Quando non c’è la “manina” di uno Stato a dare supporto alle azioni degli hacktivist (hacker attivisti politici) la capacità di fare danni a livello di sicurezza nazionale crolla. Questo sembra emergere dall’analisi di quanto successo il 7 maggio, il giorno prescelto per “Operation Usa” (OpUsa). Numerosi gruppi hacker collegati ad Anonymous si erano dati l’obiettivo di attaccare in quella precisa data una lista di siti riconducibili al governo americano e a istituti finanziari basati in America, ma i risultati ottenuti sono stati piuttosto scarsi. Ne parliamo con l’avvocato Stefano Mele, Coordinatore dell’Osservatorio “Infowarfare e Tecnologie emergenti” dell’Istituto Italiano di Studi Strategici “Niccolò Machiavelli”.
Si può parlare di “flop” per la “Operation Usa” di questo 7 maggio?
Dal punto di vista dei risultati raggiunti, in termini di siti mandati in tilt o di dati rubati rispetto alle altre “operazioni”, sicuramente sì. Sono stati colpiti pochi obiettivi, di scarso rilievo, e talvolta nemmeno basati in America. Alla luce di questo esito, il precedente flop di “Operation Israel” può quasi sembrare un successo. Tuttavia l’esito di operazioni di questo genere non va valutato solo in termini di danni effettivamente creati, quanto di visibilità ottenuta. Anonymous e gli altri gruppi affini, quando agiscono da soli, hanno interesse a creare attenzione su alcuni specifici temi – in questo caso i crimini di guerra degli Usa – e con le loro azioni creano più “grattacapi” che non serie minacce alla sicurezza nazionale. Il 7 maggio poi l’impatto degli attacchi hacker è stato scarso anche perché si era diffuso in diversi gruppi il sospetto che si trattasse di una “trappola”.
In che senso una trappola?
È molto più facile per un governo rintracciare un hacker sapendo quando e dove colpirà, e farlo mentre l’attacco si sta svolgendo, piuttosto che doverne ricostruire le mosse a posteriori. Avendo una data e una lista di obiettivi possibili, le autorità governative hanno vita più facile. Per questo alcuni gruppi di hacker hanno disertato la “Operation Usa”. In particolare diversi gruppi arabi e nord africani – che con l’ala occidentale di Anonymous condividono la critica all’imperialismo americano – hanno evitato di partecipare pensando ad una “trappola”. E sono tra quelli con le capacità più sviluppate per portare avanti attacchi DDoS (cioè quando un sito viene bombardato di richieste fino a renderlo irraggiungibile, ndr).
Prima ha detto, riferito ad Anonymous e ad altri gruppi hacker, “quando agiscono da soli”. Ci sono casi in cui agiscono “in compagnia”? E di chi?
Viene ritenuto molto probabile che dietro alle azioni più dannose per la sicurezza nazionale attribuite ad Anonymous ci siano degli Stati che o agiscono direttamente “mascherandosi” da hacker, oppure forniscono agli hacker – sempre sotto mentite spoglie – le informazioni necessarie per svolgere l’attacco informatico. Per il momento solo gli Stati hanno infatti la disponibilità economica e le informazioni d’intelligence utili per generare attraverso il cyber-spazio dei danni ad un altro Stato che abbiano un livello di qualità/pericolosità classificabile come “national security”. Di recente, ad esempio, la società di sicurezza Mandiant ha diffuso un rapporto in cui collega l’attività di alcuni gruppi di hacker cinesi direttamente al governo di Pechino. Lo stesso caso “cablegate” del 2010, quando Wikileaks diffuse migliaia di documenti riservati, è probabile che abbia visto l’ingerenza di qualche Stato. Insomma, quando arriva una “spintarella” la differenza si vede.
Ma perché Anonymous non denuncia le ingerenze?
