Panoramica dell'attacco informatico MGM

Se sei mai stato in un casinò di Las Vegas, allora sai che sono letteralmente macchine per fare soldi poiché le persone scommettono denaro su una varietà di giochi in modo continuo. I casinò moderni esemplificano le imprese trasformate digitalmente, con i clienti che interagiscono attraverso molteplici canali digitali, dai sistemi di gioco alle app mobili e ai programmi fedeltà. L'attacco informatico al Las Vegas MGM ha chiaramente dimostrato come un'interruzione digitale possa rapidamente comportare conseguenze sostanziali per un'azienda riguardo al suo reddito, alla soddisfazione del cliente e all'immagine pubblica.

L'11 settembre 2023, MGM resorts ha rilasciato una dichiarazione su X che un “incidente di cyber security” stava impattando alcuni dei suoi sistemi. L'incidente avrebbe portato a una perdita di 100 milioni di dollari per il terzo trimestre del 2023. L'attacco è stato organizzato da due organizzazioni separate note come Scattered Spider e ALPHV. Di fronte all'importante interruzione delle loro operazioni e al potenziale per ulteriori danni, l'azienda ha dovuto prendere decisioni difficili, inclusa la possibilità di pagare milioni in riscatto agli aggressori come ha fatto il suo rivale Caesars Entertainment.

Scoperta iniziale e risposta

Non ci vuole molto per capire di essere nel pieno di un attacco ransomware. Si ritiene che gli aggressori abbiano violato la rete per la prima volta l'8 settembre. Il giorno seguente, i team di sicurezza della MGM hanno rilevato attività e traffico insoliti sui sistemi dell'azienda. L'attacco è rapidamente escalato nei giorni successivi mentre le operazioni venivano interrotte pubblicamente.

MGM Resorts ha agito rapidamente, includendo lo spegnimento di alcuni sistemi per proteggere i loro dati e infrastrutture, causando ulteriori interruzioni. Riconoscendo la gravità della situazione, MGM ha prontamente coinvolto agenzie terze e esperti di cybersecurity di primo piano per assistere nel contenimento e nella mitigazione dell'attacco. Hanno inoltre coinvolto le forze dell'ordine, avviando un'indagine immediata sulla violazione.

Come si è sviluppato l'attacco informatico alla MGM

Tattiche di Social Engineering utilizzate dai hacker

Per ottenere l'accesso alla rete MGM, Scattered Spider ha lanciato un attacco di social engineering tramite vishing che è andato più o meno così:

1. I membri di Scattered Spider hanno ricercato su LinkedIn gli impiegati della MGM, raccogliendo informazioni sui loro ruoli e identità.
2. Utilizzando le informazioni raccolte, gli aggressori hanno scelto un dipendente della MGM da impersonare.
3. I pirati informatici hanno contattato il help desk IT della MGM, spacciandosi per l'impiegato e convincendo con successo il help desk a fornire loro le credenziali di accesso.
4. Utilizzando le credenziali ottenute, Scattered Spider ha ottenuto privilegi di amministratore negli ambienti Okta e Azure tenant di MGM.
5. Gli aggressori hanno utilizzato il loro accesso di alto livello per muoversi lateralmente all'interno dei sistemi MGM.

Fu in quel momento che Scattered Spider coinvolse ALPHV per implementare il loro software di ransomware-as-a-service (RaaS). Criptarono circa 100 ipervisor ESXi all'interno della rete di MGM. Questi server ospitavano migliaia di macchine virtuali che supportavano sistemi ospitalieri critici come macchine da gioco, sistemi di prenotazione online, chiavi digitali per le camere e siti web. ALPHV afferma anche di aver esfiltrato 6 TB di informazioni sui clienti durante questo periodo, dopodiché hanno iniziato le negoziazioni con MGM per prevenire la pubblicazione dei dati rubati. ALPHV ha anche minacciato di divulgare le informazioni esfiltrate se non si fosse raggiunto un accordo.

