Attacco ransomware al Bologna FC: 200 GB di dati pubblicati online

RansomHub ha colpito il Bologna FC: trafugati e pubblicati 200GB di dati riservati, tra cui contratti, conti e strategie.

Gli attacchi ransomware rappresentano oggi una delle minacce informatiche più redditizie per i cybercriminali, capaci di generare profitti elevati in tempi rapidi attraverso il pagamento di riscatti in criptovaluta. Negli ultimi anni, queste operazioni hanno subito un’evoluzione significativa, diventando sempre più sofisticate e mirate.

Oggi, la semplice cifratura dei file non basta più. I gruppi criminali adottano tecniche di doppia estorsione, minacciando di divulgare online i dati trafugati se la vittima si rifiuta di pagare. In molti casi, il danno reputazionale supera quello economico, rendendo la pressione psicologica ancora più efficace. Le vittime vengono selezionate con attenzione: enti governativi, ospedali, club sportivi e realtà aziendali che custodiscono grandi volumi di informazioni sensibili sono tra i bersagli preferiti.

1. Dinamica dell’attacco
2. La divulgazione dei dati trafugati
3. Gli interventi del Bologna FC e le conseguenze dell’attacco
4. Prevenzione e difesa

Ed è proprio in questo contesto che si colloca l’attacco ransomware subito dal Bologna FC a novembre 2024. L’operazione è stata condotta dal gruppo criminale RansomHub, uno dei gruppi ransomware-as-a-service più attivi del momento. I cybercriminali hanno sottratto e pubblicato online una grande quantità di dati riservati appartenenti alla società calcistica, rendendo pubbliche informazioni potenzialmente dannose sotto il profilo finanziario, contrattuale e reputazionale.

In questo articolo analizzeremo come si è svolto l’attacco e l’impatto che ha avuto sul Bologna FC. Infine, vedremo quali misure bisogna adottare per prevenire e mitigare il rischio di attacchi ransomware.

Dinamica dell’attacco

L’attacco è avvenuto il 19 novembre 2024. Alla data di pubblicazione di questo articolo, non è ancora noto come RansomHub sia riuscito a compromettere i sistemi informatici della società calcistica, poiché non sono stati rilasciati dettagli ufficiali a riguardo. Tuttavia, basandosi sul modus operandi abituale dalla cybergang, documentato in vari analisi forensi condotte da enti come CISA e FBI, è possibile ricostruire un possibile scenario d’intrusione.

L’accesso iniziale potrebbe essere stato ottenuto tramite credenziali compromesse, acquistate nel dark web o ricavate tramite phishing. Una volta all’interno della rete, i cybercriminali avrebbero effettuato un movimento laterale utilizzando strumenti legittimi di accesso remoto, come RDP o AnyDesk, riuscendo così ad aggirare i controlli di sicurezza. Le fasi successive avrebbero incluso l’identificazione dei file più sensibili e la loro esfiltrazione silenziosa, spesso tramite connessioni cifrate o servizi cloud esterni.

Le minacce di RansomHub

Dopo aver portato a termine la compromissione, RansomHub ha pubblicamente rivendicato l’attacco, minacciando di divulgare i dati esfiltrati se il Bologna FC non avesse versato un riscatto. A supporto delle proprie rivendicazioni, i criminali hanno reso disponibile un link di anteprima che mostrava la struttura delle cartelle sottratte, pur impedendo il download dei contenuti. Tra i file trapelati figurano documenti ad alto impatto reputazionale, come il passaporto dell’allenatore Vincenzo Italiano, il suo contratto con la società e l’IBAN personale associato.

Gli attaccanti hanno accusato pubblicamente il club di violazione del GDPR, sottolineando le possibili conseguenze legali e amministrative. Secondo il regolamento europeo, simili infrazioni possono portare a sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo globale. Questa tattica, ormai consolidata tra i gruppi ransomware più avanzati, mira a sfruttare la paura delle ripercussioni legali per spingere le vittime a considerare il pagamento come unica via d’uscita.

Tuttavia, nonostante la pressione esercitata dai cybercriminali, il Bologna FC ha scelto di non pagare il riscatto.

La divulgazione dei dati trafugati

In seguito al rifiuto del Bologna FC di cedere al ricatto, il gruppo RansomHub ha reso pubblico l’intero archivio di dati esfiltrati, per un totale di circa 200 GB. Il rilascio, avvenuto su circuiti del dark web, ha compromesso una vasta gamma di informazioni riservate relative non solo al club, ma anche a terzi coinvolti nelle attività sportive, amministrative e commerciali della società.

