Attacco hacker, per colpire i criminali informatici sono “passati” da una porta lasciata aperta da due anni

La vulnerabilità del sistema era nota da due anni ed erano già stati resi disponibili gli aggiornamenti software per risolverla. Colpite le aziende che non hanno effettuato l'operazione. A palazzo Chigi vertice del governo per fare il punto sulle ricadute. Al momento nessun elemento per ricondurre l'attacco ad un soggetto statale ma sulla stampa italiana si scatena l'isteria

Niente di particolarmente nuovo sotto il sole. Certo, in considerazione della contingente situazione geopolitica le antenne sono particolarmente dritte, ma, secondo gli esperti il massiccio attacco informatico che si è verificato nel weekend non configura un evento di portata differente da situazioni simili che si sono verificate in passato. In altri termini non ci sono gli estremi, sicuramente non al momento, per ipotizzare un’escalation di una guerra informatica magari spalleggiata dalla Russia. Nel corso del fine settimana migliaia di computer sono stati infettati da un software malevolo, il tipico ransomware, ovvero un programma che cripta i dati e li rende inutilizzabili per l’utente. Per renderli nuovamente disponibili i criminali informatici chiedono un riscatto (ransom), solitamente da pagare in criptovalute. Non sempre tuttavia, anche una volta pagato, si rientra pienamente in possesso dei files. L’attacco ha riguardato sistemi di Stati Uniti, Canada, Regno Unito, Francia e Italia. Il 2 febbraio era stato “infettato” l’operatore inglese di prodotti finanziari derivati Ion. LockBit, il gruppo che ha rivendicato l’attacco a IOn ha affermato che il riscatto è stato pagato, la società non commenta.

In generale l’attacco che si è poi diffuso nel weekend non è particolarmente sofisticato, sfrutta una vulnerabilità della piattaforma VMware ESXi hypervisors per la gestione di server che era nota da anni e per cui era già stata diffusa una “toppa” (patche) dagli sviluppatori. Il virus si è quindi diffuso solo nei sistemi che non avevano proceduto ad effettuare l’aggiornamento del software. “Tecnicamente, è stata coinvolta la già citata piattaforma di Vmware, utilizzata dai sistemisti, anche per gestire servizi internet. Le aziende interessate, qualche migliaio al mondo, usavano sistemi non aggiornati ed esposti, ossia vulnerabili a problematiche note da un paio di anni”, ha spiegato Stefano Zanero docente di sicurezza informatica al Politecnico di Milano. Per Zanero, in Italia è possibile stimare dalle venti alle trenta aziende teoricamente implicate, di cui ancora cinque nelle ultime ore, con il virus che, se insediato, blocca i sistemi e chiede un riscatto per tornarne in possesso: “In percentuale è qualcosa di veramente contenuto rispetto al monte delle imprese attive. Sfruttiamo questi momenti per accelerare la cultura della sicurezza informatica, senza eccessivi allarmismi”.

Da febbraio 2021 “l’aggressione informatica “era stata individuata dall’Agenzia per la sicurezza informatica come ipoteticamente possibile” e “l’Agenzia aveva allertato tutti i soggetti sensibili affinché adottassero le necessarie misure di protezione. Taluni hanno tenuto in debita considerazione l’avvertimento, altri no e purtroppo oggi ne pagano le conseguenze”, riferisce Palazzo Chigi. Il governo ha anche specificato che al momento non ci sono particolari elementi per attribuire l’attacco a un’entità statale o supportata da uno stato. Peraltro, senza una rivendicazione, comunque da vagliare, l’attribuzione di un attacco informatico è operazione estremamente complessa e che richiede tempi lunghi. Il che rende piuttosto curiosa la reazione quasi da isteria di alcuni grandi quotidiani italiani. La Stampa, che dedica le sue prime tre pagine all’accaduto, si spinge fino a suggerire un ruolo di Mosca. Il Corriere della Sera a sua volta dedica al cyberattacco prima pagina e le due seguenti. Molto più defilata e succinta la notizia riportata sui principali giornali inglesi, francesi, spagnoli e statunitensi.

Nel frattempo è stata ripristinata la funzionalità dei sistemi informatici della multiutility Acea, vittima di un diverso attacco informatico lo scorso 2 febbraio tramite il virus Black Basta. I siti internet del gruppo e delle piattaforme online per la gestione degli aspetti commerciali delle forniture di acqua, elettricità e gas risultano operativi, così come per i clienti il servizio di contact center delle società del Gruppo, tra cui Acea Ato 2, Areti e Acea Energia. Lo rende noto l’azienda.