Se dovessimo stilare una classifica dei tre principali motivi che spingono un utente a vestire i panni del cyber criminale (o dell’hacker, utilizzato nell’accezione impropria ma ormai sdoganata a livello popolare), al primo posto troveremmo senza dubbio il motivo economico. A debita distanza, al secondo posto, troveremmo un intento distruttivo, figlio della cyber war, che molto spesso è diretta emanazione di una “war” vera e propria. In questi casi, si attacca per distruggere, come nella realtà.

Infine, al terzo posto, su un gradino del podio molto più basso rispetto ai precedenti, troveremmo utenti che vestono i panni di quelli che vengono definiti “hack-tivisti“, ovvero degli hacker che agiscono su base ideologica, colpendo vari obiettivi al fine di esprimere una protesta, diffondere un messaggio, boicottare uno Stato o un’organizzazione. Non propriamente dei cyber-criminali, dunque, ma nemmeno dei frati missionari.

Il gruppo di hack-tivisti senz’altro più noto a livello globale è quello di Anonymous, da sempre molto attivo e schierato in prima linea nel boicottaggio della Russia sin dalle prime fasi dell’invasione in Ucraina. Attualmente, però, uno dei gruppi che sta facendo maggiormente parlare di sé è quello denominato RipperSec.

Nei giorni passati ha fatto notizia l’attacco DDos (Distributed Denial of service) ai danni del sito di Ferrari, il colosso automobilistico già oggetto in passato di attacchi informatici (prevalentemente mirati all’estorsione). Stavolta, sulla schermata della home page compariva “Error 500” e il messaggio di rivendicazione diffuso dal gruppo di hack-tivisti sul proprio canale Telegram riportava testualmente: “Open your eyes!! This is Genocide not Self Defense”, messaggio accompagnato dagli hashtag #FreePalestine e #ForJustice.

Scandagliando il loro canale Telegram, però, la portata dell’attività di questo gruppo risulta decisamente maggiore. Non solo Ferrari, insomma, ma vittime da tutto il mondo: obiettivi grandi e piccoli, tutti presi di mira con lo stesso intento: fare rumore e diffondere un messaggio di protesta a supporto del popolo palestinese.

Tra le vittime di recenti attacchi troviamo Microsoft Office, il sito inglese della Pepsi, diversi target israeliani, la svedese Ikea, il sito di incontri Tinder, Uber, Nivea, i siti di diversi istituti bancari sparsi nel mondo e molte altre. Siti resi irraggiungibili per ore, talvolta per giorni, a causa di un sovraccarico di traffico di rete. Disservizi, navigazione lenta e nulla di più, tutto per attirare l’attenzione e sensibilizzare la comunità riguardo l’operazione militare portata avanti da Tel Aviv a Gaza.

Non è chiara la provenienza degli hack-tivisti di RipperSec. Come sempre in questi casi, le persone che si nascondono dietro questa sigla potrebbero provenire da ogni angolo del globo, Italia compresa. Certamente la loro opera di proselitismo non passa inosservata e promette di prendere di mira obiettivi sempre più audaci.

L'articolo Gli hack-tivisti pro Palestina “bucano” la Ferrari proviene da InsideOver.

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha da poco pubblicato sui propri canali il report mensile Operational Summary, Giugno 2024, realizzato dal Computer Security Incident Response Team (CSIRT Italia), organo dell’ACN. Un documento prezioso che elenca i dati salienti sull’analisi e l’andamento delle minacce di ambito cyber, concentrandosi sui settori maggiormente colpiti e sulle minacce più diffuse. Per il mese di giugno si registra una buona notizia: gli eventi cyber individuati sono stati 168, in diminuzione del 41% rispetto a maggio. Di questi, 117 hanno avuto un impatto su soggetti nazionali, di cui 62 rientranti nel perimetro di sicurezza delineato dalla normativa NIS, mentre gli altri soggetti coinvolti sono stati singoli cittadini o società private non rientranti in settori critici. Di questi 168 eventi, 46 sono stati classificati come incidenti, in aumento del 2% rispetto a maggio.

Tra i settori maggiormente colpiti – in linea con i report precedenti – la Pubblica amministrazione centrale, il settore delle telecomunicazioni e quello dei trasporti. A seguire altri settori tra cui quello energetico, quello dell’aerospazio, la pubblica amministrazione locale.

Tra le tipologie di attacco, rispetto al mese di maggio di registra un lieve calo, ma comunque l’attenzione resta massima. Il primo – e peraltro in aumento – è l’attacco DDos (Distributed Denial Of Service), ovvero il sovraccarico di traffico mirato a bloccare uno o più server. Phishing e Ransomware restano ancora le minacce più diffuse, ma il campionario di crimini informatici è ampio. Inoltre, nonostante il calo, l’Italia è il quarto paese al mondo per numero di rivendicazioni ransomware e il primo in Europa (14). Una crescita di cinque posizioni a livello mondiale e di tre a livello europeo rispetto al mese precedente.

Sul podio gli Stati Uniti, con 161 rivendicazioni, seguiti da Canada (21), Regno Unito (17) e, dopo noi, Germania (12) e Francia (8). I gruppi criminali più attivi sono stati RansomHub e Eldorado, seguiti da Cactus, SenSayQ, Cicada3301, SpaceBears, Akira, Everest, Monti. Per quanto riguarda le rivendicazioni di attacchi DDoS (12), i gruppi più attivi sono stati NoName057 e CyberArmyofRussia_Reborn. Nella classifica, in questo caso, siamo sedicesimi al mondo e al decimo posto in Europa. Nel complesso, il Paese più colpito è l’Ucraina, con 238 rivendicazioni, seguita da Romania (123), Stati Uniti (50).

Uno scenario generalizzato di guerra cibernetica silenziosa, ma non per questo meno impattante, soprattutto se si riflette sul grado di digitalizzazione raggiunto in ogni settore della nostra società. Un pericolo potenziale non tanto per i nostri dispositivi elettronici, ma per il nostro stile di vita per come ormai siamo abituati e a cui difficilmente saremmo disposti a rinunciare. Ragionando su questo dovremmo comprendere quanto sia importante, allora, agire presto sulla creazione di una cultura digitale il più diffusa possibile.

L'articolo Cybercrime, la guerra silenziosa: Italia primo bersaglio Ue, Ucraina la più attaccata al mondo proviene da InsideOver.

Navigando sotto la superficie del web visibile – il Deepweb, ovvero la parte non indicizzata dai motori di ricerca – si fanno incontri interessanti. Era già da un po’ di tempo che, con l’aiuto degli esperti della Clio Security, cercavamo di avvicinare in questa zona franca qualche hacker disposto a raccontarci in cosa consiste il suo lavoro.

