Stamattina centinaia di presidi hanno aperto la posta e ci hanno trovato una bomba. Finta, come si è capito in poche ore, ma intanto bisognava evacuare. Per molti giornali è un attacco hacker: la stessa etichetta usata la settimana scorsa per gli aerei dirottati da falsi allarmi bomba, e da un mese per i frigoriferi dei supermercati che si scaldano da soli.
Tre notizie, spesso nello stesso titolo. Secondo me le prime due vanno insieme e la terza va tenuta separata, e vale la pena capire perché.
Cosa è successo oggi nelle scuole
L'11 novembre un’email minatoria è arrivata a 312 scuole italiane, secondo il ministro Valditara: una ventina solo a Roma, poi dalla Basilicata al Friuli (Il Foglio). La firma è di un certo “Mikhail Andropov”, sedicente capo di un fantomatico “Vilayat di Misoginistan”. Il testo parla di ordigni negli edifici e di un “genocidio di italiani”. Messaggi simili sono arrivati oggi anche a scuole in Irlanda, Irlanda del Nord e Scozia (CyberSecItalia).
Non è la prima volta. Il 2 novembre un’altra email aveva raggiunto 271 scuole: quella volta il mittente diceva di parlare per i Guardiani della Rivoluzione iraniani e citava perfino un volo Ryanair in quel momento in aria (IBTimes). A Roma 1.800 tra studenti e personale del complesso Giovanni Cagliero sono finiti in un parco. Di esplosivo, nessuna traccia.
Valditara ha detto che il rischio concreto è “pressoché inesistente”. Meloni ha convocato alle 16 a Palazzo Chigi ministri, intelligence e Agenzia per la cybersicurezza nazionale.
In mezzo, gli allarmi bomba sugli aerei
Tra le due ondate sulle scuole sono arrivati gli aerei. Il 3 novembre una prima serie di minacce aveva colpito una manciata di voli in Europa, due diretti a Roma. Il 5 novembre, tra le 9:55 e le 11, è toccato ad almeno 25 voli (AGI):
- un Finnair da Helsinki a Fiumicino è stato scortato da due Eurofighter decollati da Grosseto ed è atterrato regolarmente;
- un Aer Lingus da Dublino a Roma è stato intercettato dai caccia francesi e fatto atterrare alla base militare di Évreux, in Normandia, dopo che il comandante aveva rifiutato quella destinazione;
- un Wizz Air da Malpensa a Varsavia è finito a Vienna, tre Ryanair sono atterrati d’emergenza in Bulgaria.
Il giorno dopo un Wizz Air da Praga a Roma è stato dirottato a Venezia, l’Ungheria ha fatto decollare i caccia tre volte e le minacce sono arrivate anche alle redazioni: la sede della RTÉ a Dublino è stata evacuata, Nova TV in Bulgaria ha ricevuto lo stesso messaggio. La firma era quella di oggi, “Mikhail Andropov”, e secondo Il Foglio quei messaggi rivendicavano anche gli allarmi sui voli (Al Jazeera).
Il metodo, di nuovo, era la posta. A Malpensa un’email anonima in italiano arrivata a un ufficio pubblico diceva che avrebbero messo una bomba sugli aerei. Ad Aeroporti di Roma le email avevano come oggetto “segnalazione minaccia” e venivano, secondo Il Post, da un gruppo estremista russo che predica odio contro donne e omosessuali. Lo stesso tema del “Vilayat di Misoginistan” che firma le email alle scuole.
Nessuno ha ancora attribuito ufficialmente queste minacce, e il commissario europeo ai trasporti ha detto che è presto per dire se siano collegate. Ma firma, tono e metodo si somigliano parecchio. Il ministro Crosetto l’ha chiamata “guerra sotto soglia”.
Gli allarmi bomba su scuole e voli sono un attacco hacker?
Qui faccio il pignolo. Mandare la stessa email a trecento scuole o a un ufficio di Malpensa non è un attacco informatico. Nessuno è entrato nei sistemi delle scuole, nessuno ha rubato dati. Gli indirizzi delle scuole sono pubblici, sono sul sito di ogni istituto.
Al massimo c’è un account rubato o un mittente falsificato. Ho visto l’email arrivata oggi a una scuola: oggetto “Avviso di pericolo”, partita alle 10:00 da un account della posta cloud della Dayeh University, a Taiwan (cloud.dyu.edu.tw), scritta in italiano. Il 2 novembre il mittente era invece un indirizzo collegato al ministero dell’istruzione egiziano. Dice poco su chi le ha scritte: sono i classici indirizzi presi in prestito, probabilmente di qualche studente che non sa nemmeno di averli prestati.
Il punto debole sfruttato non è un software ma una procedura. Una scuola che riceve una minaccia di bomba deve evacuare, e fa bene: il preside non può sapere che la stessa email è arrivata ad altre 311 scuole. Il ministro sì, ed è per questo che può dire che è poco credibile. Dal singolo istituto, la stessa email sembra vera. Con gli aerei è lo stesso, solo più caro: nessuna autorità può permettersi di ignorare una minaccia su un volo in aria, quindi si dirotta, si fanno decollare i caccia, si sbarcano i passeggeri in un’area sicura.
È lo stesso trucco di ottobre nel Regno Unito, quando circa 300 scuole tra Irlanda del Nord e Scozia avevano ricevuto un messaggio identico (Euronews). Costo per chi lo fa: un’ora e una lista di indirizzi. Costo per chi lo subisce: mattine perse, genitori in ansia, forze dell’ordine impegnate a controllare palestre vuote.