Impatto sui sistemi e sulle operazioni MGM

Gli effetti del cyberattacco su MGM Resorts sono stati immediatamente evidenti con ampie interruzioni in tutta la loro organizzazione:

• Le operazioni di gioco d'azzardo sono state interrotte poiché le slot machine sono andate offline visualizzando messaggi di errore
• Gli ospiti dell'hotel si sono lamentati che le loro chiavi digitali della stanza hanno smesso di funzionare.
• I sistemi di prenotazione e prenotazione online sono stati chiusi
• I servizi mobili sono stati interrotti poiché l'app MGM è diventata completamente inaccessibile.
• I sistemi di posta elettronica sono stati interessati
• Le prenotazioni dei ristoranti sono state interrotte

Cronologia degli eventi e durata dell'attacco

La durata totale dell'attacco è stata di circa 10 giorni. La cronologia dell'attacco è stata la seguente:

• 7 settembre 2023: Scattered Spider lancia un attacco di social engineering contro il fornitore di supporto IT di Caesar’s Entertainment.
• 10 settembre 2023: MGM Resorts inizia a riscontrare interruzioni di sistema.
• 11 settembre 2023: MGM rivela pubblicamente l'incidente e avvia un'indagine dopo aver contattato le forze dell'ordine
• 12-13 settembre 2023: I clienti segnalano vari problemi che influenzano la loro esperienza.
• 14 settembre 2023: Scattered Spider sostiene di aver rubato 6 terabyte di dati da MGM Resorts e MGM inizia il ripristino dei loro sistemi.
• 20 settembre 2023: MGM conferma il completo ripristino del servizio a tutti i suoi sistemi.

Il danno finanziario e reputazionale

Perdite finanziarie stimate dovute all'attacco informatico MGM

I costi di un attacco ransomware possono rivelarsi piuttosto eccessivi. I costi coinvolti includono spese per il contenimento, la perdita di produttività, potenziali cause legali, interruzione dell'attività e il potenziale pagamento del riscatto stesso. A differenza di Caesars Entertainment, che ha subito un attacco ransomware nello stesso periodo e ha scelto di pagare il riscatto, MGM ha dichiarato di non averlo mai preso in considerazione. La loro decisione di astenersi dal pagamento era in linea con le raccomandazioni di esperti di cybersecurity, agenzie governative e forze dell'ordine, che hanno sconsigliato tali azioni a causa dei rischi coinvolti. MGM ha perso una stima di 84 milioni di dollari in entrate perse. Hanno anche speso 10 milioni di dollari in spese una tantum per consulenze tecnologiche, onorari legali e consulenti terzi. L'azienda ha inoltre affrontato costi associati alla fornitura di servizi gratuiti e al ripristino dei punti dei programmi fedeltà ai clienti colpiti.

Impatto reputazionale su MGM e fiducia dei clienti

La società MGM Resorts ha affrontato una valanga di attenzioni negative sui social media mentre gli utenti esprimevano le loro frustrazioni. Resta da vedere se ciò porterà a una ridotta fedeltà e fiducia dei clienti. La ripresa di MGM è stata aiutata dall'arrivo tempestivo della gara di alto profilo di Formula Uno poco dopo l'incidente, che ha contribuito a spostare l'attenzione e potenzialmente a mitigare alcuni danni alla reputazione.

Violazione dei dati e compromissione delle informazioni

Tipi di informazioni sui clienti esposte

I dati esfiltrati durante l'attacco consistevano in informazioni sui clienti MGM, principalmente coloro che avevano effettuato transazioni con la società prima di marzo 2019. Questo includeva informazioni personali come nomi, recapiti, date di nascita e numeri di patente di guida. Un sottoinsieme più piccolo di clienti potrebbe aver avuto esposti i loro numeri di previdenza sociale, passaporto o identificazione militare. Anche i dati personali relativi a prenotazioni alberghiere e dettagli dei programmi di fedeltà sono stati compromessi. Sebbene non confermato, i dati dei dipendenti potrebbero essere stati esposti nell'attacco anche.