Intervista all’hacker ninja

Superando ogni più rosea aspettativa, abbiamo trovato il nostro hacker. E non un hacker qualsiasi, ma un hacker russo. Non è stato facile vincere la naturale diffidenza di una persona abituata a muoversi con circospezione nel regno anarchico del web, dove imperversano sì gli hacker, ma anche gli agenti sotto copertura di mezzo mondo. Alla fine ci siamo riusciti, abbiamo ottenuto la nostra intervista, con la promessa di mantenere l’anonimato della nostra fonte russa. Per prima cosa gli abbiamo chiesto come definirebbe il suo “stile” di hacking: “Rompere e devastare, come diciamo in Russia! Per lo meno così poi va a finire. Ma, per quanto riguarda il processo, descriverei il mio stile di lavoro come ninja-hacking, dove gli obiettivi vengono raggiunti in modo assolutamente impercettibile ma con una velocità estremamente elevata”.

Tocca la Russia e sei morto

Rotto il ghiaccio da ambo le parti, gli abbiamo chiesto se fosse consapevole che lui e i suoi colleghi in Occidente hanno una pessima reputazione. Di solito, “hacker russo” è sinonimo di criminale. “Ne sono consapevole”, ci ha risposto, “infatti lavoro esclusivamente contro l’Occidente“. E poi la confidenza che ci ha lasciati alquanto perplessi: “Di solito per tutti, non solo per i russi, lavorare contro la Russia equivale alla morte“. Che dire, decisamente tranchant. Speriamo di non doverlo scoprire mai. La nostra fonte è poi tornata sulla definizione di hacker: “In generale, il termine hacker è sinonimo di “criminale”. Posso dire, come patriota, che gli hacker russi sono i migliori al mondo, anche se ci sono concorrenti diretti che non solo rispetto ma ammiro molto per il loro lavoro e i loro progetti”.

La “leggenda” degli hacker russi

Più volte ci è capitato di parlare degli hacker russi, interrogandoci sull’origine della leggenda in cui sembrano pienamente inseriti. Abbiamo approfittato per chiedere a lui i motivi di questa fama. Davvero gli hacker russi sono un passo avanti agli altri?

“Personalmente, ho iniziato a vedere la popolarità dell’espressione “hacker russo” dopo la vittoria di Donald Trump alle elezioni negli Stati Uniti, e penso che molti altri abbiano fatto lo stesso. Ma, senza dubbio, gli hacker russi sono i migliori al mondo, secondo la mia opinione, poiché, come ho già detto, sono un patriota. In secondo luogo, le condizioni di vita in Russia sono tali che molti cercano di sopravvivere, non di vivere. Pertanto, cercano strade alternative, pensano alle loro azioni in anticipo e, senza dubbio, la conoscenza della parte tecnica è stata sempre la base dell’hacking. Non posso rispondere a questa domanda senza citare una persona della nostra comunità: “Un hacker cerca, un pentester segue”.

Ci sono almeno tre spunti interessanti in questa risposta: il primo è che gli stessi russi hanno iniziato a percepire in modo diverso la loro fama a seguito del cosiddetto “Russiagate“, la spy-story internazionale in cui l’aspetto cyber ha avuto un ruolo non secondario. Il secondo è che a spingere molti russi a diventare hacker sono le condizioni di vita. Quel “sopravvivere” vale più di mille parole. Il terzo spunto rientra nell’ambito della cybersecurity ed è una sorta di rivendicazione dove non manca una buona dose di sana presunzione: i “pentester” sono gli esperti di sicurezza informatica che effettuano i “penetration test“, una delle tecniche utilizzate per testare la tenuta dei sistemi informatici di un’azienda o di chiunque richieda il servizio.

Occhio ai cinesi

Tuttavia non esistono solo i russi. Sappiamo che altre nazioni si collocano su un piano assolutamente competitivo quando si tratta di hacking. Abbiamo dunque chiesto al nostro di che nazionalità siano gli hacker in grado di competere con i russi. Ne abbiamo tratto una conferma e una sorpresa: “Penso solo i cinesi e alcuni indiani (solo alcuni)”. Abbiamo insistito: quali sono i cybercriminali più pericolosi?

“Non è una domanda del tutto corretta. Se parliamo di nazionalità, direi i russi. Non esiste un ostacolo insormontabile per noi, per raggiungere un obiettivo o ottenere dati “speciali” di interesse faremmo tutto il possibile e anche di più. Se parliamo di tipi di attività, gli hacker che attaccano le reti sono i più pericolosi“.

Il Cremlino dietro le cyber gang

Quando in Europa, ma potremmo tranquillamente dire nel mondo, avviene un cyber attacco, si attribuisce quasi sempre la colpa agli hacker russi, dando per buono che agiscano su mandato del governo. Anche questa è una leggenda metropolitana o c’è un fondo di verità? “Nessun hacker russo può definirsi tale senza aver lavorato per il governo. Spero che questa intervista sia completamente anonima, ma diciamo che, anche se lavori come hacker e pensi che tutti i tuoi amici siano come fratelli, uno di loro sarà sempre una persona del governo o di altri organi”. Ovviamente non possiamo pretendere che questa risposta confermi che tutti gli hacker russi lavorino su mandato del Cremlino, tuttavia è evidente che la presenza tra le loro fila di uomini d’apparato – molti dei quali provenienti da apparati spionistici – è importante.

Cyberwarfare

Parlando di Stati, a inizio intervista il nostro ci ha confermato che effettivamente lui lavora solo verso obiettivi occidentali. Questo significa che ha attaccato qualche Stato? “Sì, e consapevolmente. Non sostengo assolutamente l’operazione militare speciale [la guerra in Ucraina] e tutto il sangue versato. Personalmente vorrei che tutto questo finisse il più presto possibile e che tutti vivessero in pace. Ma sì, ho lavorato per aiutare i nostri soldati nell’operazione militare speciale, ad esempio per alcune centrali nucleari, fornendo informazioni sulle posizioni dei nemici“. Una conferma di come anche in campo bellico la componente cyber sia diventata importante.

Italia: obiettivo sensibile?

E per quanto riguarda l’Italia? Il nostro hacker ha avuto esperienze di lavoro con il nostro Paese? E qual è il livello di sicurezza informatica delle nostre infrastrutture, secondo il suo parere? “Certamente, ma per caso. Personalmente, l’Italia non mi interessa dal punto di vista dell’hacking. Il livello di sicurezza delle infrastrutture? È simile a quello della maggior parte dei paesi dell’UE. Avete standard unificati che, secondo i nostri criteri, sono piuttosto comuni e vengono superati senza grossi problemi a causa della loro stabilità (dite sempre che amate la stabilità)”. Quindi l’Italia non è un obiettivo sensibile nei piani russi? “No, principalmente perché è un Paese lontano dal centro delle decisioni e non molto ricco. Gli Stati Uniti e il Canada sono obiettivi molto più efficaci da hackerare”.

Gli abbiamo poi chiesto se, nello specifico, sapesse dirci qualcosa sul livello tecnico degli hacker nostrani: “Non lo so, non ho mai lavorato in un team o personalmente con hacker italiani, ma penso che sarebbe interessante, almeno per condividere esperienze e conoscenze”.

