Patrick PilotteNel febbraio 2024, diversi dipartimenti governativi della città canadese di Hamilton, in Ontario (a circa 45 miglia/70 chilometri da Toronto), sono stati colpiti da un attacco ransomware in cui gli aggressori hanno richiesto 18,5 milioni di dollari. La buona notizia è che la città è riuscita a utilizzare backup sicuri e validati per ripristinare i servizi essenziali entro 48 ore, evitando così il pagamento di un riscatto ingente. La cattiva notizia è che alcuni servizi non essenziali sono rimasti bloccati per settimane, costando alla città milioni di dollari.
Nonostante l’enorme disagio, le autorità avevano almeno una cosa positiva da dire ai cittadini indignati: la polizza assicurativa cyber della città avrebbe coperto il conto multimilionario e i contribuenti non avrebbero dovuto pagare. Tranne che… si è scoperto che invece devono farlo.
Alla fine di luglio 2025, le autorità hanno annunciato che la compagnia assicurativa aveva respinto il sinistro della città per un motivo semplice, ma sconcertante: molti dei dipartimenti vittime dell’attacco non utilizzavano l’autenticazione a più fattori (MFA), e questo è stato considerato una delle cause principali.
All’indomani dell’attacco informatico, il sindaco di Hamilton ha dichiarato: “Questo è stato un test per il nostro sistema e un test per la nostra leadership… Ce ne assumiamo la responsabilità, lo stiamo risolvendo e ne stiamo imparando la lezione.”
Approfondimenti e consigli del nostro Operations Security Specialist Patrick Pilotte:
Ci sono in effetti diverse lezioni che la città di Hamilton — e molte altre organizzazioni del settore pubblico e privato — possono trarre da questo costoso incidente. Tra queste:
1 - La MFA non è più opzionale
Il sinistro respinto di Hamilton evidenzia il rischio di trascurare la MFA. Oltre a essere una best practice, la MFA è ora un requisito per la copertura assicurativa cyber e la riduzione del rischio.
2 - Dare priorità a backup immutabili e fuori sede
Adottare backup crittografati, di sola lettura e archiviati fuori sede, effettuando regolarmente test di ripristino. Questo è stato l’elemento che ha salvato Hamilton e dovrebbe essere una strategia di base per ogni organizzazione.
3 - I piani di risposta agli incidenti devono essere testati
Un piano documentato e testato è fondamentale per un contenimento rapido. Le esercitazioni simulate (tabletop) garantiscono che i team siano pronti ad agire con precisione quando si verifica un attacco.
4 - Ricorrere ad analisi forensi indipendenti
Gli esperti terzi verificano se i dati sono stati sottratti, individuano le cause principali e forniscono report credibili per le parti interessate. Il loro ruolo è fondamentale per ricostruire la fiducia dopo un incidente.
5 - Adottare un approccio “Ricostruire meglio”
Il recupero non riguarda solo il ripristino dei sistemi. È anche un’opportunità per modernizzare, consolidare e rafforzare l’infrastruttura per una resilienza a lungo termine.
6 - Garantire finanziamenti pluriennali
La resilienza richiede investimenti costanti. Da allora Hamilton ha adottato un budget pluriennale per garantire che la cybersecurity sia trattata come un’iniziativa strategica e non come una soluzione reattiva.
7 - La trasparenza crea fiducia
Una comunicazione aperta e chiara con dipendenti, cittadini e dirigenti è fondamentale. L’onestà nelle crisi favorisce la fiducia, la pietra angolare della resilienza.
Considerazioni finali
Hamilton è riuscita a evitare il pagamento di un riscatto ingente grazie a backup solidi, ma ha dovuto affrontare costi elevati quando la compagnia assicurativa ha negato la copertura per la mancanza di MFA. La risposta della città, basata sul contenimento e sull’impegno a “Ricostruire meglio”, mostra come la resilienza possa essere raggiunta attraverso modernizzazione, finanziamenti strutturati e trasparenza.