- Una settimana di attacchi ha colpito Italia ed Europa: controllori di refrigerazione violati, falsi allarmi bomba, una «taglia» sui dati di 18 persone tra cui Antonio Tajani e un presunto furto di dati alla società del tunnel del Brennero.
- La pista più battuta è quella russa, ma gli investigatori avvertono che le prove per ora non bastano e che potrebbe non esserci un’unica regia.
- Europol ha convocato per la prossima settimana le polizie dei Paesi coinvolti. In Italia indagano la sezione cyber della Procura nazionale antimafia e antiterrorismo e la Polizia postale.
Una settimana di attacchi informatici ha colpito l’Italia e l’Europa, con bersagli molto diversi tra loro: dispositivi industriali esposti su internet, il sistema dei trasporti, figure istituzionali. Secondo la ricostruzione di Affaritaliani, i servizi di sicurezza seguono soprattutto la pista russa, ma le ipotesi in campo sono diverse. Il dato più solido, per ora, non riguarda chi ha colpito ma quanto è stato facile farlo.
Cosa è successo
Il nome che ricorre di più è quello di NoName057(16), collettivo filorusso attivo dal 2022 e noto per gli attacchi DDoS ai siti istituzionali italiani, dalla Farnesina ai ministeri. Secondo l’intelligence italiana, come riporta Affaritaliani, è il suo network a stare dietro la «taglia» sui dati di 18 persone considerate nemiche di Mosca: tra queste il vicepremier Antonio Tajani, il procuratore di Roma Francesco Lo Voi e il capo della Polizia postale Ivano Gabrielli. Lo Voi e Gabrielli hanno seguito l’operazione Eastwood, coordinata da Eurojust, che portò a cinque mandati d’arresto internazionali contro cittadini russi.
Il 4 novembre NoName, insieme al gruppo Z-Pentest, ha rivendicato in un video gli attacchi ai frigoriferi, cioè la compromissione di controllori Danfoss e Copeland raggiungibili da internet, confermata dal Cert francese. Il direttore dell’agenzia francese ANSSI, Vincent Strubel, ha parlato in Senato di difetti di sicurezza elementari e password deboli. Secondo Forescout, citata da Affaritaliani, i servizi di refrigerazione esposti sono quasi 13mila in 99 Paesi.
Poi ci sono i falsi allarmi bomba, inviati via email con la firma «Combattenti dello Stato Maschile», sigla che richiama Male State, movimento russo ultranazionalista fondato da Vladislav Pozdnyakov, che però nega ogni coinvolgimento. Gli inquirenti non vedono negli autori una minaccia concreta per l’aviazione: l’effetto cercato sembra il caos più che l’attentato.
Sul tunnel del Brennero i sospetti si concentrano sul gruppo Everest, organizzazione dedita anzitutto alle estorsioni, attiva dal 2020, che ha colpito sanità, energia, trasporti e industria. I siti che monitorano le violazioni riportano una sua rivendicazione sulla società del tunnel già il 17 ottobre, con un archivio da 812 gigabyte e la minaccia di pubblicarlo se la trattativa fallisce. Se confermato, il caso sarebbe nato come ricatto e non come parte di una campagna politica: al momento non risultano legami accertati con le altre azioni.
Cosa resta incerto
Il governo parla di guerra ibrida e Tajani porterà il tema al G7 di Parigi. Il ministro degli Affari europei Tommaso Foti non esclude la matrice russa e parla di «atto ostile alla sicurezza nazionale». Secondo la ricostruzione del Sole 24 Ore riportata da Affaritaliani, gli investigatori collocano NoName e Z-Pentest nella sfera d’influenza del GRU, l’intelligence militare russa. Mosca nega.
I dubbi però sono concreti. Il video di rivendicazione è comparso oltre tre settimane dopo il primo attacco francese del 12 ottobre, mentre il collettivo di solito rivendica subito; e il 3 novembre NoName aveva colpito con un DDoS proprio Danfoss, rivendicando all’istante. Gli investigatori valutano tre ipotesi: rivendicazione autentica ma tardiva, appropriazione opportunistica di un’azione altrui, oppure un’esca lanciata da terzi. Nessuna è provata. Resta anche l’ipotesi che quella che appare una campagna unitaria sia la somma di operazioni distinte sullo stesso bersaglio tecnologico.
