L'8 dicembre 2023 un attacco ransomware del gruppo LockBit 3.0 ha colpito il data center di Westpole, fornitore cloud di PA Digitale, software house che eroga gestionali (J-Iride, J-City, J-Demos) per la pubblica amministrazione locale italiana. Il blast radius ha investito oltre 1.300 enti pubblici secondo il bollettino ACN.
L'impatto reale
- Blocco di delibere e determine (J-Iride per la gestione documentale).
- Sospensione dei protocolli informatici, con impossibilità di registrare atti in entrata e uscita.
- Disservizi sui portali del cittadino, anagrafe, tributi, servizi sociali.
- Tempi di ripristino di settimane, con impatto su scadenze amministrative e fiscali.
Cosa è successo dal punto di vista tecnico
Secondo le ricostruzioni rese pubbliche da ACN e dai principali analisti italiani, l'attacco ha sfruttato accessi a un'infrastruttura virtualizzata, con cifratura di volumi e backup raggiungibili dalla stessa rete, rendendo il ripristino lento e complesso.
Le lezioni di compliance
1. La supply chain è il vero perimetro. Migliaia di enti hanno subito un attacco senza essere stati attaccati direttamente. La NIS2 (art. 21 par. 2 lett. d) e DORA (art. 28 ss.) impongono ora valutazioni di sicurezza dei fornitori ICT e clausole contrattuali specifiche.
2. Backup off-site e immutabili. Backup nello stesso ambiente del produttivo non sono backup. La regola 3-2-1 (3 copie, 2 supporti diversi, 1 off-site/offline) è il minimo. Backup immutabili (WORM/object-lock) sono lo standard di riferimento.
3. Notifica e gestione incidenti. L'episodio ha mostrato come la mancanza di playbook di incident response e di canali di comunicazione predefiniti rallenti drammaticamente il ripristino e la comunicazione agli interessati.
4. Responsabilità ex art. 28 GDPR. Per i Comuni colpiti, Westpole/PA Digitale agivano come responsabili del trattamento: il titolare resta responsabile della scelta del responsabile e delle misure tecniche e organizzative, ai sensi dell'art. 24 GDPR.
5. Diversificazione e business continuity. Single point of failure su un unico fornitore ICT regionale o nazionale è un rischio che va mappato nel piano di continuità operativa (BCP/DRP).
Cosa fare oggi
- Inventario dei fornitori ICT critici e mappatura delle dipendenze.
- Audit dei contratti DPA: clausole su sicurezza, sub-responsabili, audit, notifica incidenti, exit strategy.
- Test periodici di ripristino dei backup (un backup non testato è un backup ipotetico).
- Tabletop exercise di incident response che includa scenari di compromissione del fornitore.