Le richieste di risarcimento a seguito di attacchi informatici sono continuate a crescere nell’ultimo anno, principalmente a causa dell’aumento degli incidenti legati alla violazione dei dati e della privacy. A dirlo è Allianz Commercial nel suo outlook annuale sulle prospettive del rischio cyber. La frequenza dei sinistri informatici di grandi dimensioni (>1 milione di euro) nei primi sei mesi del 2024 è aumentata del 14%, mentre la gravità è cresciuta del 17% dopo un aumento dell’1% della gravità nel 2023. Gli elementi legati alla violazione dei dati e della privacy sono presenti in due terzi di queste grandi perdite. Complessivamente, il numero totale di richieste di risarcimento per cyber attacchi nel 2024 dovrebbe stabilizzarsi, dopo un aumento del 30% della frequenza nel 2023 che ha portato a oltre 700 richieste.
“Il crescente valore dei danni dovuti a violazioni dei dati è guidato da una serie di tendenze diverse e rilevanti – ha spiegato Michael Daum, Global Head of Cyber Claims di Allianz Commercial – Un aumento degli attacchi ransomware, inclusa l’esfiltrazione dei dati, è una conseguenza dell’evoluzione delle tattiche degli aggressori e della crescente interdipendenza tra le organizzazioni che condividono volumi sempre maggiori di dati personali. Allo stesso tempo, lo sviluppo dell’ambiente normativo e legale ha portato a un aumento delle cosiddette azioni legali collettive relative alla privacy dei dati ‘non attaccati’, derivanti da eventi come la raccolta e l’elaborazione errata dei dati personali – il numero di queste richieste è triplicata in valore in soli due anni.”
Aumentano le richieste di risarcimento non legate ad attacchi e si intensificano le controversie sulla privacy
L’incremento delle richieste di risarcimento per violazione dei dati ‘non attaccati’ è una conseguenza degli sviluppi tecnologici, del crescente valore commerciale dei dati personali e di un panorama normativo e legale in evoluzione. Ad esempio, a differenza del Regolamento Generale sulla Protezione dei Dati (GDPR) dell’UE, le normative sulla privacy negli Stati Uniti sono meno dettagliate e più aperte all’interpretazione, con gli avvocati dei querelanti alla ricerca di potenziali fonti di reddito. Questo sta creando una zona grigia che è terreno fertile per le class action, osserva lo studio.
“Stiamo assistendo ad un aumento delle richieste di risarcimento negli Stati Uniti, dove si registra una tendenza crescente a intentare cause collettive contro grandi aziende statunitensi e internazionali in relazione a violazioni della privacy, ad esempio in materia di consenso e utilizzo dei dati – ha affermato afferma Daum – Il costo di alcune di queste cause può essere persino superiore a quello di un incidente di ransomware, nell’ordine delle centinaia di milioni di dollari.”
Negli ultimi anni, in particolare, le violazioni dei dati sono tra le ragioni che favoriscono l’aumento delle class action negli Stati Uniti. Secondo lo studio legale Duane Morris, nel 2023 sono state depositate oltre 1.300 cause in relazione a vari regolamenti sulla privacy dei dati, più del doppio rispetto al 2022 e quattro volte di più rispetto al 2021. Numerose class action sono state avviate contro organizzazioni in settori molto diversi tra cui sanità, social media e gaming, per l’uso di strumenti di tracciamento come Meta Pixel per monitorare il comportamento dei consumatori. Anche le piattaforme di streaming di intrattenimento sono state prese di mira, con l’accusa di aver potenzialmente violato i diritti di protezione della privacy. Grandi eventi di violazione dei dati possono anche evolversi in “contenziosi molteplici”, con un singolo evento che innesca una serie di azioni collettive. Più di 240 cause legali relative alla violazione dei dati MOVEit del 2023 sono state consolidate in un’unica Multidistrict Litigation nell’ottobre 2023. E con un gran numero di ricorrenti, le parti sono incentivate a trovare un accordo. L’anno scorso i 10 principali accordi di class action per violazione di dati hanno totalizzato 516 milioni di dollari, un aumento significativo rispetto ai 350 milioni registrati nel 2022.
