Quando gli hacker fanno sul serio

Uno spettro si aggira per l’Italia e fa paura. E’ un argomento di cui i professionisti del settore evitano di parlare: alcuni per scaramanzia, altri perché non hanno il coraggio o la forza di “immaginare l’inimmaginabile”. Per quanto abbiano causato disservizi, irritazione e fatto molto rumore, gli attacchi DDoS degli ultimi giorni sono il minore dei mali rispetto a scenari parecchio più apocalittici. Il timore di un’escalation manifestato da Franco Gabrielli, sottosegretario alla Presidenza del Consiglio con delega alla Sicurezza nazionale, è proprio quello che turba i sonni di chi si trova a proteggere le nostre infrastrutture, ma temo che il grande pubblico non abbia ben chiaro in cosa si potrebbe sostanziare la sopracitata “escalation”.

Per amore di conoscenza e passando sopra la mia leggera scaramanzia provo a fare alcuni esempi, ma si impone una premessa. A tal proposito riporto la dichiarazione del ministro Vittorio Colao che un anno fa segnalava come oltre il 90% degli attuali server delle pubbliche amministrazioni sarebbero obsoleti. Questo per chi si occupa di sicurezza si traduce in vulnerabilità. Aggiungiamo che anche le organizzazioni private non vantano sistemi sempre aggiornatissimi e in ogni caso gli esseri umani sono sempre un’ottima “porta sul retro” per accedere illecitamente a un sistema. Detto questo, vediamo cosa potrebbe accadere.

Scenario uno. Attacco con l’utilizzo di wiper: effetto simile a quello dei ben noti ransomware, ma senza possibilità di ripristinare i sistemi perché danneggiati in profondità. Il risultato sarebbe un’indisponibilità prolungata dei sistemi (forse mesi) e in caso di compromissione dei back up la perdita definitiva di una significativa quantità di dati.

Scenario due. Attacco con esfiltrazione dei dati: effetto, la divulgazione di informazioni riservate. In tal caso un danno rilevante potrebbe essere legato alla violazione dei sistemi dei tribunali, compromissione di indagini in corso.

Scenario tre. Attacco all’integrità delle informazioni. Accesso abusivo al sistema con successiva manipolazione dei dati: effetto, alterazione del processo decisionale. Se le vittime fossero uno o più ospedali, il rischio, per esempio, potrebbe essere quello di errori diagnostici con rischi gravissimi per la salute dei pazienti; in alternativa, colpendo il sistema finanziario si potrebbero alterare i corsi azionari.

Scenario quattro. Attacco ai sistemi OT: accedendo a un sistema informatico esposto sulla rete raggiungere gli apparati tecnologici che gestiscono impianti industriali. Lo scorso anno in Florida è stato sabotato un impianto di depurazione dell’acqua, ma si potrebbero colpire reti elettriche o di distribuzione del gas.

Si tratta di ipotesi percorribili e molte altre se ne potrebbero immaginare. Personalmente mi aggrappo alla speranza che, essendo la nostra trasformazione digitale ancora solo “sulla carta”, il peggio potrebbe non realizzarsi.