Questa è la storia del caso Virgin Pulse, attaccata dal gruppo ransomware Cl0p che, come si può intendere, non riveste importanza fine a se stessa, ma una fitta supply chain difficile da ricostruire per intero, i cui pezzi però iniziano a prendere forma. Ecco come Ransomfeed scopre i collegamenti tra i criminali di Cl0p, l’attacco a Virgin Pulse e l’attacco a Welltok.

THE MOVEIT FILES: Virgin Pulse

A Giugno 2023⁽¹⁾ il gruppo ransomware Cl0p si rende artefice di molti attacchi ad aziende americane (e non) sfruttando una vulnerabilità nel sistema di trasferimento files MOVEit.
Grazie a questa vulnerabilità, si stima che le vittime siano oltre 75 milioni in tutti gli Stati Uniti – senza considerare le vittime “a cascata”, con un impatto economico da miliardi di dollari.

In data 26 Luglio 2023⁽²⁾ Cl0p pubblica la rivendicazione di un attacco a Virgin Pulse, piattaforma di Healthcare e Wellbeing del gruppo Virgin. L’attacco informatico a Virgin Pulse non ha suscitato grande clamore tra la stampa internazionale: la risonanza è stata data all’acquisizione di Welltok e alla fusione con HealthComp. Poche testate, spesso di settore, hanno riportato la notizia del data breach di una delle più grandi aziende nel settore sanitario privato⁽³⁾.

L’attacco potrebbe sembrare l’ennesimo colpo clamoroso di una Big violata, ma nasconde qualcosa di più.

Welltok è uno dei più grandi gestori di servizi sanitari e di benessere americano; oltre al management dei dati (database con dati personali) si occupa di analizzare i trend di mercato e di affinare strategie riguardanti esigenze sanitarie di varia natura: dal picco influenzale di stagione alla pandemia.

Il 24 Ottobre 2023⁽⁴⁾ Welltok pubblica una nota riguardante una violazione subita (il 26 Luglio 2023) che ha esposto i dati personali di quasi 8.5 milioni di pazienti negli Stati Uniti. La nota precisa che l’attacco è stato condotto attraverso il sistema di trasferimento dati MOVEit.

Il danno è ingente: sono stati esposti i dati completi dei pazienti (nome, cognome e indirizzo), gli indirizzi email, numeri di telefono, numeri di previdenza sociale (SSN), i numeri di identificazione Medicare/Medicaid e alcune informazioni sull’assicurazione sanitaria.

Virgin Pulse ha completato l’acquisizione di Welltok nel Novembre 2021⁽⁵⁾, ampliando così la sua offerta come Health&Wellbeing provider, aumentando attivazioni e fatturato già nel primo anno post acquisizione; uno step successivo, previsto nel piano di Virgin Pulse, è stato quello di finalizzare la fusione⁽⁶⁾ con HealthComp USA (servizio di amministrazione indipendente conto terzi) e diventare così il primo platform-as-a-service del settore sanitario.

Ad oggi, quindi, non deve sorprendere che una società come Welltok sia stata violata tramite vulnerabilità MOVEit: l’entry point per accedere al SaaS è stata proprio Virgin Pulse. Non è da escludere che altre aziende possano subire – o abbiano già subito – la stessa esposizione.

Sul DLS (dark leak site) del gruppo cl0p la rivendicazione verso Welltok non è presente, una scelta probabilmente ben calibrata, considerando la relazione tra il SaaS e Virgin Pulse, azienda della quale si trova una traccia nitida.

Statistiche ransomware

Dall’inizio del 2023 sono stati 4281 gli attacchi ransomware nel mondo, di cui 1982 solo in USA; rispetto al 2022 il numero è aumentato esponenzialmente e le previsioni per il 2024 non sono incoraggianti.
Questa la situazione, ad oggi (26 Novembre 2023) dei gruppi più attivi⁽⁷⁾:

• Lockbit3, 939 attacchi
• alphv/BlackCat, 386 attacchi
• cl0p, 382 attacchi
• play, 249 attacchi
• 8base, 237 attacchi

Con una media di circa 85 attacchi unici al mese⁽⁸⁾ Lockbit3 è, in assoluto, il gruppo più attivo sulla scena.

Manca una consapevolezza della sicurezza dei propri sistemi, troppo spesso; e mancano spesso team di specialisti che si impegnino attivamente per mettere in atto piani a breve, medio e lungo termine.

Fonti citate

1. https://en.wikipedia.org/wiki/2023_MOVEit_data_breach
2. https://ransomfeed.it/index.php?page=post_details&id_post=9977
3. https://www.virginpulse.com/about-us/
4. https://welltoknotice.wpenginepowered.com/?page_id=23
5. https://www.virginpulse.com/press-releases/virgin-pulse-completes-acquisition-of-welltok
6. https://community.virginpulse.com/virgin-pulse-and-healthcomp-health-platform-as-a-service-organization
7. https://ransomfeed.it/stats.php?page=groups-stats
8. https://ransomfeed.it/stats.php?page=group-stats-month