Il rischio di cause legali per violazione dei dati sta crescendo anche in Europa. Una maggiore consapevolezza dei diritti di protezione dei dati, l’aumento della disponibilità di finanziamenti per cause legali da parte di terzi e un ambiente più favorevole alle controversie dei consumatori, potrebbero rendere le richieste di risarcimento di massa per violazione dei dati una realtà, anche se non su scala paragonabile a quella degli Stati Uniti, osserva lo studio.
L’IA per alimentare e prevenire future violazioni della privacy dei dati
Il fatto che quasi ogni settore stia ora utilizzando l’IA avrà un impatto significativo sul panorama dei rischi informatici e della privacy in futuro. L’IA si basa sulla raccolta e l’elaborazione di enormi quantità di dati, inclusi informazioni personali, sanitarie e biometriche, per addestrare i modelli di Intelligenza Artificiale e fare previsioni o raccomandazioni. Tuttavia, strumenti come i chatbot possono creare potenziali rischi per la privacy, la disinformazione e la sicurezza se non vengono gestiti correttamente. Con la raccolta e l’elaborazione di una tale quantità di dati, c’è il rischio che questi possano finire nelle mani sbagliate, attraverso hacking o altre violazioni della sicurezza. Esistono anche timori legati a possibili infrazioni delle normative sulla privacy, ad esempio se le aziende abbiano ottenuto il consenso adeguato per trattare i dati attraverso l’Intelligenza Artificiale.
Dall’esfiltrazione dei dati alla protezione dei dati
Nonostante una tendenza generale all’aumento degli investimenti in sicurezza informatica negli ultimi anni, molte violazioni dei dati, compresi alcuni dei più grandi attacchi informatici di esfiltrazione di massa degli ultimi 18 mesi, sono il risultato di una debole sicurezza all’interno delle organizzazioni e/o delle loro catene di fornitura. Tali incidenti possono portare a richieste di risarcimento significative che includono sanzioni da parte degli enti regolatori, costi di notifica e cause legali di terzi, oltre a richieste di estorsione, costi diretti e interruzione dell’attività.
“Il settore assicurativo deve aumentare l’attenzione sulla privacy dei dati nel contesto del rischio informatico e svolge un ruolo cruciale nell’offrire consulenza sulla prevenzione e mitigazione delle perdite alle aziende in quest’area sempre più importante – afferma Vanessa Maxwell, Responsabile Globale del Settore Cyber e Finanziario di Allianz Commercial – Il valore delle coperture cyber va ben oltre il pagamento dei sinistri. L’assicurazione aiuta le aziende a giustificare gli investimenti nella sicurezza informatica e a indirizzare le risorse verso le misure più efficaci”.
I rischi di violazione dei dati possono essere mitigati con una buona igiene informatica, che include controlli di accesso stringenti, separazione dei database, backup, patching e formazione. Molte aziende devono migliorare nella supervisione delle vulnerabilità informatiche presenti nelle loro catene di fornitura.
“Anche le capacità di rilevamento e risposta tempestiva sono fondamentali. Circa due terzi delle violazioni vengono tipicamente segnalate da una terza parte o dagli stessi attaccanti – ha raccontato Rishi Baviskar, Global Head of Cyber Risk Consulting di Allianz Commercial – Le violazioni informatiche che non vengono rilevate e arginate tempestivamente possono risultare mille volte più costose di quelle che lo sono, con una perdita di 20.000 euro che può trasformarsi in una da 20 milioni di euro. L’IA sta diventando uno strumento essenziale nella lotta contro gli attacchi cyber, poiché può identificare rapidamente una violazione della sicurezza e isolare automaticamente sistemi e database. Inoltre, ha il potenziale di ridurre significativamente i costi e il ciclo di vita di una richiesta di risarcimento per violazione dei dati, automatizzando attività come le indagini forensi e le notifiche, con la possibilità di far risparmiare alle aziende milioni di dollari.”
Iscriviti alla newsletter di InsurZine per restare aggiornato su tutte le ultime news e eventi Insurtech