Lo stipendio di un cyber criminale

Veniamo ai soldi: quanto guadagna un hacker come lui? E da chi viene pagato? “Chi paga non lo dirò, ma, diciamo, dividiamo i guadagni tra il team. Il guadagno medio è di circa 20.000 dollari al mese, ma dipende da cosa si hackera e come si lavora. Personalmente, non mi allontano mai dal computer ma penso che in futuro i miei guadagni aumenteranno significativamente”.

La classifica dell’hacker

Qual è stata, a suo giudizio, l’operazione di hacking più significativa degli ultimi anni? “La più significativa? Non ce ne sono di particolari, tutte sono assolutamente significative, indipendentemente dalle dimensioni e contro chi siano stati effettuati gli attacchi. Tra quelle che mi hanno interessato e piaciuto di più, posso citare l’hack di Tencent, tutto il lavoro di Ryuk, ALPHV, Donut e Ragnar“.

Tencent è una società d’investimenti cinese. Sinceramente si tratta della prima volta che sentiamo parlare di questo operazione di hacking. Di certo, se effettivamente un attacco c’è stato, i media cinesi si saranno ben guardati dal diffonderne la notizia. Ryuk è un ramsonware che anche in Italia ha creato non pochi problemi e la cui paternità russa ci viene confermata; ALPHV è un altro nome per riferirsi alla cyber gang russa più nota con il nome di BlackCat; Donut leaks è stato un sito, una sorta di black market, in cui venivano pubblicati dati esfiltrati dai ramsonware; Ragnar Locker, infine, è tanto il nome di un ramsonware quanto di una cyber gang sgominata da un’operazione internazionale di polizia nel 2023.

Abbiamo ringraziato la nostra fonte per le preziose informazioni che ha scelto di condividere con noi e l’abbiamo lasciato immergersi nuovamente nei bassifondi della rete. Sperando di non incrociare la sua strada, se non per una seconda intervista.

L'articolo Parla un hacker russo: “20 mila dollari al mese ma se sgarri sei morto” proviene da InsideOver.

La notizia è passata in sordina, rilanciata solamente a livello locale. Quando lo scorso 8 maggio abbiamo iniziato a occuparci di questa vicenda, ci eravamo chiesti per quale ragione – in un’epoca come quella che stiamo vivendo – fosse stata esclusa la pista dell’incidente informatico.

Sviluppata sotto il livello del lago di Suviana, la centrale gestita da Enel Green Power era interessata da circa un anno da lavori di manutenzione straordinaria e sembra che lo scorso 9 aprile, nel momento dell’esplosione – provocata dal malfunzionamento di una turbina –, fosse in corso un collaudo. L’esplosione ha coinvolto i piani -8 e -9 della centrale, provocando crolli e allagamenti. Solo qualche giorno fa sono iniziate le operazioni di svuotamento e si ipotizza che entro due mesi sarà possibile ispezionare i locali da dove ha avuto origine la tragedia.

In uno scenario geopolitico in cui la cyberwar è diventata un formidabile strumento nelle mani di chi, subdolamente, vuole mettere in ginocchio un Paese avversario, di fronte a un incidente che ha causato 7 vittime tra i lavoratori presenti nella centrale idroelettrica al momento dell’esplosione, di fronte a dei precedenti simili e inquietanti, era quanto meno doveroso porsi tutte le domande, anche solo per escludere eventuali ipotesi campate in aria.

Finalmente sembra che la Procura di Bologna abbia compreso l’importanza di non tralasciare assolutamente nulla. E così, dopo la nomina a inizio maggio di quattro periti esperti in ingegneria meccanica, lo scorso 3 giugno sono stati nominati ulteriori due consulenti chiamati ad analizzare i dispositivi elettronici e informatici della centrale: l’ingegnere Flavio Franceschini e Alberto Sacchetti, entrambi dipendenti Terna che, insieme ad alcuni ufficiali di polizia giudiziaria della Polizia postale, avranno il delicato compito di analizzare i sistemi Scada [le scatole nere della centrale].

“Al giorno d’oggi, se aggiorni qualcosa, è quasi inevitabile che vi sia una componente digitale”. Sono le parole di Alessandro Curioni, esperto di cyber security e divulgatore scientifico, con cui avevamo già commentato sin dall’inizio l’assenza di una discussione sul tema della sicurezza informatica e con cui siamo tornati a commentare questo cambio di rotta: “In un momento storico in cui le tecnologie digitali sono assolutamente pervasive e nel momento in cui questa centrale in cui si è consumata la tragedia stava vivendo una fase di riammodernamento, potrebbe essere utile capire in cosa constava questo ammodernamento e se si nasconda lì la causa – o una delle cause – del disastro”.

Il fatto che a innescare l’esplosione sia stata una turbina sin da subito ci aveva fatto pensare a un precedente poco noto qui in Italia, ma che ha lasciato profonde tracce nella memoria degli iraniani. Parliamo del caso Stuxnet. Diceva Curioni nell’intervista dello scorso 8 maggio: “Di sistemi industriali attaccati da un malware è piena la storia recente: nel 2007 Stuxnet attacca una centrale nucleare iraniana, nel 2014 Black energy e nel 2016 Industroyer attaccarono i sistemi di distribuzione elettrica in Ucraina; nel 2017 NotPetya provocò danni per diversi miliardi di dollari”.

Proprio con riferimento a Stuxnet – definito da Curioni una “mostruosità” – le analogie con il disastro di Bargi sono piuttosto inquietanti. Anche in quel caso il malware provocò la distruzione delle turbine della centrale nucleare di Natanz. Tuttavia, se in quel caso si è trattato di un attacco deliberato e mirato a distruggere proprio le turbine della centrale, nel caso della centrale di Bargi – almeno fino ad ora – si parla di incidente.

Il fatto che in questa vicenda entrino in gioco degli esperti del settore non può che essere motivo di plauso, attenderemo con interesse il frutto del lavoro dei consulenti, nella certezza che verrà fatto di tutto per accertare le cause che hanno provocato una delle peggiori stragi sul lavoro degli ultimi anni.

L'articolo Strage di Bargi, finalmente si batte anche la pista dell’incidente cyber proviene da InsideOver.

In seguito ad un attacco informatico portato a compimento da un collettivo di hacker collegati ad Anonymous ai danni delle forze di difesa Israeliane (IDF) potrebbero essere stati esfiltrati oltre 20 Gb di informazioni sensibili. L’IDF corre ai ripari, informando che i loro sistemi informatici sono sicuri e che non sono stati compromessi. Ma cosa è successo?

La rivendicazione

La notizia è salita alla ribalta nella rete quando un gruppo di hacker legati al collettivo Anonymous o presunti tali ha pubblicato un video in cui afferma di aver violato i sistemi informatici dell’esercito israeliano riuscendo ad impossessarsi di svariati documenti “top secret”.