Tra i documenti pubblicati figurano:

• Contratti di calciatori, allenatori e membri dello staff, con dettagli economici e clausole riservate;
• Accordi di sponsorizzazione, comprensivi di condizioni economiche, benefit e vincoli legali;
• Bilanci, rendiconti e documentazione finanziaria del club, dalla sua fondazione fino al 2024.
• Cartelle cliniche e coordinate bancarie dei giocatori e di altri tesserati;
• Strategie di mercato riservate, incluse comunicazioni su trattative e obiettivi futuri;
• Informazioni tecniche sulle strutture sportive, stadi e centri di allenamento;
• Piani commerciali e proiezioni economiche a medio e lungo termine;
• Dati personali degli abbonati e dei tifosi, probabilmente ottenuti tramite sistemi di ticketing, newsletter e campagne promozionali;
• Email e comunicazioni interne, in alcuni casi potenzialmente compromettenti o confidenziali;

Gli interventi del Bologna FC e l’impatto dell’attacco

A seguito dell’attacco, il Bologna FC ha segnalato tempestivamente l’incidente alle autorità competenti e al Garante per la protezione dei dati personali, rispettando la scadenza delle 72 ore prevista dal GDPR. Contestualmente, la società ha pubblicato una nota ufficiale in cui diffidava chiunque dal divulgare, condividere o utilizzare i dati riservati sottratti dai cybercriminali, minacciando azioni legali in caso di violazioni.

Alla data di stesura di questo articolo, non sono state comminate sanzione da parte del Garante, poiché l’istruttoria è ancora in fase di valutazione. Secondo quanto stabilito dal Regolamento Europeo 2016/679, l’entità di eventuali provvedimenti dipende da un’analisi accurata di diversi fattori, tra cui:

• la tempestività nella notifica della violazione;
• l’efficacia delle misure di sicurezza preesistenti;
• le azioni intraprese per mitigare gli effetti dell’attacco;

Tuttavia, l’attacco ha avuto tuttavia importanti conseguenze reputazionali per la società. La pubblicazione dei dati ha coinvolto non solo dirigenti e calciatori, ma anche sponsor, partner e abbonati, esponendo tutti a potenziali rischi di sicurezza e di tutela dei dati personali.

Prevenzione e difesa

Il caso del Bologna FC dimostra come nessun settore possa considerarsi al sicuro di fronte a minacce informatiche come gli attacchi ransomware. Le organizzazioni più esposte sono quelle che gestiscono informazioni sensibili legate alle proprie attività, ai partner commerciali e agli utenti. Per questo motivo, è fondamentale adottare misure di prevenzione per proteggere le proprie infrastrutture IT. In particolare, è importante:

• Prestare attenzione alla posta elettronica.
  Le email rappresentano ancora oggi uno dei principali canali di diffusione dei ransomware. È fondamentale evitare di aprire messaggi sospetti o provenienti da mittenti sconosciuti, in particolare se contengono allegati o link a siti web esterni.
• Mantenere sempre aggiornati sistemi e software.
  Aggiornare regolarmente i sistemi operativi e i programmi utilizzati riduce drasticamente il rischio che i criminali informatici sfruttino vulnerabilità già note. Le patch di sicurezza rilasciate dai produttori sono infatti tra le principali misure di difesa contro molti attacchi.
• Eseguire backup periodici su dispositivi isolati.
  Effettuare copie regolari dei dati più importanti e conservarle su supporti scollegati dalla rete è una strategia efficace per neutralizzare l’impatto di un attacco ransomware. In caso di compromissione, si può utilizzare il backup eseguito per ripristinare i dati senza dover cedere al ricatto.
• Implementare soluzioni di sicurezza avanzate.
  L’utilizzo di firewall, strumenti di segmentazione della rete e soluzioni EDR (Endpoint Detection and Response) consente di rilevare e bloccare comportamenti anomali all’interno dell’infrastruttura, limitando l’avanzamento di eventuali minacce.
• Disattivare le macro nei documenti Office.
  Molti ransomware si diffondono attraverso allegati infetti che sfruttano le macro per eseguire codice malevolo. Disattivare la loro esecuzione automatica riduce significativamente il rischio di esecuzione accidentale.
• Limitare l’uso di dispositivi USB non verificati.
  È consigliabile disattivare la riproduzione automatica e impedire l’uso di chiavette USB o altri supporti rimovibili non autorizzati. Questi dispositivi possono essere utilizzati per distribuire malware, soprattutto in ambienti poco controllati.
• Investire nella formazione del personale.
  In ambito aziendale, il fattore umano rappresenta una delle principali superfici d’attacco. Sensibilizzare dipendenti e collaboratori sulle minacce informatiche, insegnando loro a riconoscere comportamenti rischiosi, è fondamentale per evitare compromissioni accidentali.

Difendersi dai ransomware non significa solo adottare soluzioni tecnologiche. Oltre agli strumenti di protezione, servono consapevolezza, formazione e una strategia condivisa per affrontare le minacce informatiche in modo efficace e duraturo.