Il 20 luglio 2026 l'Adjudicating Officer della Securities and Exchange Board of India (SEBI) Jai Sebastian ha imposto a Central Depository Services Limited (CDSL) una multa totale di ₹1 crore per le gravi lacune di cybersecurity che hanno reso possibile l'attacco ransomware LockBit 3.0 del 18 novembre 2022. L'ordine stabilisce un precedente regolatorio netto: quando le mancanze tecniche sono sistemiche e documentate, l'incidente non è un evento esterno ma il risultato prevedibile di scelte non correte.
CDSL gestisce circa il 70% dei conti demat in India. L'interruzione delle attività di settlement per circa 46 ore, con i trasferimenti inter-depository bloccati per oltre 54 ore, ha avuto impatto sistemico su tutto il mercato azionario indiano. Le sanzioni monetarie contro l'ex-CISO Rajesh Nadkarni e l'ex-CTO Amit Mahajan sono state archiviate: SEBI ha ritenuto che la responsabilità prevalente ricadesse sull'ente, non sui singoli dirigenti.
- SEBI ha imposto a CDSL una multa di ₹1 crore (₹90 lakh + ₹10 lakh) con ordine del 20 luglio 2026 per violazioni del SEBI Act e del Depositories Act.
- L'attacco LockBit 3.0 del 18 novembre 2022 ha interrotto il settlement per circa 46 ore e i trasferimenti inter-depository per oltre 54 ore.
- Il server ADFS internet-facing non era classificato come asset critico ed era escluso da VAPT e monitoraggio SIEM; l'account amministratore di dominio aveva password impostata su "Never Expire" senza 2FA.
- L'attaccante aveva accesso ai server di CDSL fin dal novembre 2021, quasi un anno prima del rilevamento, con 135 server su 547 e 177 desktop su 506 infettati inclusi i sistemi del Disaster Recovery Site.
Il "foreseeable outcome": come SEBI ricompone la catena causale
L'ordine SEBI non si limita a sanzionare l'incidente ma ricostruisce la catena causale che lo ha reso possibile. Il server ADFS (Active Directory Federation Services), esposto su internet, non era classificato come asset critico da CDSL. Questa scelta ha comportato l'esclusione dal programma di Vulnerability Assessment and Penetration Testing (VAPT) e dal monitoraggio SIEM. SEBI aveva modificato la propria circolare in materia già nel maggio 2022; CDSL ha mantenuto la classificazione nonostante l'aggiornamento regolatorio.
Sul medesimo server, l'account amministratore di dominio operava con password impostata su "Never Expire" e senza attivazione del 2FA. Secondo l'ordine riportato dalle fonti, SEBI aveva già segnalato le carenze nell'agosto 2022, ma le correzioni non erano state implementate prima dell'attacco. L'Adjudicating Officer ha esplicitamente respinto l'argomento della discrezionalità aziendale nella classificazione degli asset: la scelta di escludere ADFS dal perimetro di protezione è stata qualificata come deviazione non giustificata.
"On consideration of the aforesaid, it becomes evident that the malware attack was the foreseeable outcome of lapses that had built up over time, which, inter alia, included unwarranted policy deviations, unimplemented regulatory directions, absence of the cybersecurity measures on ADFS server and a failure to re-audit notwithstanding a specific direction"
— SEBI Adjudicating Officer Jai Sebastian, ordine 20/07/2026
Un anno di dwell time e il fallimento del Disaster Recovery
La ricostruzione forense documenta che l'attaccante aveva accesso ai server di CDSL fin dal novembre 2021, quasi un anno prima del rilevamento dell'attacco. Questo allinea l'incidente alla categoria degli attacchi con lunga persistenza pre-ransomware, dove l'accesso iniziale viene consolidato prima della distribuzione del payload crittografico.
Al momento dell'attacco, 135 dei 547 server e 177 dei 506 desktop/laptop aziendali sono stati infettati. Il dato di maggiore rilevanza sistemica è che il malware ha compromesso anche i sistemi del Disaster Recovery Site (DRS). L'Adjudicating Officer ha esplicitamente respinto la contaminazione del DRS come difesa valida: "the contamination of DRS cannot be accepted as a valid defence".
CDSL non ha dichiarato il disastro entro i 30 minuti richiesti dal framework regolatorio né ha ripristinato le operazioni entro i 45 minuti successivi alla dichiarazione. Con il DRS già compromesso, la procedura di disaster recovery non è stata attivabile nei tempi previsti. Il settlement programmato per il 18 novembre 2022 è stato completato solo il 20 novembre.
