Gli scenari dietro gli attacchi hacker ai freezer sono due: lone wolf o operazione di Stato

Alla fine la guerra ibrida è arrivata anche in Italia. O meglio, è arrivata in un modo che è stato visibile, evidente, quasi plastico. Solo settimana scorsa avevamo analizzato l’attacco hacker che aveva colpito alcune mail del sistema informatico gestito dalla Camera dei Deputati. Fra queste c’era anche quella di Giorgia Meloni, anche se nel suo caso specifico non era più la mail principale. Ora gli attacchi hacker hanno colpito i supermercati. È una campagna che abbiamo già visto in Francia a ottobre. Adesso una nuova ondata di attacchi ha colpito i distributori di Svezia, Estonia e Belgio. Il meccanismo è di fatto molto semplice. I freezer coinvolti in questi attacchi sono connessi a internet: gli hacker hanno avuto accesso ai software e hanno impostato il sistema in modalità de-frost, quella dove la temperatura viene aumentata per far sciogliere il ghiaccio e ripulire tutto. Il risultato è un attacco molto scenico e merce da buttare per milioni di euro.

In Italia i casi registrati sono diversi. Almeno quattro punti vendita Coop, di cui tre a Catania e uno a Palermo. L’Agenzia per la Cybersecurity Nazionale ha diffuso un'allerta rivolta a chi opera nella logistica e nei supermercati, spiegando che l’attacco è stato possibile perché i software che gestiscono questi sistemi sono ancora obsoleti: “Tramite lo sfruttamento di installazioni obsolete, interfacce di amministrazione esposte direttamente su Internet e carenze nei meccanismi di autenticazione, l’attacco ha consentito l’attivazione remota dei cicli di sbrinamento”. È probabile che nelle ultime ore le aziende che si occupano di questo settore abbiano iniziato ad aggiornare i loro programmi. Non è possibile però escludere altri attacchi. Al netto degli aggiornamenti e delle patch di sicurezza, i sistemi di difesa per questi software spesso non sono avanzati come quelli utilizzati su  altri dispositivi come pc e smartphone. Ora la domanda che aleggia attorno ai cibi scongelati e buttati via in questi giorni è un’altra: chi è stato?

Al momento gli scenari di cui si discute sono due. Il primo è quello di un lone wolf, un lupo solitario o al massimo un piccolo gruppo di hacker che ha deciso di seminare il panico sfruttando qualche falla facile da penetrare. Lo chiariamo. Questo è un tipo di attacco praticamente vandalico. Non vengono rubati dati, non ci sono riscatti da chiedere e il danno procurato non è strategico. Se volete fare un paragone è lo stesso effetto che si provoca spaccando una vetrina. Il secondo scenario è più complesso. Rafe Pilling, senior director for threat intelligence at the cybersecurity della società Sophos, lo ha spiegato al quotidiano The Guardian: “I due scenari di attribuzione più plausibili, a mio avviso, sono una sorta di segnalazione e dimostrazione di capacità da parte di uno Stato, oppure l'azione di un hacker solitario che conduce questi attacchi per motivi personali”.

Lo scenario che passa da un’operazione hacker organizzata da un attore statale non è facile da ricostruire. L’attacco non è venuto attraverso un malware, è come se qualcuno si fosse introdotto di notte in un palazzo e avesse spento tutti gli interruttori del quadro elettrico. Senza lasciare tracce. Eppure anche qui è qualcosa che abbiamo già visto. Da anni stiamo registrando gli attacchi del gruppo NoName, un collettivo di hacker legati in qualche modo alla Russia che ciclicamente si presentano sulla scena italiana per bloccare i siti di ministeri o altre infrastrutture. Qui parliamo di attacchi DDoS, interruzioni di servizi che raramente generano davvero qualche problema. Il 30 ottobre abbiamo assistito invece a un attacco hacker a Binance, la principale piattaforma per lo scambio di criptovalute. Sono stati sottratti 5,6 miliardi di euro in asset e i principali indiziati sono i gruppi TraderTraitor e Lazarus Group. Entrambe sono sigle legate storicamente al governo della Corea del Nord.