Già lo scorso 5 aprile il Ministero della Giustizia israeliano aveva comunicato una violazione della sua sicurezza informatica da parte di ignoti hacker attivisti che protestavano contro la guerra a Gaza. Anche in questo caso, i responsabili dell’attacco informatico avrebbero sottratto al ministero centinaia di gigabyte di dati

Lo scorso 18 aprile, in un video postato su X, il collettivo Anonymous ha fatto sapere che “dopo aver hackerato il loro ministero della giustizia, oggi vogliamo presentare al mondo il loro esercito terroristico”.

L’un contro l’altro (cyber) armati

La durezza del conflitto e delle immagini sul web hanno dato una copertura limitata alla dimensione cyber della guerra. Alcune informazioni riguardo questa guerra ibrida si sono però diffuse dopo l’escalation tra Israele e l’Iran. Agli occhi di tutti è ora evidente che due degli Stati più cyber-attivi del mondo sono in aperto conflitto non solo con armi convenzionali. Un precedente importante si ravvisa nell’operazione Bayonet, quando un malware di fabbricazione israeliana e statunitense, Stuxnet, mise in serio pericolo l’industria nucleare iraniana. Ma era il 2010 – in ambito informatico un paio di ere geologiche fa – e di questi eventi si è persa la memoria.

Oggi come allora, verificare queste tipo di informazioni è molto difficile: la guerra sul web si presta a operazioni di falsa bandiera e le operazioni di disinformazione sono all’ordine del giorno. D’altro canto, se da una parte Israele ha dimostrato di poter fronteggiare un vasto attacco aereo, affermare lo stesso relativamente ad attacchi cibernetici è molto più complesso. Anzi, è plausibile ipotizzare che mentre gli attacchi balistici diminuiranno quelli digitali avranno inversamente un proporzionale aumento.

La madre delle guerre asimmetriche

Nell’ambito di una guerra asimmetrica come quella cyber, attaccare costa molto meno che difendersi, e paesi come l’Iran possono contare su apparati informatici all’avanguardia. Considerando poi i rapporti pregressi tra i due paesi, sembra davvero che questa volta non si tratti di un’operazione di falsa bandiera.

Anonymous è un collettivo globale al quale potrebbero aver aderito membri o interi gruppi sostenuti in realtà da specifici attori. Le affermazioni riscontrabili sul web, inoltre, provengono da un gruppo pro Palestina che si definisce Anonymous for Justice.

La versione di Israele

In un articolo pubblicato sul The Jerusalem Post viene riportato che “Il sistema informatico dell’IDF è strettamente protetto e classificato a vari livelli. Se si è verificata una violazione, è improbabile che l’accesso si sia esteso direttamente ai computer dell’IDF; Invece, i file potrebbero essere stati ottenuti da computer civili, potenzialmente violando le normative”.

Sebbene questa affermazione sia attualmente di difficile verificabilità c’è da dire che potrebbe essere coerente con un attacco informatico mirato su alcuni target umani, d’altronde l’elemento umano costituisce sempre la principale vulnerabilità.

Nel video di Anonymous è stato affermato che l’attacco è stato eseguito con l’aiuto di alcuni disertori dell’IDF e che tra i dati esfiltrati vi siano “le identità dei generali, delle basi militari, dei contratti militari e dei progetti top secret”. Il governo israeliano ha aumentato il livello di allerta per le minacce cyber che potrebbero intensificarsi fino a raggiungere, anche in questo settore, una rilevanza preoccupante.

Certo è che se i dati esfiltrati dovessero diventare di dominio pubblico per Israele sarebbe un segnale preoccupante, il mito della loro indiscussa leadership nella cybersicurezza verrebbe messa in dubbio dalla mancata capacità di conservare informazioni sensibili da parte dei suoi sistemi militari. Sicuramente nelle prossime settimane i riflettori saranno accesi su eventuali campagne informatiche offensive.

L'articolo Cyberwar: Anonymous rivendica un attacco hacker all'”esercito terroristico” di Israele proviene da InsideOver.

La storia è di quelle degne di un film di spionaggio: siamo nel lontano 2006 (ma neanche troppo). George W. Bush fa lo sceriffo. E in quanto tale, quando non c’è da menare le mani (vedi Iraq o Afghanistan), c’è sicuramente da mediare qualche incomprensione che potrebbe sfociare in un conflitto armato. Eccolo allora a cercare di ammansire lo Stato di Israele che, dopo aver ceduto il passo l’anno precedente ai palestinesi, abbandonando la Striscia di Gaza occupata, adesso vorrebbe rivolgere le sue attenzioni sull’Iran di Ahmadinejad.

I primi passi della guerra cyber

Bush non vuole una guerra, ma Israele vede la corsa dell’Iran verso il nucleare come una minaccia da estirpare, in un modo o nell’altro. E allora nasce l’idea geniale: invece di bombardare l’Iran con ordigni veri, perché non attaccare gli impianti di arricchimento iraniani con armi digitali?

Il 2006 è la preistoria dell’era digitale. Ancora non si parla di cyberware, cyberwarfare, cybersicurezza. Almeno non a livello popolare. Ma gli addetti ai lavori – leggi anche i servizi segreti – sanno che è un settore altamente strategico e che è lì che si gioca la vera partita dell’intelligence. Dunque la decisione è presa: Stati Uniti e Israele appronteranno un malware che sia in grado di sabotare gli impianti dove gli iraniani stanno lavorando sul nucleare, in particolare in quello di Natanz.

Stuxnet: il malware creato per distruggere

Il frutto di questa collaborazione ha un nome: Stuxnet. Un malware pensato non solamente per bloccare i sistemi informatici o per esfiltrare dati, ma soprattutto per distruggere – facendole ruotare troppo velocemente – le turbine delle centrifughe. Ha così inizio l’operazione “Giochi olimpici”. Nel frattempo, però, il tempo passa. Mentre vengono studiati i dettagli del piano di attacco, Bush depone la stella da sceriffo e alla Casa Bianca sale Barack Obama, insieme al suo vice Biden. Nonostante questo l’operazione va avanti e, arrivati al 2010, è ora di passare all’azione.

Gli iraniani però sanno il fatto loro e sono parecchio guardinghi. La rete internet dell’impianto di Natanz è una rete chiusa. Impossibile far passare il malware comodamente da casa. Bisogna sfruttare il fattore umano. Quello che accade a questo punto è difficile dirlo, ma le opzioni sono piuttosto ridotte: un dipendente dell’impianto poco attento o infedele porta all’interno del blindatissimo luogo di lavoro una pennetta USB che, inserita in un computer, da il via all’infezione.

I risultati vanno oltre ogni più rosea aspettativa: Stuxnet funziona alla perfezione. Mentre distrugge le turbine, inganna gli scienziati e gli ingegneri iraniani falsificando i dati e mostrando un perfetto funzionamento dei sistemi. Nella centrale di Natanz si diffonde lo sconforto: nulla va come dovrebbe andare e nessuno sembra accorgersi della vera ragione. Almeno fino a un certo punto.

