Cyberwar, “Basta parole, è ora di difenderci”. Il cto di Microsoft spiega perché l’Italia è nel mirino degli hacker russi e come rispondere

• di Thomas Mackinson
• 16 Maggio 2022

Dopo i siti del Senato e della Difesa gli hacker volevano oscurare anche l’Eurovision, portando un’azione di disturbo a livello continentale, con decine di attacchi durante la serata inaugurale che si sono ulteriormente concentrati quando sul palco è salita la band ucraina. Sono stati sventati dai poliziotti e tecnici del Centro anticrimine informatico che sorveglia e protegge le infrastrutture critiche del Paese. I Tor provenivano dalla Cina, a dimostrazione che la cyberwar è si globale e segue logiche geopolitiche che si possono tracciare come linee seguendo le alleanze strategiche su scala mondiale che l’invasione di Putin ha rinsaldato. Non a caso, anche in Italia, gli attacchi dei cybersoldati di Mosca contro Roma si sono moltiplicati fin dalla notte in cui ordinò l’invasione dell’Ucraina. Siamo dunque nel pieno di una “guerra parallela”, a colpi di codice? E con quali rischi e costi per l’Italia?

Lo abbiamo chiesto a Carlo Mauceli, esperto di cybersecurity e Chief Technology Officer di Microsoft Italia, la piattaforma più attaccata al mondo, che solo da dicembre ha gestito personalmente 15 attacchi. Non crede sia imminente un attacco cyber diretto a produrre sconvolgimenti sociali ed economici, comunque possibile. Ma è convinto che in caso succedesse, per come siamo messi in Italia, saremmo i primi a finire in ginocchio. Perché lo Stato ben poco fa per proteggere le infrastrutture critiche e ancor meno per formare il personale in grado di rispondere e prevenire. E’ invece certo che le vulnerabilità al momento vengano sfruttate, non solo dalla Russia, per manipolare l’informazione e l’opinione pubblica “che è un arma volendo anche peggiore”.

E allora, facciamo un tuffo nella “cyber sfera” per capire cosa ci aspetta, come siamo messi. Con un’avvertenza: fosse per l’uomo della cybersicurezza di Microsoft, più che alle facciate dei condomini il governo dovrebbe pensare a mettere in sicurezza le infrastrutture critiche del Paese, anche con sgravi fiscali per le impese più piccole. E chiudendo così le porte a un “nemico “che non si vede ma colpisce sempre di più e sempre più forte: negli ultimo anno e mezzo la rete di Double Extorsion ha censito per l’Italia ben 175 attacchi, più di uno ogni tre giorni.

Siamo alla vigilia di una cyberwar?
Il mio parere personale è che ci siano le premesse e i segnali, ma che siamo ancora lontani dal salto di qualità di una guerra in cui si assiste ad azioni di natura propriamente terroristica, che mettano in ginocchio le infrastrutture del Paese. Per capirci, come quella che l’anno scorso colpì i sistemi dell’acquedotto della Florida mettendo a rischio la vita della popolazione. Gli attacchi di questo tipo hanno come obiettivo il disordine sociale. Quelli cui assistiamo ora sono perlopiù azioni di disturbo convenzionale, fatti per estorcere denaro oppure a fini di propaganda. Ecco, in questa fase – se posso dire – le armi cibernetiche della Russia, ma non solo, sono più orientare a manipolare l’opinione pubblica occidentale tramite la disinformazione in rete. E non dico che sia un’arma meno pericolosa, anzi. Influenzare l’opinione pubblica oggi, attraverso ad esempio le fakenews, è una forma di cybercrime. La Nato la codifica proprio così. E c’è chi effettivamente ha creato palazzi dove stipa smanettoni e militanti per supportare campagne politiche.

Ma siamo certi che siano attacchi di matrice russa?
Benché a volte non siano rivendicati apertamente, questo mi pare certo. Siamo in una situazione nella quale di fatto già si scontrano due mondi, quello occidentale e l’orientale. Da una parte i paesi aderenti alla Nato e dall’altra la Cina, la Russia, Vietnam e Corea del Nord. Che hanno investito in eserciti cibernetici importanti, e nel corso dell’ultimo anno hanno intensificato gli attacchi verso Ovest, gli Usa e l’Europa. Noi siamo oggetto di moltissimi attacchi, stante la debolezza dei nostri sistemi informatici.