Perché le sanzioni individuali sono state archiviate
Le sanzioni monetarie proposte contro l'ex-CISO Rajesh Nadkarni e l'ex-CTO Amit Mahajan sono state archiviate. Questo elemento è significativo per la lettura regolatoria: SEBI ha ritenuto che le responsabilità istituzionali prevalgano su quelle individuali quando i processi di governance sono carenti, ma ha anche stabilito che la robustezza dei processi è un obbligo non derogabile dell'ente.
La logica è che un CISO o CTO non può essere ritenuto responsabile se il framework di governance non supporta l'implementazione dei controlli. Al contempo, l'ente non può scaricare su singoli dirigenti una responsabilità che deriva da scelte sistemiche di classificazione, budget o prioritizzazione. L'archiviazione delle sanzioni individuali rafforza il messaggio: la multa è istituzionale perché il fallimento è istituzionale.
Implicazioni per le Market Infrastructure Institutions indiane
CDSL è classificata come Market Infrastructure Institution (MII) nell'ambito del framework regolatorio indiano. L'ordine SEBI del 20 luglio 2026 eleva il livello di aspettativa per questo perimetro: la classificazione degli asset, l'implementazione di controlli base come password policy e 2FA, il monitoraggio SIEM e il rispetto dei Recovery Time Objective (RTO) sono obblighi non derogabili.
Il concetto di "foreseeable outcome" utilizzato dall'Adjudicating Officer trasforma il calcolo del rischio per i CISO delle istituzioni finanziarie. Non è più sufficiente dimostrare azioni correttive post-incidente; è necessario documentare che i controlli erano in opera prima dell'evento e che le direttive regolatorie erano state implementate nei tempi richiesti. La mancata remediation di carenze segnalate diventa elemento aggravante, non attenuante.
Per le altre MII indiane e per gli operatori di infrastruttura di mercato in giurisdizioni con regolatori analoghi, il caso CDSL offre un modello di enforcement che collega direttamente le violazioni tecniche pre-esistenti alla responsabilità istituzionale. Il messaggio per i board è che il cybersecurity risk non è più gestibile come compliance box-ticking: la persistenza delle lacune nel tempo costruisce la responsabilità per l'incidente successivo.
Perché è importante
L'ordine SEBI non specifica misure correttive tecniche che CDSL debba implementare né dettaglia il contenuto esatto dell'ordine al di là delle sanzioni e delle violazioni riportate dalle fonti secondarie. Il dossier non documenta se CDSL abbia impugnato la decisione o lo stato di eventuali azioni legali.
La fonte non specifica la natura completa dei dati esposti o compromessi, al di là dell'impatto operativo sui sistemi di settlement. CDSL aveva dichiarato inizialmente che non vi fosse stato "compromise of confidential information"; le fonti disponibili non confermano né smentiscono definitivamente questa dichiarazione. L'identità dell'attaccante o del gruppo LockBit specifico non è dichiarata nelle fonti, né è menzionata alcuna richiesta di riscatto o eventuale pagamento.
Il caso rimane significativo per la sua architettura regolatoria: SEBI ha costruito un ponte esplicito tra lacune di governance pre-esistenti e responsabilità per l'incidente, utilizzando un linguaggio giuridico che altri regolatori di mercato potrebbero adottare. Per i CISO, il precedente è che la documentazione della remediation a valle non cancella la mancata implementazione a monte.
Fonti
- https://www.livelawbiz.com/securities-law/sebi/sebi-imposes-rs-1-crore-penalty-on-security-depository-cdsl-in-2022-malware-attack-over-cybersecurity-lapses-542256
- https://www.livelawbiz.com/amp/securities-law/sebi/sebi-imposes-rs-1-crore-penalty-on-security-depository-cdsl-in-2022-malware-attack-over-cybersecurity-lapses-542256
- https://www.medianama.com/2026/07/223-sebi-fines-cdsl-cybersecurity-lapses/
- https://www.cnbctv18.com/market/sebi-fines-cdsl-1-crore-cybersecurity-lapses-2022-malware-attack-19950027.htm
- https://www.fortuneindia.com/business-news/sebi-fines-cdsl-1-crore-over-2022-malware-attack-cites-cybersecurity-lapses/149279
- https://www.medianama.com/wp-content/uploads/2020/10/logo-sebi-indianstockmarketguide.jpg.jpg
- https://www.medianama.com/2026/07/223-sebi-warns-ai-impersonation-scams-fraudsters-posing-company-cxos/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.