Fa paura un Paese che va in tilt per una mail, non la guerra ibrida

Stiamo ai fatti, per un attimo.

Qualcuno scrive una mail volutamente grottesca e surreale, minacciando un attentato.

La invia a un numero imprecisato di istituti scolastici italiani, dall’indirizzo di posta elettronica  – chiaramente fittizio – di un’università di Taiwan. 

I dirigenti scolastici, in larga maggioranza, decidono di evacuare le scuole in via prudenziale e numerosi genitori sono costretti ad abbandonare il lavoro per andare a prendere i figli a scuola prima del tempo.

Fine.

È un attacco hacker? No, perché nessuno viola nessun sistema protetto.
È un attacco con tecnologie altamente sofisticate? No, vent’anni fa avrebbero potuto farlo uguale.
È un deliberato atto di guerra ibrida? No, per quanto ne sappiamo potrebbe pure essere stato lo scherzo di qualche buontempone, o un’esercitazione.

E allora perché quel che è successo ieri ci preoccupa tanto?

Semplice: perché abbiamo scoperto di essere incredibilmente vulnerabili e inadeguati a rispondere anche al più piccolo attacco. Per due motivi principalmente.

Il primo: perché non abbiamo gli strumenti  per decidere se una mail che minaccia una bomba nelle scuole o sugli aerei sia credibile o meno. Se abbiamo adottato scelte figlie della massima prudenza – evacuare una scuola, dirottare un volo – non è perché abbiamo deciso che quella minaccia fosse seria e credibile, ma perché non avevamo modi e strumenti di accertare che non lo fosse.

Partendo da questa evidenza, da domani analoghe mail potrebbero raggiungere gli uffici, gli ospedali, gli stadi, qualunque luogo e fermare l’Italia. Non perché minacce  serie e credibili, lo ripetiamo, ma perché non abbiamo gli strumenti per decidere se lo siano o meno. Non un protocollo, non soggetti preposti a farlo.

Il secondo: perché non sappiamo andare a prendere chi manda quelle mail. Basta una VPN e l’utilizzo di un indirizzo fittizio di posta elettronica, come in questo caso, per rendere invisibile e inafferrabile l’autore di un simile attacco. Lo ripetiamo: parliamo di tecnologie quasi obsolete e di minacce o attacchi che potevano essere realizzati in modo del tutto analogo anche dieci anni fa.

È del tutto fisiologico, anche se comunque preoccupante, che il nostro Paese non sia pronto a rispondere a strumenti di guerra ibridi come, ad esempio, spyware sofisticatissimi, strumenti di intelligenza artificiale in grado di bucare le infrastrutture strategiche, virus informatici che possono tenere sotto ostaggio i sistemi di pagamento. Che non sia in grado di rintracciare il mittente di una mail, concedetecelo, è un po’ meno fisiologico. 

La realtà è che non sappiamo chi ha lanciato questo attacco, né che scopo avesse. Di sicuro, però, ci ha mostrato impietosamente quanto siamo inadeguati e impreparati, anche di fronte a una semplice email dal contenuto grottesco e surreale. E soprattutto quanto lo siano i soggetti preposti a difenderci, o a definire protocolli di risposta tali da non generare panico, di fronte ad attacchi di questo tipo, a partire da enti mitologici come l’Agenzia Nazionale per la Cybersicurezza. 

Ed è questo che deve farci davvero paura, almeno per ora. Non la Russia, o l’iran, o chi volete voi.