Luca Dello Iacovo, Il Sole 24 Ore 7/6/2011, 7 giugno 2011
SOTTO SCACCO DEI PIRATI ONLINE
Quello della scorsa settimana a Sony è stato solo l’ultimo di una serie di attacchi ai dati sensibili dei cittadini-clienti custoditi dalle multinazionali di tutto il mondo. In questi anni, solo prendendo in considerazione i dati resi noti dalle stesse imprese, a più di 450 milioni di utenti sono state sottratte informazioni sensibili di natura economica e personale nei principali furti online. Una stima per difetto perché molti attacchi andati a segno non sono stati resi pubblici.
Lo schema cambia, ma è frequente quello adottato dai pirati informatici che hanno appena colpito per la terza volta Sony. Gli hacker hanno sottratto i dati di un milione di utenti: si tratta di nomi, indirizzi di residenza, giorni dei compleanni. E poi hanno inviato una rivendicazione del furto su Twitter, con la firma Lulz Security. Ma sono andati anche oltre: hanno pubblicato una parte delle informazioni sul web e chiunque può leggerle.
I criminali digitali hanno portato a termine la loro incursione dopo altre due colossali falle aperte nella sicurezza dell’azienda giapponese. Da aprile hanno rubato i dati di 101 milioni di utenti che accedevano attraverso internet a due servizi online per giocare, ascoltare musica e guardare film: Playstation Network e Qriocity. Ieri, gli stessi hacker che si sono firmati Lulz Security hanno sottratto le identità di oltre 77 milioni di clienti della Nintendo.
Come i pirati delle leggende, i ladri elettronici sono alla ricerca di tesori: codici delle carte di credito, identità da clonare, dati personali. E assediano fortezze sulle rotte di internet che custodiscono nei loro archivi le informazioni di milioni di persone. Negli Stati Uniti, per esempio, hanno puntato su Epsilon, una società del gruppo Alliance Data che gestisce il marketing online di 2.500 aziende. Valore stimato del danno: quattro miliardi di dollari. Spesso hanno alzato il tiro fino a violare le misure di protezione di colossi della sicurezza come Rsa: sono riusciti a sottrarre dati relativi alla tecnologia SecureID, applicata nell’utilizzo dei token, piccoli dispositivi che generano codici numerici casuali da associare alle password per incrementare gli standard di protezione.
«Aumentano le organizzazioni criminali tradizionali interessate a reclutare informatici per le truffe su internet, ma non c’è un reale progresso nelle tecnologie impiegate», sottolinea Alessio Pennasilico, celebre ex hacker italiano che adesso lavora nella società di sicurezza elettronica Alba. Gli specialisti dell’intrusione che hanno appena violato le difese della Sony utilizzano una tecnica nota da anni, la sql injection.
In genere, i codici delle carte di credito ottenuti come bottino vengono rivenduti online a prezzi di circa 7 centesimi a pacchetto, secondo le stime di Symantec. Gli acquirenti li utilizzano per le loro spese, addebitandole ad altri utenti. I dati personali rubati, invece, diventano una sorta di rubrica telefonica per sapere a quali indirizzi inviare una valanga di messaggi pubblicitari con email spazzatura (spam).
Secondo il dipartimento degli Stati Uniti per la sicurezza nazionale, il giro d’affari globale del cybercrimine ammonta a mille miliardi di dollari l’anno. Soltanto per l’economia britannica la Bae Systems valuta una perdita di 25 miliardi di sterline. Eppure ai ladri elettronici interessati soprattutto alle carte di credito negli ultimi mesi si sono aggiunte altre squadre di pirati che hanno sferrato efferate offensive contro alcune aziende che collaborano con le agenzie della Difesa degli Stati Uniti.
Di recente Lockheed Martin ha affrontato un attacco «significativo e tenace», come evidenzia in una nota ufficiale in cui sottolinea anche di non aver subìto perdite di dati. Altri due fornitori della difesa Usa, L3 e Northrop Grumman, hanno affrontato incursioni. Le offensive elettroniche lanciate dai criminali richiedono capacità sofisticate per superare barriere difensive con standard elevati. Non è opera di ragazzi alle prime armi. Pochi giorni fa il Pentagono ha annunciato un giro di vite: considerare «un atto di guerra» il sabotaggio informatico contro gli Stati Uniti, operato con il supporto di altri Paesi. Valuterà, quindi, risposte con «mezzi militari tradizionali». Mancano regole internazionali per gestire la cybersicurezza. «Da anni conosciamo la vulnerabilità di centrali elettriche e acquedotti gestiti attraverso sistemi informatici, ma soltanto da poco il problema è arrivato sulle prime pagine dei giornali», sottolinea Pennasilico.
A far salire l’attenzione sull’emergenza del crimine elettronico è stata anche l’ultima denuncia di Google: ha rivelato che i pirati hanno preso di mira la posta elettronica di funzionari del Governo americano, inclusa la Casa Bianca. E ha indicato l’origine degli attacchi elettronici nella città cinese di Jinan, sede dell’accademia Lanxiang che coltiva assi dell’informatica da reclutare nell’esercito. Il segretario di Stato, Hillary Clinton, ha commentato: «Queste affermazioni sono molto serie e stiamo valutando l’evolversi della situazione». Già un anno fa Google aveva annunciato un’altra operazione di intrusione elettronica, ma diretta contro sue infrastrutture su internet. E, in seguito, ha spostato il suo motore di ricerca da Pechino a Honk Kong. Ma non ha abbandonato la Cina, dove continua a distribuire il suo sistema operativo per cellulari Android.
Complica lo scenario l’intensificarsi dell’hactivism, una sorta di attivismo politico che utilizza il supporto delle tecnologie digitali. È emblematico il caso di WikiLeaks, l’archivio di documenti gestito da Julian Assange: il gruppo di hacker Anonymous ha attaccato aziende come Amazon e Visa che hanno rifiutato il loro supporto alla rivelazione di informazioni riservate. Gli "anonimi" (o anon, come si fanno chiamare su internet) formano una rete distribuita: uniscono talenti del software e utenti comuni che prestano la potenza di calcolo dei loro computer per attacchi in grado di intasare i siti web (Ddos) fino a renderli irraggiungibili. Ma su internet i confini tra crimine, spionaggio, sabotaggio e terrorismo tendono ormai a intrecciarsi.