Per anni abbiamo raccontato il criminale informatico come un adolescente insonne chiuso in una stanza buia. Poi è diventato un serio professionista e quindi un imprenditore. Oggi arriva KillSec e riesce ad essere tutte e tre le cose contemporaneamente. Il 30 settembre un’operazione internazionale ha colpito il gruppo: tre arresti, otto perquisizioni, server e domini sequestrati, oltre 110 terabyte di dati rubati messi sotto controllo delle autorità. Al gruppo vengono attribuiti circa mille tentativi di attacco nel mondo, almeno cinquecento dei quali ritenuti riusciti.
Fin qui, purtroppo, niente di così nuovo. La parte che costringe a cambiare prospettiva arriva quando scopriamo che il presunto principale amministratore della rete criminale ha sedici anni. Attenzione alle parole: è un sospettato, non un condannato, e non sappiamo quanto fosse personalmente sofisticato. Proprio per questo eviterei la scorciatoia del “genio hacker sedicenne”, ma forse la domanda, anzi dovrei dire la conferma, interessante è un’altra: e se per guidare un pezzo di cybercrime non fosse più necessario essere un genio?
KillSec, secondo le ricostruzioni disponibili, funzionava come un Ransomware-as-a-Service. In pratica c’era un nucleo che sviluppava e manteneva strumenti e infrastruttura, e c’erano affiliati che li utilizzavano per colpire le vittime, dividendo i proventi. Esistevano ruoli distinti: amministratore, sviluppatore, negoziatore, affiliato. C’era perfino un tariffario: accesso al programma, deposito, percentuale sui riscatti. Non una banda nel senso romantico del termine, ma una piccola impresa criminale con piattaforma, clienti interni, controllo qualità e margini.
La questione diventa ancora più chiara guardando come entravano nelle organizzazioni. Niente raggi laser contro il firewall, ma il solito arsenale: phishing, vulnerabilità note, attacchi contro servizi esposti e accessi mal protetti. In diversi casi bastavano dati lasciati in cloud storage configurati male e quindi accessibili pubblicamente. Da una parte ransomware-as-a-service, criptovalute, dark web e intelligenza artificiale. Dall’altra qualcuno che ha lasciato una porta aperta. La sorte, come spesso accade, incontra una configurazione sbagliata.
Poi c’è l’intelligenza artificiale. Gli investigatori affermano che KillSec la utilizzava per costruire e mantenere l’infrastruttura ransomware e per individuare potenziali vittime. Questo sappiamo, ma non quali modelli usasse, quanta parte del codice fosse generata dall’IA, né se i sistemi agissero autonomamente o come assistenti degli operatori. Quindi niente “ransomware guidato dall’intelligenza artificiale”: sarebbe una frase più spettacolare dei fatti, che, comunque, sono già abbastanza interessanti.
Il punto è che l’IA si inserisce in un processo iniziato prima di lei. Il cybercrime ha progressivamente trasformato la competenza in un servizio. Un pezzo lo compri da chi sviluppa il malware. Un altro da chi vende accessi. Le vulnerabilità le trovi già documentate. Gli strumenti circolano nei forum. La piattaforma gestisce vittime e negoziazioni. Ora una parte ulteriore può essere delegata a sistemi di intelligenza artificiale. Non scompare la competenza: si scompone, si distribuisce e soprattutto diventa disponibile a richiesta.
Questa è la grande conferma che lascia KillSec dietro di sé. L’età del sospettato colpisce perché sedici anni sono o dovrebbero essere sedici anni. Il problema non è scoprire se un ragazzo sia eccezionalmente bravo, piuttosto capire quanto poco debba ormai sapere chi vuole mettere insieme capacità sviluppate da altri, servizi acquistabili e strumenti che abbassano ulteriormente il costo cognitivo dell’attacco.
Abbiamo passato vent’anni a chiederci quanto fossero bravi gli hacker, ma questa notizia conferma che stiamo entrando in un’epoca in cui la domanda corretta è quanto sia diventato facile comprare, assemblare o delegare ciò che prima bisognava imparare.
Quando anche l’esperienza diventa disponibile on demand, il talento smette di essere una barriera d’ingresso.