Misure adottate da MGM per proteggere i clienti

Avere un piano di risposta agli incidenti ben definito è fondamentale per gestire e mitigare efficacemente l'impatto di un cyberattacco. Di seguito alcune delle misure che MGM ha adottato immediatamente dopo l'attacco:

• Creato un sito web o portale specifico con informazioni sulla violazione
• Rilasciato dichiarazioni pubbliche e aggiornamenti attraverso vari canali per garantire trasparenza
• Fornito servizi gratuiti di monitoraggio del credito
• Offerta di protezione contro il furto d'identità per clienti e dipendenti colpiti
• È stato implementato un call center dedicato per affrontare le preoccupazioni e le domande dei clienti

Conseguenze Legali e Cause dei Clienti

Cause collettive contro MGM

Sono state presentate molteplici cause legali contro MGM come questa. Le accuse di queste cause sostengono che, in qualità di leader globale nel settore dei casinò e degli hotel, MGM non ha implementato misure di cybersecurity adeguate per proteggere i dati dei consumatori. Affermano che il Ricorrente ha conservato informazioni sensibili dei clienti senza una corretta cifratura e che Okta aveva precedentemente avvisato l'azienda di potenziali rischi per la sicurezza, suggerendo che MGM non ha tenuto conto di questi avvertimenti. Le cause legali richiedono varie forme di risarcimento, tra cui:

• Danni monetari
• Rimborso per la potenziale protezione contro il furto d'identità
• Copertura delle spese relative alla protezione delle informazioni personali
• Danni punitivi per presunta negligenza

Questioni di conformità e controllo normativo

MGM ha divulgato correttamente l'attacco informatico e il suo potenziale impatto finanziario nei SEC filings, come richiesto per le società quotate in borsa. La FTC ha avviato un'indagine sulle pratiche di data security di MGM a seguito dell'attacco, tuttavia, MGM ha fatto causa alla FTC, sostenendo che l'inchiesta eccede l'autorità dell'agenzia. La società sostiene anche un conflitto di interessi, poiché la presidente della FTC Lina Khan è stata personalmente colpita dall'attacco informatico mentre soggiornava in una proprietà MGM. Diversi regolatori statali stanno indagando sull'incidente. Più organi di regolamentazione statali hanno avviato indagini sull'incidente dell'attacco informatico a MGM. Sebbene non siano stati nominati enti specifici, è probabile che il Nevada Gaming Control Board sia coinvolto nell'inchiesta.

Lezioni apprese e misure future per la cybersecurity

Miglioramenti nella strategia di Cybersecurity di MGM

Per rafforzare la loro postura di cybersecurity, l'azienda ha condotto una valutazione approfondita dei propri sistemi e processi di cybersecurity esistenti. Successivamente, hanno implementato ulteriori misure di sicurezza che includevano:

• Migliorato il controllo degli accessi e i processi di autenticazione
• Segmentazione di rete migliorata
• Sistemi potenziati di rilevamento e prevenzione delle intrusioni
• Pratiche di crittografia dei dati rafforzate

Inoltre, MGM ha annunciato anche piani per investire fino a 40 milioni di dollari in miglioramenti IT nell'anno seguente.

L'importanza dei piani di risposta agli incidenti

Le azioni rapide della MGM dimostrano chiaramente che avevano un piano di risposta agli incidenti ben strutturato. La loro pronta risposta includeva:

• Coinvolgere esperti di cybersecurity e agenzie di applicazione della legge
• Mobilitare i professionisti IT per contenere la violazione
• Tentando di prevenire un'ulteriore diffusione del ransomware
• Comunicazione tempestiva e trasparente con i clienti interessati

MGM ha rapidamente riconosciuto la gravità dell'attacco e ha preso la decisione critica di spegnere i sistemi digitali essenziali per isolare l'attacco. Sebbene ciò abbia inizialmente causato una interruzione operativa, ha impedito ulteriori esfiltrazioni di dati e limitato la potenziale diffusione del ransomware. Questo approccio proattivo ha dimostrato l'importanza di avere un protocollo predefinito per l'isolamento rapido del sistema durante un incidente di cybersecurity.

