Risposta agli incidenti dopo un attacco informatico

Leggi l’edizione PDF (2 pagine)

Le prime ore dopo un incidente di sicurezza decidono se le attività verranno recuperate e se l'impresa sopravvivrà alle conseguenze regolamentari. La checklist è scritta per un'impresa autorizzata o affiliata a un OAD il cui hot wallet o smart contract è stato sfruttato da un attaccante. Copre le prime 24 ore e rinvia alla checklist sul tracciamento delle attività per le fasi successive.¹

Checklist

Attivare il team di risposta agli incidenti indicato nel piano di continuità operativa e aprire un unico registro dell'incidente con indicazione degli orari.
Contenere: sospendere lo smart contract interessato se esiste una funzione di pausa, revocare le chiavi compromesse, trasferire le attività rimaste nell'hot wallet in un nuovo cold storage, sospendere prelievi e depositi secondo necessità.
Conservare le prove: effettuare snapshot dei sistemi, conservare i log, registrare gli indirizzi dell'attaccante e gli hash delle transazioni, non cancellare né ricostruire le macchine compromesse prima dell'acquisizione forense delle immagini.
Incaricare: società di informatica forense, fornitore di analisi della blockchain, legali esterni in ciascuna giurisdizione interessata, consulente per le relazioni pubbliche.
Informare le autorità di vigilanza entro i termini: la FINMA in base alle regole sui cyberattacchi (notifica iniziale entro 24 ore), l'OAD, la MAS ai sensi della PSN05 (entro un'ora dalla scoperta per gli incidenti rilevanti) e le autorità di protezione dei dati se sono coinvolti dati personali.
Informare le autorità di perseguimento penale: la polizia o il pubblico ministero cantonale a Zug o a Zurigo, la Singapore Police Force (CAD o Anti-Scam Command), con i dettagli delle transazioni e gli indirizzi.
Informare le piattaforme di scambio e gli emittenti di stablecoin che potrebbero ricevere le attività sottratte, chiedendo il blocco e indicando il riferimento della denuncia alla polizia.
Comunicare con i clienti in modo fattuale, tempestivo e coerente con le notifiche alle autorità di vigilanza, senza promettere risarcimenti prima che i fatti siano noti.
Valutare la posizione delle attività dei clienti: se sono state sottratte attività dei clienti o attività proprie, se la separazione regge e se l'impresa rimane solvibile.
Considerare i termini di notifica all'assicuratore e i requisiti della polizza in materia di cooperazione e di consenso alle transazioni.
Avviare la sequenza di tracciamento delle attività descritta nella checklist successiva.
Documentare ogni decisione e la relativa motivazione; l'autorità di vigilanza la chiederà.

Note

Circolare FINMA 2023/1 sui rischi operativi e la resilienza e obbligo di notifica dei cyberattacchi ai sensi dell'art. 29 cpv. 2 LFINMA; MAS Notice PSN05 e Technology Risk Management Guidelines sulla notifica degli incidenti entro un'ora; cfr. Parte E, Capitolo XII e Parte L, Capitolo VII. ↩

Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.

Italiano

Contatto

Dr Alexander Ressos, TEP

Of Counsel, KGP Legal LLC

Sono Of Counsel presso KGP Legal LLC a Singapore, dove lavoro con una clientela internazionale di imprenditori di successo e delle loro famiglie, gestori patrimoniali indipendenti, società di commercio di materie prime e altri clienti commerciali. Sono avvocato tedesco e svizzero, abilitato inoltre come solicitor in Inghilterra e Galles e a Hong Kong. Divido il mio tempo tra Zug in Svizzera, Singapore e Hong Kong. Dal 2017 ho lavorato con clienti internazionali su oltre 700 progetti relativi a cripto-attività e asset digitali. Ho inoltre un’ampia esperienza nel contenzioso e nell’arbitrato transfrontalieri a Singapore, a Hong Kong e in altri mercati del Sud-Est asiatico e della Grande Cina.

Opero nei principali centri finanziari del Sud-Est asiatico, del Medio Oriente e della Svizzera, con particolare attenzione alla protezione del patrimonio, alla pianificazione fiscale e successoria internazionale, nonché ai trust, all’amministrazione societaria e ad altri servizi fiduciari. La mia filosofia è essere per i miei clienti l’interlocutore di fiducia per la consulenza sul diritto di Singapore, lavorando a stretto contatto con loro e aiutandoli a raggiungere i loro obiettivi commerciali.

Tutta la consulenza in materia di diritto di Singapore è prestata tramite KGP Legal LLC, uno studio affermato e regolarmente autorizzato di advocates and solicitors di Singapore.

KGP Legal LLC è uno studio legale di medie dimensioni a Singapore, in grado di offrire l’intera gamma dei servizi legali e delle attività di amministrazione societaria. Qualora desideri ulteriori informazioni, La prego di contattarmi direttamente all’indirizzo [email protected].

Mi contatti →

Articoli e approfondimenti

Intende insediarsi o espandersi a Singapore?

SingaporeIQ è curato dal Dr Alexander Ressos, avvocato d’affari internazionale con oltre 15 anni di esperienza sul posto a Singapore come residente permanente, avvocato straniero registrato a Singapore e managing partner di uno studio legale straniero a Singapore. Oltre a una significativa esperienza in investimenti e operazioni transfrontaliere, nell’assistenza a clienti privati UHNWI e in materia di sanzioni e controlli sulle esportazioni, il Dr Ressos vanta un’ampia esperienza negli affari transfrontalieri e nei progetti relativi a cripto-attività e asset digitali a Singapore, maturata in oltre 700 progetti dal 2017.

Se sta pianificando la costituzione di una società, un investimento, una struttura di holding o l’ingresso in un mercato tramite Singapore, può contattare il Dr Ressos direttamente all’indirizzo [email protected]. La consulenza sul diritto di Singapore è prestata da KGP Legal LLC, uno studio autorizzato di advocates and solicitors di Singapore. In quanto studio legale di Singapore, KGP Legal LLC è autorizzato ai sensi del Legal Profession Act 1966 a prestare consulenza sul diritto di Singapore e a rappresentare i clienti dinanzi ai tribunali di Singapore; agli studi legali stranieri con una sede a Singapore, di regola, non è consentita né l’una né l’altra attività. Il Dr Ressos e il suo team rendono accessibile l’intera gamma di servizi legali, di compliance e di amministrazione societaria a Singapore, tra cui la costituzione di società, le operazioni societarie, i contratti commerciali, le cripto-attività e gli asset digitali, la regolamentazione finanziaria e la risoluzione delle controversie, compreso il contenzioso dinanzi ai tribunali di Singapore. Per i servizi legali, fiscali e fiduciari in Svizzera, consulti helveticaregister.com.