Contagio mondiale

Qualcuno ha voluto strafare. Probabilmente, stando a quello che negli anni hanno detto gli americani, sono stati gli israeliani che, dal canto loro, non hanno detto granché. Stuxnet, che sarebbe dovuto rimanere all’interno dell’impianto di Natanz a distruggere il distruggibile, lascia l’ovile e prende il largo. Ovvero si diffonde sulla rete internet e infetta i computer e i sistemi informatici di una decina di nazioni sparse nel mondo, Stati Uniti compresi. A questo punto, gli iraniani si rendono conto della situazione e, come del resto tutti, corrono ai ripari.

I nuovi scenari della guerra cyber

Tutto è bene quel che finisce bene, verrebbe da dire. Ma riflettendo poi sulla situazione attuale, sul clima di guerra che avvolge nuovamente Iran e Israele, viene da fare una considerazione tanto amara quanto inquietante: se invece del 2010, un attacco hacker del genere fosse avvenuto oggi, cosa avrebbe comportato? Quali sarebbero state le reazioni delle parti coinvolte? Un attacco hacker nel 2024 può diventare la miccia di innesco per un conflitto armato?

E poi anche un’altra considerazione: al giorno d’oggi se un cyber attacco di questo tipo venisse preso a pretesto per sferrare un altro tipo di attacco, con armi vere, chi darebbe la certezza della provenienza del malware incriminato? Basterebbe dimostrare che una mail è partita da un computer di un determinato paese per affibbiare a quel paese la responsabilità di aver provocato un conflitto? Le cose, purtroppo, non sono così semplici, ma allo stesso tempo – e forse proprio in ragione di questa non semplicità – si prestano alla manipolazione.

Operazioni di falsa bandiera

Determinare l’origine di un cyber attacco è molto complicato in una situazione di pace, figuriamoci in un contesto di guerra imminente. Nel far west della rete sono frequenti le operazioni di falsa bandiera, il nemico non ha volto, anzi, il nemico potrebbe addirittura non esserci. Basterebbe il suo fantasma a giustificare l’inizio di una guerra, combattuta stavolta non dietro uno schermo, ma sul campo di battaglia.

Sono lontani i tempi di Stuxnet, quando un malware poteva azzerare l’operatività di un impianto nucleare senza troppe conseguenze sul piano geopolitico. A guardarsi indietro sembra quasi un mondo migliore. Ormai anche gli hacker devono stare attenti a quello che fanno per non avere sulla coscienza il peso dell’inizio di un’ipotetica terza guerra mondiale.

L'articolo Quando USA e Israele sferrarono un devastante cyberattacco contro l’Iran proviene da InsideOver.

Un rapporto della Commons Intelligence and Security Committee ha sollevato preoccupazioni sull’influenza “coercitiva” della Cina nel Regno Unito e sulle sue intenzioni di diventare un “attore permanente e significativo” nell’industria dell’energia nucleare civile. Le risorse aperte confermerebbero, inoltre, che Londra sarebbe “d’interesse significativo” per Pechino su tutto ciò che concerne lo spionaggio e le operazioni d’interferenza”, sebbene la stessa Cina porrebbe gli inglesi, come riferisce l’intelligence britannica, “appena al di sotto dei suoi principali obiettivi prioritari”.

L’allarme dei servizi segreti britannici

Dall’analisi del rapporto si apprende inoltre che: “L’apparato d’intelligence statale cinese, non solo conterebbe centinaia di migliaia di ufficiali del servizio segreto civile, ma che anche una gran parte di essi sarebbero proiettati, verso il Regno Unito, in modalità “prolifica ed aggressiva”. La Commissione che ha esaminato le informative dell’intelligence tra cui MI5, MI6 e GCHQ, avrebbe infatti affermato che Pechino avrebbe il “potenziale di rappresentare una minaccia esistenziale per il sistema democratico liberale”.

Le preccupazioni inglesi, potrebbero essere confermate, infatti, proprio a causa della graduale evoluzione dei servizi segreti cinesi, che avrebbe portato attualmente la Cina ad un vantaggio asimmetrico della loro intelligence rispetto a quella britannica perché, mentre gli orientali avrebbero il mandato di operare sia a livello nazionale che all’estero, rispondendo direttamente al Consiglio di Stato e al Comitato permanente del loro Partito Comunista, le agenzie di Sua Maestà, invece no, in quanto non hanno lo stesso spazio di manovra e quegli stessi poteri esecutivi.

Le contromisure allo spionaggio cinese

La Governance economica e la Belt and Road – che dal rapporto si recepisce essere “capace di plasmare le norme e le istituzioni internazionali a proprio vantaggio ed istituita per concedere prestiti a basso interesse, al fine di costruire infrastrutture essenziali per gli Stati, e che ha visto aderire già ben oltre 60 paesi. Oltre alle politiche sulle nuove mappe geografiche, “Standard Map” – rilasciate dal ministero delle Risorse Naturali cinese, non potevano se non accendere i fari del Pentagono sull’intelligence e di contro attivare nuove contromisure. Nel 2018, la Casa Bianca rilasciò un rapporto nel quale si descriveva che il Ministero per la Sicurezza dello Stato cinese aveva schierato circa 40.000 agenti dell’intelligence all’estero e più di 50.000 nella Cina continentale.

Gli obiettivi dovevano essere non solo quelli di assicurare la sicurezza interna della nazione, ma soprattutto di operare per lo smantellamento di quelli considerati le loro priorità ed ormai conosciuti come i “Cinque Veleni”. Questo, in sostanza, comportava a portare alla distruzione dell’indipendenza taiwanese, l’indipendenza tibetana, quella dei separatisti dello Xinjiang, Falun Gong ed il movimento democratico cinese. Le contromisure di Washington, però, non si sono fatte attendere. Il Times infatti riferisce che gli Stati Uniti stanno approfondendo la cooperazione dei servizi segreti con i paesi di tutta l’Asia al fine di contrastare nel “il sofisticato apparato di spionaggio di Pechino ed i suoi attacchi informatici ”.

Dall’analisi delle risorse, si apprenderebbe, infatti, che l’amministrazione del Presidente Biden abbia sviluppato una moltitudine di partnership che, sebbene abbiano la caratteristica di essere ognuna indipendente da un’altra, sono tutte sovrapposte tra loro ed impiantate proprio nel cuore dell’Asia.
Tali strategie, secondo quanto riportato, prevederebbero anche un accordo per la condivisione dell’intelligence sia con il gruppo “Quad”, che include gli Stati Uniti, India, Giappone e Australia, sia partenariati trilaterali tra Stati Uniti, Giappone e Corea del Sud, oltre a quello costituito da Stati Uniti, Giappone e Filippine.

La cosiddetta “rete” di servizi segreti, congloberebbe, infine, anche una condivisione bilaterale d’informazioni con Giappone, India e Vietnam, ritenuta, soprattutto quest’ultima altamente strategica, dagli analisti, per le operazioni di resilienza contro i possibili cyber-attacchi dello spionaggio cinese.

L'articolo L’offensiva di Pechino e la “rete” segreta degli Usa: si infiamma la guerra di spie proviene da InsideOver.