Perché riguarda anche te
Questa settimana mette in fila quasi tutte le minacce che un’organizzazione italiana può incontrare: il DDoS che rende irraggiungibile un sito istituzionale, il dispositivo industriale lasciato esposto con credenziali deboli, l’estorsione con furto di dati, la diffusione di dati personali di dirigenti e funzionari, le email intimidatorie pensate per generare panico.
Per le aziende che usano impianti di refrigerazione, climatizzazione o automazione controllati da remoto, il caso Danfoss-Copeland è un promemoria diretto: non serve essere un bersaglio politico per finire nel mirino, basta essere raggiungibili. Per la PA e per chi gestisce servizi pubblici o infrastrutture di trasporto, il caso Brennero mostra che un’estorsione partita a metà ottobre può diventare un tema di sicurezza nazionale settimane dopo. Per le famiglie, l’impatto è indiretto ma reale: disservizi, ritardi, dati personali eventualmente esposti se un archivio rubato venisse pubblicato.
Come proteggersi / Cosa fare
Le azioni che seguono sono buone pratiche di settore riconosciute, utili soprattutto a chi gestisce infrastrutture critiche o servizi pubblici. Il cambio password è necessario, ma non basta.
- Censire tutto ciò che è esposto su internet, inclusi controllori industriali, sistemi di gestione impianti, telecamere e apparati IoT. Ciò che non deve essere raggiungibile va tolto dalla rete pubblica e reso accessibile solo tramite VPN o accesso remoto controllato.
- Eliminare credenziali di default e deboli sugli apparati OT e attivare l’autenticazione a più fattori sugli accessi amministrativi e remoti, inclusi quelli dei fornitori di manutenzione.
- Segmentare le reti: impianti e sistemi industriali separati dalla rete d’ufficio, con regole di traffico esplicite, così che una compromissione non si propaghi.
- Predisporre la protezione DDoS prima dell’attacco, con mitigazione a monte del collegamento, soglie definite e un contatto operativo con il proprio fornitore di connettività. I collettivi come NoName rivendicano in tempo reale: conta la rapidità di reazione.
- Prepararsi allo scenario estorsivo: backup offline o immutabili e testati, monitoraggio dei flussi di dati in uscita anomali, piano di risposta che stabilisca chi decide e chi comunica in caso di richiesta di riscatto.
- Ridurre l’esposizione dei dati personali di dirigenti e funzionari: verificare cosa è reperibile online, rafforzare la protezione degli account personali e definire una procedura in caso di pubblicazione o «taglia».
- Formalizzare la gestione delle minacce via email, come i falsi allarmi bomba: chi riceve sa a chi inoltrare, senza diffondere il messaggio, e l’organizzazione segnala tempestivamente alle autorità, a partire dalla Polizia postale.
- Non fidarsi delle firme: in fase di risposta a un incidente l’attribuzione pubblica di un gruppo non cambia le priorità tecniche, che restano contenimento, ripristino e analisi.
Il punto di vista Nexim
Dal punto di vista di chi gestisce reti, la lezione di questa settimana è che l’attribuzione richiede tempo, mentre la superficie d’attacco si può ridurre subito. Le indagini e il coordinamento europeo diranno chi ha colpito; nel frattempo, la quasi totalità dei casi descritti sfrutta ingressi prevedibili, come apparati esposti, password deboli e servizi non protetti dai picchi di traffico malevolo. Nella nostra lettura, chi gestisce servizi pubblici dovrebbe trattare DDoS, estorsione e compromissione di dispositivi OT come scenari dello stesso piano, non come emergenze separate. Una protezione DDoS e di sicurezza di rete integrata nella connettività è uno dei tasselli, insieme a inventario, segmentazione e procedure di risposta già provate.
Fonti
- Attacchi hacker, gli 007 puntano su Mosca ma non è l’unica pista: tutte le ipotesi in campo – Affaritaliani