di Mario Braconi

Nelle ultime settimane si è registrata una sequenza impressionante di operazioni di hackeraggio informatico aventi ad oggetto istituzioni ed importanti attori della finanza e dell’industria: tra le vittime illustri, Sony, City (un tempo la più grande banca del mondo), Google, il Fondo Monetario Internazionale, l’impresa di armamenti Lockheed-Martin, il Senato degli Stati Uniti d’America, la “rete” televisiva pubblica americana PBS (Public Broadcasting Service).

Benché non sia ancora possibile capire o conoscere l’entità dei danni provocati dall’incidente che ha coinvolto il FMI, è evidente che esso comporta almeno potenzialmente il rischio di diffusione pubblica di informazioni riservate sulle finanze di vari paesi, alcuni dei quali a rischio di collasso finanziario (Irlanda, Grecia, Portogallo) e soprattutto sulle manovre ipotizzate.

Un vero tesoro per un eventuale “cattivo” (persona o governo) intenzionato a movimentare un po’ i mercati finanziari globali. Il tutto in un momento in cui il Fondo è privo di guida a causa della imbarazzante vicenda sessuale in cui è incappato il suo ex capo Dominique Strauss-Kahn.

Molti dipendenti del FMI (come del resto anche quelli della Lockheed Martin, vittima a maggio di un altro attacco informatico, fallito) hanno in dotazione SecurID, un dispositivo individuale simile ad una minuscola calcolatrice, che alla pressione di un tasto, genera codici numerici sempre diversi e validi per pochi minuti, da usare come password di accesso a siti protetti. Sarà un caso, ma lo scorso marzo anche la RSA, la società che produce i SecurID, ha subito una sgradita visita da parte di qualche mascalzone digitale, che potrebbe aver messo le mani sugli algoritmi che governano il complesso sistema a doppia chiave utilizzato dai suoi clienti.

Secondo il sito Information Week gli hacker hanno violato la rete di RSA lo hanno in modo molto semplice, perfino banale, usando il cosiddetto spear-phishing (pesca con la fiocina). Il metodo si basa sull’invio massccio di messaggi di posta elettronica apparentemente inviati da colleghi, il cui scopo non è tanto rubare l’identità del destinatario, quanto piuttosto penetrare all’interno del sistema informatico aziendale. Nel caso specifico, si è trattato di un attacco in tre mosse.

Uno: invio a due gruppi d’impiegati di un file Excel dal titolo accattivante: “2011 Recruitment Plan” (Piano delle assunzioni per il 2011). Due: intervento del pollo di turno, nel caso specifico un impiegato talmente curioso da ripescare e aprire il file infetto, dopo averlo recuperato dal cestino dello spam. A quel punto entra in gioco un programmino malefico che, sfruttando un bug di Adobe Flash scoperto quello stesso giorno (zero-day bug, in gergo), ha consentito agli hacker di prendere il controllo del computer infettato. Ora basta un keylogger (software che registra tutto quello che si digita sulla tastiera) e il gioco è fatto: sono state rubate così le password di accesso ai sistemi e ai documenti riservati. Tre: trasferimento massivo di dati, prima su un provider e poi sulle macchine degli hacker.

In breve, basta la combinazione di “ingegneria sociale” (l’esca del piano delle assunzioni) e sfruttamento tempestivo di un errore di programmazione per penetrare nella sancta sanctorum di uno dei più importanti fornitori di sicurezza informatica.

Questi attacchi sono simili a quelli denunciati da Google, che ad inizio giugno ha raccomandato agli utilizzatori di Gmail di prestare particolare attenzione a possibili episodi di phishing, aventi ad oggetto personalità politiche si spicco. Secondo la società di Mountain View, tali attività fraudolente sarebbero state generate da macchine collocate nella città di Jinan, in Cina. A Jinan si trova una scuola tecnica dell’esercito della Repubblica Popolare, rapidamente divenuta, grazie alle cronache giornalistiche, il motor immobilis di tutti gli attacchi informatici.

Effettivamente, secondo il giornalista e blogger Brian Krebbs, l’identificativo di una delle tre macchine da cui è partita l’offensiva alla RSA (prc.dynamiclink.ddns.us) ha un nome un po’ inquietante (le prime tre lettere potrebbero alludere a People’s Republic of China). In casi come questi, non è da escludere in effetti lo zampino della Cina, i cui esperti avrebbero potuto addirittura utilizzare la sigla come uno sberleffo: quasi a dire, sì, siamo stati noi, e allora?

Ma una parte almeno dei recenti attacchi sono stati messi a segno da un gruppo di hacker che si fa chiamare LulzSec (un acronimo che può essere tradotto “sicurezza da morire dalle risate”).

Si tratta di geniali buontemponi il cui autentico obiettivo è mettere in luce le contraddizioni in cui si dibatte la società post-industriale: ad esempio, mettendo alla berlina le grandi aziende che costruiscono imperi da miliardi di dollari poggiando su piedi d’argilla, ovvero su architetture di sicurezza informatica fallate o comunque gravemente vulnerabili.

Tra i colpi portati a segno dal collettivo, la penetrazione nei sistemi di Sony, dai quali avrebbero rubato decine di migliaia di profili utente. Un reato? Forse sì. Un delitto? Sembra proprio di no, visto che i dati rubati non sono stati usati fraudolentemente; senza contare che l’incidente ha permesso di conoscere il modo quanto meno superficiale con cui la multinazionale giapponese gestiva i dati dei suoi milioni di clienti, criptando esclusivamente quelle relative alle carte di credito.

E che dire del furto e della pubblicazione di 25.000 nominativi di persone iscritte al sito pornografico Pron.com (compresi i 6 furboni che si erano registrati con account dell’esercito o altra istituzione pubblica), più quelli dei 55 amministratori? In quell’occasione, i discoli di LulzSec hanno reso noto ai loro fan una lista di utenti particolarmente scaltri che usavano come password al sito a luci rosse la loro e-mail, invitandoli ad approfittarne. Sembra proprio che LulzSec stia facendo un gran bene al mondo informatico, obbligando le grandi corporation come i semplici cittadini a prendere sul serio i gravi rischi che un comportamento superficiale può provocare al nostro portafoglio e in generale alla nostra salute digitale. E forse anche a quella psico-fisica.