Inizialmente celatosi dietro il down di una delle principali compagnie telefoniche italiane, il massiccio attacco hacker via ransomware di ieri ha colpito duramente Europa e Nord America con conseguenze importanti anche nel nostro Paese. A segnalarlo Csirt Italia (Agenzia cyber nazionale), come già venerdì sera lo Csirt francese. Al centro della vicenda, numerose vulnerabilità, note da anni, dei server Vmware Esxi, molto utilizzati.

Il down di Tim

Un attacco venuto alla luce nel giorno in cui la rete Tim è andata in down, anche se sia l’azienda sia la polizia postale hanno escluso che il problema fosse dovuto a un attacco di pirati informatici. Sulla rete di Tim era stato rilevato un problema di interconnessione al flusso dati su rete internazionale che, ha spiegato l’azienda, ha generato un impatto anche in Italia. Il problema è stato risolto nell’arco della stessa giornata, durante la quale si sono susseguite segnalazioni degli utenti che su Twitter hanno creato l’hashtag #timdown, diventato trend topic, segnalando i disservizi a internet e telefoni.

Tra gli esperti che si occupano di cybersicurezza, però, è anche circolata l’ipotesi che si sia verificato un problema sui router di Sparkle, la società di Tim che gestisce tra l’altro i cavi in fibra ottica, che potrebbe essere collegato all’attacco. Sul punto al momento sarebbero ancora in corso una serie di analisi approfondite.

Nelle stesse ore in cui Tim è andata in down è scattato nel nostro Paese l’allarme dell’Agenzia per la cybersicurezza nazionale: il Computer security incident response team Italia – l’organismo cui spetta il monitoraggio degli incidenti e l’intervento in caso di attacchi – ha scoperto che gli hacker sono entrati in azione attraverso un “ransomware già in circolazione” che ha già “compromesso” decine di sistemi. Non solo: gli esperti dell’Agenzia guidata da Roberto Baldoni sono riusciti ad allertare diversi soggetti (istituzioni, aziende pubbliche e private) i cui sistemi risultano esposti e dunque vulnerabili agli attacchi, ma “rimangono ancora alcuni sistemi esposti, non compromessi, dei quali non è stato possibile risalire al soggetto proprietario”.

L’attacco ransomware

Gli attacchi ransomware sono divenuti “popolari” negli ultimi anni e tornati alla ribalta circa due anni quando presero di mira la Colonial Pipeline negli Stati Uniti. Il ransomware è un tipo di malware che impedisce o limita l’accesso degli utenti al proprio sistema, bloccando lo schermo o i file personali fino a quando non viene pagato un riscatto. Famiglie di ransomware più moderne, collettivamente classificate come cryptoransomware, crittografano determinati tipi di file su sistemi infetti e costringono gli utenti a pagare il riscatto attraverso determinati metodi di pagamento online per ottenere una chiave di decrittazione. I prezzi del riscatto variano a seconda della variante del ransomware e del prezzo o dei tassi di cambio delle valute digitali. Ad una prima analisi, pare che nel caso italiano, la compromissione mira a mandare offline i server dei relativi siti di servizi, chiedendo un riscatto per la riattivazione tramite un codice script di decrittazione: i criminali danno tre giorni per pagare una cifra di due bitcoin, 42.200 euro circa.

Un bug vecchio di due anni

Le agenzie di sicurezza informatica in Europa stanno avvertendo di attacchi ransomware che sfruttano un bug del computer vecchio di due anni mentre l’ufficio del premier italiano ha detto domenica sera che gli attacchi che hanno colpito i sistemi informatici nel Paese hanno coinvolto “ransomware già in circolazione” in un prodotto realizzato dal fornitore di tecnologia cloud VMware. Un bollettino tecnico di venerdì di un’agenzia di sicurezza informatica francese afferma che le campagne di attacco prendono di mira gli hypervisor VMware ESXi, che vengono utilizzati per monitorare le macchine virtuali.

VMware, con sede a Palo Alto, in California, ha corretto il bug nel febbraio 2021, ma gli attacchi prendono di mira versioni precedenti del prodotto: poche ore fa la US Cybersecurity and Infrastructure Security Agency ha dichiarato che “sta lavorando con i nostri partner del settore pubblico e privato per valutare l’impatto di questi incidenti segnalati e fornire assistenza ove necessario”.

Dalle prime indagini Francia, Finlandia e Italia sono i paesi più colpiti in Europa, mentre anche Stati Uniti e Canada hanno riscontrato un numero elevato di obiettivi. L’attacco, avendo preso di mira i server VMware ESXi, può aprire le porte agli hacker impegnati a sfruttarla in queste ore dopo la forte crescita di attacchi registrata nel weekend. Al momento i server compromessi sono qualche migliaio in tutto il mondo, dalla Francia alla Finlandia, dal Canada agli Stati Uniti fino appunto all’Italia dove, stando a quanto accertato finora, decine di realtà hanno hanno già riscontrato l’attacco nei loro confronti. Decine di aziende, invece, potrebbero non sapere ancora di essere state sotto attacco.

I server presi di mira, se privi delle patch, cioè delle “correzioni” adeguate, possono aprire le porte agli hacker impegnati a sfruttarla in queste ore dopo la forte crescita di attacchi registrata nel weekend. I primi ad accorgersene sono stati i francesi, probabilmente per via dell’ampio numero di infezioni registrato sui sistemi di alcuni provider in Francia. Successivamente l’ondata di attacchi si è sposta su altri paesi tra cui l’Italia. Dunque, potrebbe non essere finita qui.

Cosa dobbiamo aspettarci

Al contempo, sembra aver superato brillantemente l’attacco del 2 febbraio scorso sferrato dal gruppo ransomware Black Basta, l’azienda energetica romana Acea, la quale ha annunciato di aver ripristinato la funzionalità dei propri sistemi informatici. I siti internet del Gruppo e delle piattaforme online per la gestione degli aspetti commerciali delle forniture di acqua, elettricità e gas risultano operativi, così come per i clienti il servizio di contact center delle società del Gruppo, tra cui Acea Ato 2, Areti e Acea Energia.

Dobbiamo prepararci al peggio? Da più parti esperti ed analisti sembrano ormai in attesa del “big one“, l’attacco decisivo che potrebbe davvero mandare in tilt i sistemi occidentali di controllo e sicurezza. Tuttavia, la “buona notizia” è che le generazioni di ransomware sono longeve e per evolvere impiegano del tempo: ergo, gli attacchi informatici dei prossimi anni dovrebbero essere tecnologicamente simili a quelli che abbiamo imparato a conoscere in questi ultimi mesi, il che ci rende più preparati a fronteggiarli. Due elementi, invece, potrebbero renderli più frequenti di prima, soprattutto per i singoli individui: la diffusione dell’Internet delle cose, ma soprattutto lo smartworking: i dati rivelano un panorama di minacce informatiche senza precedenti, nel quale gli hacker hanno saputo sfruttare al massimo il terreno di attacco, in costante espansione, rendendo l’”ufficio di casa” la porta per le reti aziendali di tutto il mondo.

