Un notaio, una persona incaricata di organizzare una formazione o un funzionario di un’amministrazione possono essere coinvolti pur non essendo avvocati. L’attacco informatico che ha colpito AVOCATS.BE non riguarda soltanto l’elenco della professione: circa 27 500 altri contatti figurano tra le persone i cui recapiti sono stati esposti, secondo il comunicato pubblicato il 6 novembre dall’Ordine degli avvocati francofoni e germanofono.
Questo numero si aggiunge a quello degli avvocati coinvolti. Non rappresenta quindi né il totale delle persone interessate né il numero di fascicoli giudiziari sottratti. L’organizzazione riferisce di un accesso fraudolento a dati di contatto e identificazione contenuti nel proprio software di gestione degli ordini, l’LGO. Indica che, allo stato attuale delle sue analisi, non sono interessati dati bancari né dati sensibili nel senso specificato nel comunicato.
Uno strumento professionale che riuniva molti più avvocati
L’LGO è utilizzato per le attività degli ordini e degli ordini forensi. I recapiti registrati comprendevano quelli di professionisti legati alla giustizia, tra cui notai e membri del personale giudiziario, ma anche di dipendenti degli ordini forensi e organizzatori di corsi di formazione. Rientrano inoltre nell’ambito annunciato contatti di amministrazioni, università e servizi di polizia.
Questa varietà spiega perché anche una persona estranea alla professione possa ricevere un avviso o debba restare vigile. Il criterio è la presenza dei suoi recapiti nell’applicazione, in virtù dei suoi rapporti professionali con queste istituzioni.
AVOCATS.BE rappresenta gli ordini forensi francofoni e germanofono del Belgio. Il comunicato descrive quindi l’incidente che ha interessato un’organizzazione identificata e il suo strumento di gestione: non consente di concludere che siano stati attaccati tutti i sistemi giudiziari belgi.
Cosa sappiamo dei dati esposti
Le informazioni interessate possono comprendere nome, indirizzo e-mail, numero di telefono e, in alcuni casi, indirizzo postale. Il contenuto dipende da quanto era stato inserito nell’applicazione. Non tutte le persone coinvolte avevano quindi necessariamente gli stessi campi registrati.
L’organizzazione precisa che le cifre e le categorie presentate nel comunicato corrispondono alle informazioni disponibili al 3 novembre e potrebbero ancora evolvere. Il suo aggiornamento del 6 novembre va letto tenendo presente questo limite: l’analisi è ancora in corso, anche se la falla è stata messa in sicurezza.
L’esclusione dichiarata dei dati bancari e dei dati sensibili è attribuita ad AVOCATS.BE. Ciò non rende i recapiti professionali informazioni prive di valore. Per contro, gli elementi pubblicati non consentono di affermare che siano stati sottratti atti processuali, scambi riservati tra avvocati e clienti o fascicoli difensivi. Questa distinzione evita di attribuire a una fuga di dati confermata una portata che non è stata accertata.
Attacco segnalato il 29 ottobre
AVOCATS.BE dichiara di essere stata informata dell’attacco il 29 ottobre. Secondo l’organizzazione, l’incidente è stato identificato e neutralizzato lo stesso giorno, nelle ore successive alla segnalazione. I dati accessibili fraudolentemente sono stati poi messi in vendita sul dark web da persone la cui identità non era nota al momento della pubblicazione del comunicato.
La messa in sicurezza del software e la scomparsa delle copie sono due questioni distinte. Chiudere l’accesso usato dagli intrusi impedisce che resti aperto; non dimostra che i dati già sottratti siano stati cancellati.
L’Ordine annuncia la conservazione delle prove, un’analisi condotta con un fornitore specializzato, la reimpostazione degli accessi, il cambio delle password e il rafforzamento dell’autenticazione. Ha notificato l’incidente all’Autorità per la protezione dei dati e al Centro per la Cybersicurezza Belgio e annuncia che presenterà denuncia. Tra le misure citate figura anche il monitoraggio della diffusione dei dati online.
Perché i recapiti pubblici possono comunque essere usati per una frode
AVOCATS.BE rileva che gran parte di questi recapiti era già accessibile negli elenchi pubblici. Ciò riduce la novità di alcune informazioni, ma non esclude tutti i possibili usi dolosi. La stessa organizzazione menziona il rischio di incrociare i dati con altre fonti, di sollecitazioni abusive, phishing e furto d’identità.
Un messaggio che conosce un nome, una funzione o un rapporto con un ordine forense può sembrare più credibile di un’e-mail impersonale. Potrebbe, per esempio, fare riferimento a un corso di formazione o a una verifica amministrativa per chiedere un pagamento o un identificativo. Si tratta qui di uno scenario di rischio, non di una campagna la cui esistenza sia stata accertata in questo incidente.
La verifica corretta riguarda quindi la richiesta e il canale utilizzato, non soltanto la presenza di informazioni esatte. Nei suoi consigli contro il phishing, Safeonweb ricorda che un indirizzo del mittente apparentemente legittimo non garantisce, da solo, l’autenticità del messaggio.
Cosa possono fare le persone coinvolte
In caso di una richiesta insolita o urgente, è preferibile ricontattare l’organizzazione tramite i recapiti abituali o quelli indicati sul suo sito ufficiale. Per effettuare questa verifica, è meglio non utilizzare il numero o il link forniti nel messaggio sospetto. Non bisogna comunicare identificativi, password o dati bancari sotto la pressione di una richiesta del genere.
I messaggi sospetti possono essere inoltrati a suspect@safeonweb.be. Se è stata effettivamente inserita una password su un sito falso, Safeonweb raccomanda di cambiarla immediatamente, così come sui servizi in cui è stata riutilizzata. Questa misura risponde alla compromissione concreta di un identificativo; non significa che le password di tutti i contatti siano incluse nella fuga di dati annunciata.
Per domande sui propri dati, AVOCATS.BE indica come referente la propria responsabile della protezione dei dati, all’indirizzo dpo@obfg.be. L’organizzazione precisa di non poter contattare individualmente ciascuna delle persone coinvolte e di utilizzare questa comunicazione pubblica per informarle. Le persone possono inoltre rivolgersi all’Autorità per la protezione dei dati.
Fotografia d’archivio: il Palazzo di giustizia di Bruxelles illustra il contesto giudiziario belga; non indica il luogo dell’intrusione. Credito: Romainberth, Wikimedia Commons, CC BY-SA 3.0.