I frigoriferi, invece, sono un attacco hacker vero
La storia dei frigoriferi è un’altra cosa. Qui qualcuno è entrato davvero nei sistemi.
Francia, 11 e 12 ottobre. Circa 700 punti vendita colpiti: Carrefour, Leclerc, Intermarché, Casino, Metro, ma anche macellerie, un macello e impianti di trasformazione. Gli attaccanti hanno preso il controllo dei controller Danfoss che gestiscono la refrigerazione e hanno cambiato da remoto le impostazioni di sbrinamento, mandando i banchi frigo in riscaldamento continuo. Risultato: decine di milioni di euro di cibo da buttare e almeno 15 incendi (BleepingComputer). Il 9 novembre la Francia ha attribuito l’attacco a Shahid Kaveh, un’unità dei Guardiani della Rivoluzione iraniani, ha convocato l’ambasciatore e chiesto sanzioni europee.
Europa, 2 novembre. Una seconda ondata ha colpito più di 115 negozi in sei Paesi, tra cui Svezia, Belgio, Irlanda, Lussemburgo ed Estonia. Questa volta nessuna attribuzione ufficiale: la Francia parla solo di ottobre, e la rivendicazione di gruppi filorussi del 4 novembre non è verificata.
Italia. Qui l’impatto è stato limitato, secondo Palazzo Chigi: qualche supermercato in Sicilia e, fra gli altri, la SIAF di Bagno a Ripoli, che prepara i pasti per mense scolastiche e ospedali del Fiorentino. L’azienda dice di aver visto subito l’anomalia e che il servizio non si è mai fermato (NewsIstruzione). Quindi sì, le scuole c’entrano anche qui, ma di striscio.
Come ci sono entrati? Nessun genio del male. Secondo l’Agenzia per la cybersicurezza nazionale, in Francia sono stati sfruttati impianti vecchi, pannelli di amministrazione raggiungibili direttamente da internet e autenticazione debole (Adigitali). Danfoss ha ammesso che due dei controller più colpiti non ricevevano aggiornamenti da anni. Secondo Sky TG24, i servizi di refrigerazione collegati in rete e trovabili con un motore di ricerca sono circa 13.000 (Sky TG24).
Tradotto: qualcuno, anni fa, ha messo il frigo in rete per poterlo controllare dal telefono durante il weekend. Poi nessuno l’ha più toccato.
Il filo comune: costano poco e fanno tanta paura
Il ministro Piantedosi parla di un’iniziativa coordinata a livello europeo. Per scuole, aerei e redazioni la firma comune lo fa pensare, anche se un autore non c’è ancora. Per i frigoriferi c’è un’attribuzione solo per ottobre, all’Iran. E non è detto che chi scrive da un indirizzo taiwanese sia la stessa persona che riscalda i congelatori svedesi.
Quello che queste storie hanno in comune, secondo me, è l’economia. Con un’email si evacuano 312 scuole o si fanno decollare due Eurofighter. Con un controller dimenticato su internet si buttano tonnellate di cibo. Chi attacca spende pochissimo, chi si difende spende tempo, soldi e tranquillità. È la definizione più semplice di guerra ibrida: non serve distruggere niente, basta costringere l’altro a reagire.
E c’è un effetto collaterale che mi preoccupa più delle bombe finte. Se ogni email minatoria diventa “attacco hacker”, la parola smette di voler dire qualcosa. E quando arriva un attacco vero, come quello dei frigoriferi, sembra solo un’altra notizia del filone.
E a casa nostra?
Il 10 novembre il direttore di ENISA, l’agenzia europea per la cybersicurezza, ha avvertito il Parlamento europeo che i prossimi bersagli potrebbero essere router ed elettrodomestici (ANSA). Non è fantascienza: il meccanismo è identico a quello dei supermercati.
Lo dico con un po’ di imbarazzo. Pochi giorni fa, mentre scrivevo il post su Node2Shell, ho controllato cosa esponeva il mio Mac sulla rete di casa. Ho trovato database e servizi in container Docker raggiungibili da qualunque dispositivo collegato al Wi-Fi, perché le porte erano aperte verso tutta la rete invece che solo verso il Mac. Su internet non arrivavano, ma l’errore era lo stesso dei frigoriferi: roba messa in rete per comodità e dimenticata.
Quindi, senza ansia, quello che vale la pena fare:
- cambia la password di amministrazione del router, se è ancora quella stampata sotto;
- disattiva UPnP, se non sai a cosa ti serve: è la funzione che apre porte verso internet senza chiederti niente;
- aggiorna router, telecamere e prese smart, e se un dispositivo non riceve più aggiornamenti spostalo sulla rete ospiti;
- prima di comprare un elettrodomestico “smart”, chiediti se ti serve davvero accenderlo dal telefono.
Per le scuole, invece, la tecnica serve a poco. Serve che qualcuno, sopra il singolo preside, veda subito che la stessa email è arrivata a trecento istituti e lo dica in fretta a tutti, prima che i cortili si riempiano.
E tu, a scuola, in aeroporto o al lavoro, hai visto da vicino una di queste storie? Scrivimelo.
Fonti: AGI, Il Post, Al Jazeera, Il Foglio, CyberSecItalia, IBTimes, Euronews, BleepingComputer, Security Affairs, Sky TG24, Adigitali, NewsIstruzione, ANSA.