Difficile invece stabilire l’originale intento di questi attacchi. L’esistenza stessa di un “riscatto” fa di questi gruppi una “semplice” evoluzione di tradizionali gruppi criminali. Meno sappiamo su quanto questi attacchi possano essere connessi ad attività di spionaggio o cyberterrorismo, componente fondamentale, ormai, della guerra in Ucraina. All’indomani degli eventi, nel frattempo, è in corso a Palazzo Chigi l’incontro tra il sottosegretario Alfredo Mantovano, autorità delegata per la Sicurezza della Repubblica, il direttore di Acn, Roberto Baldoni, e la direttrice del Dipartimento informazione e sicurezza, Elisabetta Belloni sull’attacco. La riunione servirà anche a fare un primo bilancio dei danni provocati dagli attacchi.

L'articolo Cosa sappiamo dell’attacco hacker all’Italia proviene da InsideOver.

Entropiche fabulazioni stanno alzando l’allerta su possibili delatori impegnati nel furto di materiale classificato ”Top Secret” dalla Nato. La stampa britannica, al momento, riferisce che la sottrazione di dati riguarderebbe documentazione sensibile relativa ad un’operazione di “communications intelligence”, condotta in Estonia nel 2020 da una squadra aerea americana. Le analisi delle risorse aperte, invece, alzano l’allerta su manovre di hacker, presumibilmente ingaggiati dal Cremlino, con il fine di penetrare le cyber-difese della Nato. Al momento, infatti, le indagini di Washington punterebbero sul black market del web, ma fonti ufficiali dell’Alleanza Atlantica sembrerebbero negare tali notizie, alimentando sempre di più il giallo di una nuova cyber-intelligence-operation, che s’infittisce guardando ad Est.

Cosa è stato rubato?

Secondo prime indagini riportate dalla BBC risulterebbero essere stati trafugati i registri delle chiamate, il nome, il numero di telefono e le coordinate del GPS di una persona coinvolta nell’operazione segreta statunitense. Ed inoltre si fa riferimento a rapporti secretati di sistemi missilistici utilizzati in Ucraina. Altre letterature editoriali asiatiche confermano che i file in questione riguarderebbero dettagli particolari sul sistema missilistico di difesa Common-Anti-Air-Modular della società paneuropea MBDA. La stessa fonte, infatti, illustrerebbe che i presunti documenti segreti trafugati contenessero informazioni proprio sul funzionamento del Land Ceptor CAMM, includendo anche la sua posizione e la struttura elettronica da cui è composta.

Ulteriori agenzie battono la notizia che il bottino di questi s ammonterebbe, invece, solo ad 80 GB di dati, per un totale complessivo di circa 320.000 dollari americani. Secondo le rivendicazioni on line di questi combattenti informatici, tali files sarebbero già stati venduti sul dark web ad un acquirente anonimo. Il “presumibile” successo riguarderebbe anche l’ottenimento di altre informazioni riservate su dipendenti coinvolti allo sviluppo di delicate pianificazioni militari. Inoltre sembrerebbe che, in aggiunta a questo, ci sarebbe anche l’acquisizione di corrispondenza, contratti, materiale video e fotografico, oltre a progetti e disegni di altre società.

Guerra psicologica o disinformazione?

Dall’analisi delle risorse risulterebbe che il colosso di sistemi missilistici MBDA, condiviso tra Francia, Italia e Regno Unito, abbia realmente subito “una violazione” di alcuni dossier, che successivamente sono stati pubblicati on line. Differentemente da quanto si acquisisce da fonti editoriali, però, la società stessa, invece, avrebbe reso noto che “la sottrazione” di materiale sensibile sarebbe avvenuta solo a causa del furto di un disco rigido esterno, probabilmente asportato da un fornitore e non da una “penetrazione” delle reti informatiche dell’azienda. Quest’ultima, infatti, assicura di non aver riscontrato alcuna falla nelle sistema. E tutto ciò disegna, negli occhi degli analisti, un quadro ben diverso della reale situazione. La Bbc è riuscita a valutare alcuni dei file in questione. Tali documenti sono stati inviati via e-mail dagli hacker per una prima visualizzazione gratuita. E Secondo quanto riferito dalla testata britannica, parte di quest’ultimi risultava classificata come Nato Confidential, Nato Restricted ed Unclassified Controlled Information.

A chiarire la questione, però, ci sarebbero le dichiarazioni di un addetto dell’Alleanza Atlantica, il quale avrebbe riferito che la procedura di classificazione della Nato è molto articolata e nello stesso tempo complessa, in quanto, sembrerebbe essere consuetudine interna apporre, ad eccesso di zelo, classificazione anche a materiale non ritenuto particolarmente “sensibile”.

La Bbc, infatti, conferma che i livelli di classificazione importanti partono da “COSMIC Top Secret” ed al momento nessuna prova certa, nè dagli stessi hacker, nè da altri attori cibernetici proverebbe che il furto di questo tipo di materiale provenga da una penetrazione delle reti di sicurezza. A conferma di ciò proprio lo stesso portavoce avrebbe ribadito che seppur siano in corso indagini per verificare le violazioni informatiche della MBDA, non risulta alcuna infiltrazione a quelle di sicurezza della Nato. Eurasian Times riferisce che oltre a MBDA Missile Systems, anche la Lockheed Martin sarebbe stata messa sotto attacco sempre da presumibili hacker russi, in quanto quest’ultima era coinvolta nella produzione del sistema missilistico M142 -HIMARS-, fornito dagli Usa alle forze armate ucraine. Ma al momento, però, nessuna “altra evidenza” reale sembra poter confermare un palese e concreto successo militare attuato da una cyber-operation a danno della Nato.

L'articolo I misteri del cyber attacco alla Nato e dei file Top Secret finiti sul mercato nero proviene da InsideOver.

La notizia – in questi giorni di guerra – appare ai più come una nota di colore. Stando a una comunicazione del viceministro russo per lo sviluppo digitale, la comunicazione e i mass media, entro l’11 marzo “tutti i server e i domini devono essere trasferiti nella intranet russa”. Tradotto: la Russia si taglia fuori dal World Wide Web e si blinda all’interno di uno spazio cyber autarchico (chiamato “Rucom” o, secondo altre fonti “RuNet”).

Una mossa audace, ma non inattesa se pensiamo che solo qualche giorno fa il vice premier ucraino, Mykhailo Fedorov, aveva chiesto esattamente la stessa cosa: l’estromissione della Russia dall’universo cyber mondiale. Una richiesta subito respinta dall’ICANN (Internet Corporation for Assigned Names and Numebers), l’ente che a livello mondiale è preposto alla gestione della Rete, con la motivazione che in questo modo si sarebbe andati a penalizzare non tanto le attività belliche russe, ma il popolo. Senza contare il fatto che si sarebbe trattato di un precedente non solo inedito, ma pericoloso.