Implicazioni più ampie per l'industria dell'ospitalità

L'attacco informatico ai MGM Resorts ha esposto la dipendenza del settore da sistemi digitali interconnessi per le operazioni. Con l'integrazione sempre maggiore di tecnologie digitali per gestire prenotazioni, programmi fedeltà e sistemi di pagamento, il settore diventa un obiettivo primario per i cybercriminali. L'attacco ha dimostrato quanto rapidamente possano essere interrotti più servizi. Per affrontare il rischio aumentato, il settore deve implementare misure di sicurezza complete, testare continuamente le proprie difese e apportare gli aggiustamenti necessari.

Come Netwrix può aiutare

Netwrix offre una suite completa di soluzioni di sicurezza che possono proteggere le vostre organizzazioni da attacchi come quello cibernetico al MGM Grand. Ecco alcuni esempi:

• Netwrix Privileged Access Management può fermare gli attaccanti che si muovono lateralmente nel tuo ambiente eliminando i privilegi permanenti. Invece di account statici che sono vulnerabili quando non in uso, Netwrix ti permette di creare account temporanei just-in-time con il giusto accesso per eseguire il compito richiesto. Una volta completato il compito, l'account viene eliminato. Può anche aiutarti a monitorare tutte le attività amministrative in tempo reale su più sistemi IT.
• Netwrix Auditor può rilevare lacune di sicurezza nei dati e nell'infrastruttura, come permessi diretti eccessivi o un numero eccessivo di utenti inattivi e aiutare a prendere misure correttive per ridurre al minimo la superficie di attacco. Consolidando tutti gli avvisi di attività anomale scatenati da un individuo in una visione complessiva, è possibile identificare rapidamente insider potenzialmente malintenzionati o account compromessi.
• Netwrix Data Classification può trovare tutto il contenuto sensibile disseminato nella tua organizzazione in modo che tu possa dare priorità alla sicurezza per esso. Può mettere automaticamente in quarantena i dati critici o sensibili memorizzati in luoghi non sicuri o accessibili da grandi gruppi aperti.

Netwrix utilizza il monitoraggio dell'attività degli utenti per segnalare l'accesso non autorizzato o eccessivo agli account privilegiati, rilevando quando un utente accede a sistemi o dati con cui di solito non interagisce. Il monitoraggio dell'integrità dei file identifica modifiche non autorizzate a file chiave o configurazioni. Netwrix offre anche strumenti di reporting per la conformità per aiutare MGM a rimanere allineati con gli standard e le normative del settore.

FAQ

Cosa è successo con l'attacco informatico alla MGM?

L'attacco informatico al MGM di Las Vegas nel settembre 2023 ci ha offerto uno spaccato di come un singolo attacco possa interrompere ampiamente le operazioni di un'azienda digitale. L'attacco è stato avviato da un gruppo chiamato Scattered Spider che ha utilizzato l'ingegneria sociale per impersonare un dipendente preso di mira e convincere il servizio di assistenza IT a fornire le credenziali di accesso, cosa che hanno fatto. Questo ha permesso agli aggressori di infiltrarsi nei sistemi di rete del MGM, a quel punto hanno passato le operazioni a un gruppo di ransomware chiamato ALPHV che poi ha esfiltrato i dati e criptato i sistemi critici. L'attacco è costato al MGM una stima di circa 100 milioni di dollari in entrate perse, spese legali e altre spese.

Cosa è successo nell'attacco informatico a Las Vegas nel 2023?

