 novembre, dopo sei settimane, è stata distribuita una patch correttiva. 

Sempre secondo Beaumont, tra l’altro, le indicazioni inizialmente fornite da Microsoft non erano sufficienti a evitare intrusioni.

Sintetizzando, i suggerimenti indicati dall’azienda di Redmond per mitigare il problema erano inefficaci, e la multinazionale si è presa svariate settimane prima di correggere un problema tanto grave. 

La Commissione Elettorale, sottolinea Beaumont, non ha in questo caso alcuna responsabilità, dato che ha seguito tempestivamente le indicazioni – purtroppo errate – di Microsoft. C’è un dettaglio che però fa riflettere: come specifica la Commissione stessa nel suo comunicato, i sospetti sono nati a ottobre 2022 e le successive analisi hanno evidenziato come gli attaccanti avessero avuto modo di entrare nei sistemi informatici della vittima già nell’agosto 2021. In pratica, la Commissione Elettorale del Regno Unito ha atteso circa 9 mesi prima di rendere pubblico l’incidente. Un lasso di tempo decisamente troppo lungo.

Fonte: http://feeds.hwupgrade.it/