Prima di tutto perché è molto complesso capire anche dall’interno chi fa cosa. In secondo luogo ad Anonymous conviene che gli venga attribuito più potere di quello che ha realmente. Alimenta un’aura inquietante che, da un punto di vista dell’immagine, torna molto utile. Ovviamente anche gli Stati ci marciano sopra. Ad esempio gli Stati Uniti possono sfruttare casi come quello di “OpUsa” per aumentare l’interesse pubblico per le questioni relative alla cyber-security e giustificare quindi maggiori finanziamenti governativi al settore. Dovrebbe essere compito dell’informazione riportare alle sue reali dimensioni il livello di pericolosità di questo genere di gruppi e delle loro azioni.
Dimensioni reali che, a suo giudizio, sembrano piuttosto modeste…
Dipende dal parametro che vogliamo adottare. Se stiamo parlando di creare scompiglio, DDoS, defacement, leaking (trafugare, ndr) di credenziali di accesso, email o documenti, Anonymous è molto efficace. Se stiamo parlando di danni tali da compromettere la sicurezza nazionale allora sì, la portata del pericolo che gli hacktivist possono creare è decisamente modesta. Che poi – senza voler assolutamente sottostimare le capacità, le azioni e le cause perorate da gruppi come Anonymous – siamo davvero sicuri che il loro obiettivo sia proprio quello di colpire obiettivi di così “alto livello”? Io, onestamente, non ne sono così sicuro. Ed è con questa convinzione – unitamente a quella per cui gli manca anche la capacità di creare danni di alto profilo – che, quando ciò accade, resto convinto di non avere più di fronte solo un gruppo di hacktivist.
Ed è possibile che organizzazioni criminali di hacker, o ancora Stati, approfittino del “rumore di fondo” creato da azioni come OpUsa per fare danni ben maggiori? Che anzi la cosa sia addirittura concordata preventivamente?
Io non credo molto nella teoria del complotto. Anche perché in realtà questo “rumore di fondo” è più che altro un disturbo per i professionisti. Se io voglio rubare informazioni da un sito, ad esempio, ho tutto l’interesse che non vada contemporaneamente in tilt attraverso un attacco DDoS portato a segno da un gruppo di hacktivist. Così come, se trovo una falla in un sistema e attraverso questa riesco a sottrarre dati preziosi, sarebbe controproducente se un hacker trovasse la stessa falla e poi pubblicizzasse su Internet la sua impresa: la vulnerabilità del sistema, infatti, sarebbe risolta e l’operazione di spionaggio compromessa. Si può dire che da un certo punto di vista le azioni di Anonymous possono risultare addirittura utili per testare la sicurezza dei sistemi informatici, far suonare qualche campanello di allarme e permettere agli specialisti di correre eventualmente ai ripari prima che “qualcun altro” sfrutti le medesime tecniche, ma facendo meno “rumore”. Aggiungo una riflessione: l’interesse dell’opinione pubblica viene troppo spesso dirottato su fenomeni come quello di Anonymous e simili, che, come detto, fanno tanto rumore ma hanno scarsa pericolosità. Non si parla quasi mai invece di quello che è il vero problema della cyber-security (anche sotto il profilo della sicurezza nazionale ed economica di un Paese), cioè le attività di spionaggio ed il furto di proprietà intellettuale e dei segreti industriali. C’è scarsissima consapevolezza del problema, gli investimenti per prevenire tali crimini sono troppo bassi e nel frattempo fiorisce un commercio di informazioni rubate dal valore milionario.
Se un domani venisse lanciata una “Operation Italia” saremmo in grado di reggere il colpo come Israele e Stati Uniti, o rischieremmo il caos?
A livello di danni poco gravi ma molto diffusi pagheremmo un prezzo elevato. Non è un mistero che il livello di sicurezza delle nostre infrastrutture tecnologiche, sia pubbliche che private, nella quasi totalità dei casi sia abbastanza basso. Attacchi DDoS, defacement, leaks e simili andrebbero a creare diversi problemi. Se spostiamo l’attenzione su una minaccia per la sicurezza nazionale, invece, anche in Italia dovremmo essere abbastanza sicuri. Ma il condizionale è come sempre d’obbligo.
