Um ataque de phishing expôs dados de 1,3 milhão de pessoas. O custo agora recai sobre um programa estatal que auto-segura perdas cibernéticas.
Um ataque cibernético ao sistema judicial do Arizona, que expôs dados sensíveis de cerca de 1,3 milhões de pessoas, está a transformar-se num teste à forma como um estado auto-segura o risco cibernético.
Funcionários do tribunal disseram em um aviso atualizado que hackers criminosos acessaram e copiaram arquivos judiciais de backup depois que um funcionário clicou em um link malicioso em um e-mail de phishing. O maior conjunto de dados veio do programa de Execução de Multas/Taxas e Restituições (FARE) dos tribunais. Continha nomes, números de Segurança Social e números de processos de cerca de 1,3 milhões de pessoas com dívidas judiciais que remontavam a 30 anos.
Os atacantes também copiaram mais de 150 mil relatórios do Foster Care Review Board que datam de 2010, juntamente com registros de ordens de proteção ativas e inativas. O tribunal disse que o ataque começou em 24 de setembro e foi encerrado menos de duas horas depois de ter sido identificado. Ele disse que não havia evidências de que os dados tivessem sido compartilhados e que não estava claro se a maioria dos arquivos de backup compactados poderia ser facilmente lida.
Como o Arizona garante perdas cibernéticas
O Arizona não compra cobertura cibernética para cada uma de suas agências da mesma forma que uma empresa privada faria. A lei estadual estabelece fundo de seguro contra riscos cibernéticos dentro do Departamento de Administração (ADOA), juntamente com seu fundo geral de gestão de riscos. Os fundos são usados para comprar seguros, pagar perdas auto-seguradas e fornecer serviços de prevenção de perdas.
Seção de gerenciamento de risco da ADOA compra seguro de franquia e catástrofe além desse autosseguro financiado. A legislação aprovada em 2022 adicionou violações de dados e incidentes de segurança aos eventos cobertos pelo autosseguro do estado. Também exigiu que a ADOA comprasse seguro contra violações para agências selecionadas e permitiu-lhe impor franquias às agências por perdas cibernéticas.
De acordo com as regras do estado, o diretor da ADOA decide quais agências recebem cobertura contra violações cibernéticas e pode limitar a cobertura a órgãos selecionados. Não foi divulgado se os sistemas FARE e de assistência social do Poder Judiciário se enquadram nessa cobertura e qual a franquia.
Onde os custos irão parar
Esta violação reúne vários dos elementos mais caros de uma perda cibernética. A notificação e a monitorização do crédito para 1,3 milhões de pessoas seriam dispendiosas por si só. O tribunal já começou a notificar as pessoas por mensagem de texto e instou-as a congelar o seu crédito.
A exposição a terceiros pode revelar-se maior. Os dados sobre os números da Segurança Social e as dívidas judiciais criam um risco de roubo de identidade. Os relatórios de assistência social, que contêm declarações de famílias e conclusões de investigações sobre crianças, e os registros de ordens de proteção, envolvem algumas das informações mais confidenciais que um órgão público possui. As reclamações ou ações regulatórias sobre esses dados caberiam primeiro ao autosseguro do estado, com as seguradoras excedentes respondendo apenas quando as perdas passassem a camada retida.
Um porta-voz do tribunal disse que o ransomware não estava envolvido e nenhum resgate foi exigido, o que elimina um elemento do custo potencial.
O que isso significa para os corretores
Para os corretores que trabalham com entidades públicas, o caso do Arizona é um exemplo claro de como o risco cibernético se enquadra de forma diferente no setor público. Muitos estados, condados e municípios retêm grandes quantidades de risco cibernético através de fundos ou pools de autosseguro e compram cobertura comercial apenas como excesso. Isso coloca o risco de uma grande violação para os contribuintes e torna o ponto de fixação da camada excedente central para a colocação.
O ataque também mostra no que os subscritores se concentrarão na renovação. Um único clique de phishing ultrapassou o treinamento anual obrigatório e o monitoramento 24 horas por dia e alcançou backups contendo décadas de dados legados.
Os compradores de entidades públicas, quer comprem dados cibernéticos diretamente ou através de um fundo ou pool estatal, podem esperar um exame mais minucioso das políticas de retenção de dados, segmentação e criptografia de backup e autenticação resistente a phishing. Os corretores que ajudam os clientes a resolver esses pontos antes da renovação estarão em melhor posição quanto aos pontos e termos de anexação.
