BAE Systems sotto attacco: blackout nei tribunali fallimentari USA

🛡️ Executive Summary

• Un incidente di cybersecurity che ha colpito BAE Systems ha reso indisponibile il Bankruptcy Noticing Center usato da tutti i tribunali fallimentari federali statunitensi.
• La produzione e distribuzione delle notifiche elettroniche e cartacee è stata interrotta a livello nazionale, con tribunali costretti a modificare scadenze e procedure.
• Non risultano al momento confermati furto di dati, ransomware o compromissione di PACER e CM/ECF: l’incidente documentato riguarda i sistemi BNC gestiti dal contractor.

Un cyberattacco contro BAE Systems ha interrotto una funzione operativa dell’intera giustizia fallimentare federale statunitense. Il problema non riguarda direttamente un tribunale compromesso, ma il Bankruptcy Noticing Center, servizio affidato al contractor britannico per produrre e distribuire notifiche elettroniche e cartacee per tutti i bankruptcy court degli Stati Uniti. Il risultato è un blackout nazionale che mostra quanto il perimetro cyber di un’amministrazione pubblica possa dipendere da sistemi gestiti all’esterno. La Federal Judiciary conferma l’incidente, ma non ha comunicato vettore di ingresso, autore, eventuale ransomware o sottrazione di informazioni.

BAE Systems blocca il Bankruptcy Noticing Center a livello nazionale

L’ Administrative Office of the U.S. Courts ha confermato ufficialmente l’incidente il 15 ottobre. BAE Systems gestisce per la magistratura federale il Bankruptcy Noticing Center, infrastruttura che produce e trasmette notifiche per tutti i tribunali fallimentari del Paese. Sono diventati indisponibili bnc.uscourts.gov, bankruptcynotices.uscourts.gov, notices.uscourts.gov e il National Creditor Registration Service. Anche la produzione e distribuzione delle notifiche è stata interrotta. Il problema era iniziato almeno il 9 ottobre, quando BAE aveva comunicato all’Administrative Office una disruption dei propri sistemi. Nei giorni successivi diversi tribunali hanno iniziato a pubblicare avvisi locali, fino alla conferma centrale che la causa fosse un incidente di cybersecurity. Il caso ricorda il problema già emerso con la compromissione del portale FBI Jobs e la dipendenza da piattaforme gestite da contractor esterni: l’organizzazione pubblica può mantenere intatti i propri sistemi principali e subire comunque un’interruzione critica attraverso un fornitore.

Leggi anche: ShinyHunters aveva già preso di mira Oracle PeopleSoft e infrastrutture federali statunitensi

Il blocco non spegne CM/ECF ma rompe il processo delle notifiche

La distinzione tecnica è importante. Non risulta che l’intero sistema giudiziario elettronico statunitense sia fuori servizio. Numerosi tribunali confermano che CM/ECF continua ad accettare depositi e che le Notice of Electronic Filing inviate agli avvocati restano operative. È invece il livello BNC a non riuscire a produrre e distribuire gli avvisi che devono raggiungere creditori e altre parti, compresi documenti cartacei. Questo trasforma un incidente IT in un problema procedurale. Alcuni distretti hanno previsto la possibilità di estendere scadenze, rinviare udienze o richiedere agli avvocati di effettuare autonomamente determinate notifiche. In un procedimento fallimentare la comunicazione non rappresenta una funzione accessoria: sapere che un’udienza, un termine o un provvedimento esiste può incidere direttamente sull’esercizio dei diritti di una parte.

Nessuna prova pubblica di un data breach o di PACER compromesso

Il perimetro deve restare rigoroso. La Federal Judiciary parla di cybersecurity incident e BAE Systems sta conducendo l’indagine, ma al momento non risultano pubblicamente confermati esfiltrazione di documenti, ransomware o accesso ai sistemi giudiziari centrali. Neppure il precedente attacco contro CM/ECF e PACER autorizza a collegare automaticamente i due eventi. Questa cautela è necessaria soprattutto perché BAE Systems opera contemporaneamente nel settore difesa, intelligence, cloud e servizi governativi. Il fatto che il contractor abbia un valore strategico elevato non significa che l’incidente BNC abbia necessariamente coinvolto altre divisioni o reti. La lezione del caso FBI e del contractor accusato di non avere applicato una patch è precisamente che bisogna distinguere il sistema effettivamente compromesso dall’intero ecosistema del fornitore.

Il contractor diventa un componente della disponibilità della giustizia

Il punto più rilevante è architetturale. Quando un’amministrazione esternalizza un servizio digitale nazionale, esternalizza anche una parte della propria disponibilità operativa. Il Bankruptcy Noticing Center non è un semplice portale informativo: riceve dati dai tribunali, produce notifiche e le distribuisce attraverso canali digitali e tradizionali. Se il fornitore perde operatività, i tribunali devono modificare procedure, trasferire attività al personale e gestire manualmente eccezioni e ritardi. La situazione appartiene alla stessa categoria di rischio della supply chain software, ma con una differenza: non serve che il contractor distribuisca codice infetto. È sufficiente che il servizio delegato non sia disponibile. Le conseguenze della fiducia trasferita a un soggetto esterno erano già emerse nella compromissione 3CX, dove un singolo nodo della filiera aveva propagato il rischio ai clienti. Nel caso BAE il fallimento si manifesta invece come dipendenza operativa.

Continua con:

FBI e contractor: quando la sicurezza federale dipende da chi gestisce i sistemi

390.000 credenziali WordPress sottratte attraverso una supply chain compromessa

Il vero rischio è scoprire la dipendenza soltanto quando il fornitore cade

BAE Systems dovrà chiarire origine, persistenza e reale estensione dell’incidente. Fino a quel momento sarebbe prematuro parlare di breach della magistratura statunitense o di compromissione dei documenti processuali. L’impatto già confermato è comunque sufficiente: un singolo incidente presso un contractor ha interrotto una funzione nazionale utilizzata da tutti i bankruptcy court federali. Per le amministrazioni il problema non consiste quindi soltanto nel chiedere a un fornitore certificazioni, SLA e controlli di sicurezza. Occorre sapere quale funzione pubblica smette di funzionare se quel fornitore diventa indisponibile, quanto rapidamente può essere ripresa internamente o trasferita altrove e quali procedure manuali restano utilizzabili. Il cyberattacco a BAE mostra precisamente questa dipendenza: il bersaglio può essere privato, ma l’effetto finale resta pubblico.