Due organizzazioni di cybercriminali hanno coordinato un attacco a due importanti casinò di Las Vegas nel settembre 2023, incluso il MGM Grand. Per il MGM, l'attacco ha interrotto le operazioni, causando l'interruzione delle slot machine, il malfunzionamento delle chiavi digitali delle camere e lo spegnimento dei sistemi di prenotazione online. I sistemi di posta elettronica sono stati colpiti e molti servizi mobili, inclusa l'app MGM, sono diventati inaccessibili.

Chi è dietro l'hack della MGM?

L'hack di MGM è attribuito a due principali gruppi. Il primo era Scattered Spider, un'organizzazione di hacker specializzata in attacchi di ingegneria sociale. Sono noti per la loro fluente conoscenza dell'inglese, che aiuta nei loro convincenti tentativi di vishing. La seconda organizzazione era ALPHV, conosciuta anche come BlackCat. Si tratta di un'operazione di ransomware-as-a-service con base in Russia ed è stata loro a fornire il ransomware responsabile dell'attacco principale. Si ritiene che queste due organizzazioni abbiano qualche tipo di affiliazione reciproca.

L'attacco informatico alla MGM è terminato?

Mentre l'attacco che ha avuto luogo nel periodo di dieci giorni nel settembre 2023 è terminato, le conseguenze dell'attacco persistono ancora. MGM si trova ad affrontare molteplici cause collettive legate alla violazione e diverse agenzie regolatorie stanno conducendo indagini separate sull'attacco. MGM ha anche promesso 40 milioni di dollari in ulteriori misure di sicurezza e miglioramenti alla loro infrastruttura IT.

I pirati informatici della MGM sono stati catturati?

Sì, sono stati effettuati diversi arresti in relazione all'attacco a MGM. Nel luglio 2024, un diciassettenne del Regno Unito è stato arrestato per il coinvolgimento nell'attacco. I procuratori statunitensi hanno svelato accuse penali contro cinque presunti membri di Scattered Spider mesi dopo, nel novembre 2024. Scattered Spider è una delle organizzazioni criminali coinvolte nell'attacco.

MGM ha pagato il riscatto?

MGM Resorts ha scelto di non pagare il riscatto richiesto dagli hacker. Questa decisione era in linea con le raccomandazioni degli esperti di cybersecurity, delle agenzie governative e delle forze dell'ordine, che sconsigliavano tali azioni a causa dei rischi coinvolti. Questo approccio differiva da quello di Caesars Entertainment, che avrebbe pagato circa 15 milioni di dollari allo stesso gruppo di hacker. Naturalmente, non si può sapere con certezza se MGM abbia pagato o meno.

Cosa è stato rubato da MGM Resorts?

Nel caso dell'attacco informatico al casinò MGM Las Vegas, ciò che è stato rubato erano informazioni, principalmente i dati personali dei suoi clienti. I dati compromessi includevano nomi, informazioni di contatto e numeri di identificazione come patenti di guida, ID militari e passaporti. Anche i dati personali relativi alle prenotazioni alberghiere e ai dettagli dei programmi di fidelizzazione sono stati compromessi. È anche possibile che alcuni dati dei dipendenti possano essere stati esposti nell'attacco.

Quanti soldi ha perso la MGM a causa dell'attacco informatico?

Secondo una presentazione alla SEC, MGM Resorts ha subito una perdita di 100 milioni di dollari nel terzo trimestre del 2023 a causa dell'attacco informatico. Questo includeva 84 milioni di dollari in entrate perse a causa dell'interruzione delle operazioni e 10 milioni di dollari in spese una tantum per consulenza tecnologica, onorari legali e consulenti terzi. La società potrebbe affrontare ulteriori perdite future derivanti da potenziali sentenze giudiziarie e multe per conformità.

MGM ha pagato il riscatto per l'attacco ransomware?

È sempre una decisione importante se pagare o meno il riscatto per accelerare il recupero. Nel caso dell'attacco informatico ai MGM Resorts, la dirigenza dell'azienda ha deciso di seguire il consiglio di esperti di cybersecurity, agenzie governative e forze dell'ordine, che hanno sconsigliato il pagamento a causa dei rischi coinvolti.