Ebbene, i russi sembrano averci pensato da soli. Saranno loro a circondarsi di una nuova Cortina di ferro 2.0, probabilmente – leggi anche “sicuramente” – con intenzioni e programmi ben diversi da quelli immaginati dal vice premier ucraino. Dopotutto, come ci ricorda l’esperto di cyber security Alessandro Curioni, la Duma aveva approvato una norma ad hoc già nel 2019: “In caso di minaccia alla sicurezza dello Stato, la Russia aveva già previsto l’ipotesi di auto-escludersi dalla Rete mondiale”. Dunque non una novità, ma questo non significa che le implicazioni siano tutte chiare e prevedibili.

Una disconnessione globale che interesserebbe oltre 140 milioni di utenti pone diversi interrogativi e ci mette di fronte a una serie di ipotesi. In primo luogo, c’è da chiedersi per quale ragione ciò avverrebbe proprio in questo momento: la risposta potrebbe essere abbastanza semplice. Sin dall’inizio delle ostilità, sui sistemi di messaggistica istantanea e sui social network, sono cominciate a rimbalzare le immagini e i video che manifestano senza filtri l’orrore della guerra. Corpi dilaniati, cadaveri sulle strade, scene strazianti che un tempo restavano accessibili a pochi su siti specializzati, dove la morbosità si accompagnava a un latente voyeurismo macabro. Oggi tutto questo è portata di clic e se a ciò uniamo la circolazione incontrollata di notizie spesso difficili da verificare, è facilmente ipotizzabile che Putin abbia deciso di porre un freno drastico a tutto questo, impedendo alla propaganda disfattista, pacifista o semplicemente non allineata con il regime di filtrare all’interno del paese e finire su smartphone e pc dei cittadini russi. Lasciando da parte ogni considerazione sui principi di democrazia e libertà, sarebbe una mossa comprensibile, forse arrivata addirittura in ritardo. Nell’epoca dell’informazione a portata di tutti, se vuoi fare il dittatore lo devi fare bene. E la libertà di stampa, parola e informazione è la base. Va stroncata. Una rete nazionale controllata dal governo risulterebbe a dir poco edulcorata. Di certo non si parlerebbe più di carrarmati rimasti a secco o che schiacciano automobili civili. Probabilmente verrebbero elencati solamente i successi militari.

Questa, appunto, la prima ipotesi. Veniamo alla seconda: “Da quando il collettivo Anonymous è sceso in campo – ci spiega Alessandro Curioni – sui telegiornali abbiamo iniziato a sentir parlare di “guerra ibrida”, di guerra cyber e via dicendo, ma nello specifico non sappiamo se queste azioni abbiano colpito e, se sì, quando duramente. Certo, arrivano notizie di siti internet irraggiungibili, di dati militari esfiltrati dal sito della Difesa russo, di siti porno bloccati agli utenti russi, ma queste sono scaramucce”.

Quello che dice Curioni, in sostanza, è che Anonymous o chi per lui potrebbe aver colpito molto più a fondo di quanto non immaginiamo e che per questo si sia reso necessario per la Russia chiudersi a riccio. Sempre seguendo questo ragionamento, l’attacco di Anonymous potrebbe non aver inciso gravemente sui sistemi russi, ma questo accanimento, unito a valutazioni e analisi tecniche e d’intelligence, potrebbe aver fatto preferire questa mossa piuttosto che attendere inerti un colpo devastante. Insomma, si potrebbe trattare di una “ritirata” strategica in attesa di una contromossa.

C’è poi la terza ipotesi “di gran lunga la più inquietante” chiosa Alessandro Curioni. Fermiamoci un attimo e facciamo un passo indietro: nella giornata di sabato 5 marzo, il CSIRT Italia (Computer Security Incident Response Team), a seguito delle sanzioni applicate in quelle stesse ore dalla Guardia di Finanza ad alcuni oligarchi russi, aveva diramato un avviso dai toni allarmanti, secondo cui “da notizie riservate” ci si attendeva una serie di attacchi cyber “ai danni di enti governativi e industriali non meglio definiti”. Questo per il giorno dopo, domenica 6 marzo.

Stando a ciò che sappiamo al momento, né domenica 6 marzo, né il giorno seguente si sono verificate situazioni al di fuori dell’ordinario. Poi, però, la Russia – che più volte ha affermato di considerare le sanzioni economiche come un atto di guerra – ha deciso di mettersi in cyber-quarantena. Se due più due fa quattro, l’allerta del CSIRT appare come un campanello d’allarme per qualcosa che forse si stava già muovendo nei giorni passati e la scelta draconiana di Putin e soci potrebbe confermarlo.

“In questo contesto – ci spiega l’esperto Alessandro Curioni, che in un libro del 2019 scritto con l’analista Aldo Giannuli, cyber war, aveva praticamente descritto gli scenari che ci troviamo a vivere oggi – si potrebbe interpretare questo isolamento in una rete nazionale come una mossa preventiva a un attacco cyber su larga scala”.

Cerchiamo di capire: senza andare troppo indietro nel tempo (e in questo internet vi potrà dare una mano) malware come NotPetya nel 2017 e WannaCry, nello stesso anno, seminarono il panico in tutto il mondo. Il vero problema di questi malware è che, proprio come un’arma batteriologica, limitarne gli effetti è praticamente impossibile. Questo significa che anche chi ha scatenato il virus informatico con l’intento di danneggiare un avversario, potrebbe restarne travolto.

“Isolarsi all’interno di un sistema nazionale – spiega Curioni – consentirebbe se non di evitare, quanto meno di limitare i danni”. Se questa terza ipotesi fosse vera, si svilupperebbe tutta una serie di ulteriori possibili scenari, dove il “lato cyber” scenderebbe in secondo piano, sgombrando il campo alla diplomazia e alla geopolitica. Se infatti un malware attaccasse le infrastrutture critiche dei paesi europei o statunitensi – per limitarci ad alcuni possibili attori – la Russia di Putin avrebbe gioco facile a difendersi con un alibi tutto sommato solido: “siamo usciti dalla rete internet perché ci aspettavamo un attacco devastante. Non vi abbiamo avvisati perché, se non ve ne foste accorti, siamo in guerra”. Dimostrare il contrario, cioè che il malware sia stato diffuso proprio dai russi, sarebbe impossibile.

Visualizzato questo scenario, immaginiamo che dopo la presa di distanze da possibili responsabilità, la Russia tenda una mano al mondo intero rimasto vittima del malware catastrofico dicendo qualcosa del tipo: “Ehi, noi potremmo avere la soluzione”. A questo punto cosa accadrebbe? Se effettivamente la chiave per disattivare una minaccia potenzialmente letale fosse in mano agli uomini del Cremlino, quali sarebbero i termini della trattativa?

“Sarà per deformazione professionale – conclude Alessandro Curioni – ma io mi preoccuperei proprio di questa terza ipotesi”. Eravamo abituati a muri fisici tra Stati. Forse dall’11 marzo dovremo abituarci ai muri intangibili del Web. Quando all’inizio della pandemia da Covid-19 dicevamo “andrà tutto bene”, esattamente cosa intendevamo?

L'articolo Russia fuori da internet: censura o strategia? proviene da InsideOver.