Ecco, parliamo della nostra capacità difensiva
Che posso dire, la situazione è drammatica. Negli ultimi anni non c’è stato alcun reale investimento sulle infrastrutture digitali. Si è tanto parlato di industria 4.0 e digitalizzazione, ma il buon senso imporrebbe che fai queste cose solo quando la tua infrastruttura tecnologica di rete è sicura. Non c’è viaggio tecnico se non metto al centro la sicurezza dei mie sistemi. Purtroppo in Italia questo non è avvenuto. Con una grande differenza nel mondo pubblico e privato, e nel privato tra grande e piccola impresa. Le grandi aziende hanno i mezzi e investito abbastanza in sviluppo e sicurezza, e si trovano in una condizione di fatto migliore di prima; dall’altra parte abbiamo il tessuto socioeconomico italiano di pmi, dove la sicurezza è una chimera e questa debolezza diventa una porta di accesso per attacchi che è sempre aperta. Da parte dello Stato dovrebbe esserci più attenzione.

Insomma, ci vorrebbe un “bonus IT” al pari dei condomini?
Diciamo che la protezione delle infrastrutture informatiche è un fattore strategico ormai ineludibile ma richiede grandi investimenti che non tutte le aziende sono in grado di affrontare. Spesso si è dato la colpa ai pochi investimenti che fanno i privati. Ma una politica di sgravi fiscali a sostegno degli investimenti che le aziende italiane fanno in sicurezza potrebbe cambiare le cose, ma se neppure le aziende dello Stato sanno farlo, temo che sarà dura arrivarci.

Sistemi di biglietteria ferroviaria, siti del governo, grandi aziende pubbliche: neppure lo Stato sembra capace di prevenire un attacco e difendersi…
Del pubblico forse è meglio tacere proprio. Io come Microsoft mi sono trovato a gestire diversi attacchi a grandi clienti, almeno 10/15 da dicembre ad oggi. Quello che rilevo è che la stragrande maggioranza non sfruttavano vulnerabilità nuove, dovute alla scrittura del codice, ma vecchie di almeno tre anni, Per le quali erano da tempo disponibili la patch, dunque il problema è un altro, perché la risposta c’era.

Ed è molto complicata?
Vuole ridere? Parliamo di protezione dei sistemi. Ogni cittadino munito di cellulare oggi può sbloccarlo usando l’impronta digitale o il riconoscimento facciale. E’ una tecnologia disponibile anche per infrastrutture It in ambito aziendale. Ma le posso garantire che la stragrande maggioranza delle imprese pubbliche e private impiega ancora user e password, facendo così la gioia di chi li attacca. Basta usare un sistema a doppia autenticazione per iniziare a mettere sistemi e dati in sicurezza. Ed è una cosa tanto più necessaria se distribuisci certificati, detieni dati sensibili etc.

Al cuore del nostro ritardo cosa c’è?
C’è una clamorosa assenza di formazione e di gente capace di capire di cosa stiamo parlando. Sicuramente abbiamo fatto dei passi avanti con le norme e le infrastrutture organizzative, l’Agenzia per la sicurezza nazionale ne è un esempio e anche alcuni framework nazionali di sicurezza. Ma queste cose le devi mettere a terra e questo non avviene, perché da un lato mancano le professionalità specifiche, dall’altro esiste una distanza enorme tra chi fa politica e chi è sul “finder” tutti i giorni. Io che ci sto tutti giorni lo so, ma chi è dall’altra parte secondo me non capisce, non è in grado di farlo ma ciononostante ha la presunzione di saperlo. E forse è il problema più grande.

Non possiamo imparare dagli altri?
Il denominatore della vulnerabilità a livello di sistema Paese è proprio la mancanza di formazione. Nel 2022 non puoi pensare di non formare sistematicamente le persone perché rispondano oggi più avanzata in mano al crimine e ai paesi ostili. I ragazzini devono essere formati con una “scuola del digitale” che da noi manca e altrove c’è.

Quanto costa al Paese avere il fianco scoperto?
Attacchi come quelli DDos che hanno colpito i siti del Senato, della Difesa o dell’Istitut0 Superiore di Sanità non tanto. Sovraccaricano i server di rete per farli crollare e provocano un interruzione di un servizio, ma si esaurisce nell’arco di tempo necessario a ritirare su server e sito. Quello che costa davvero è un attacco di tipo ramsomware, perché danneggia i dati critici e l’infrastruttura e se non la ricostruisci da zero devi comunque fare un recovery che costa tanto sia in termini economici, di risorse e di tempo. Facilmente un danno così può costare milioni. Ci sono aziende, creda, che hanno dovuto lasciare a casa i dipendenti per questo e perfino fallire.

Un appello a chi non ci capisce niente ma decide?
Tutti dobbiamo prendere atto che dovremo convivere con questi scenari che la guerra rende solo più probabili. Se conosci il tuo nemico puoi difenderti, dice il libro sull’arte della guerra. Perché solo così sei in grado di affrontarlo. Ma per riconoscerlo e rispondere non bastano pochi esperti, servono investimenti pubblici e formazione. Lo dico perché mi confronto tutti i giorni con la vulnerabilità dell’Italia. Sento tante persone che parlano ma poche alla fine sanno davvero da un lato di cosa parla e dall’altra poi fanno.