😈 HACKER buoni e MENO BUONI (e il migliore di tutti)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di hacker, sia buoni che cattivi. Questo video è diviso in due parti. Nella prima vedremo cosa significa davvero la parola hacker, un termine di cui la stampa ha spesso abusato e che oggi ha una connotazione quasi esclusivamente negativa, anche se così non dovrebbe essere. Nella seconda parleremo del più grande hacker della storia, il magnifico Kevin Mitnick, che è stato al centro di una caccia all'uomo da parte dell'FBI è finito in prigione e ha poi passato la seconda parte della sua vita a cercare di rendere più sicure le aziende. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare prima il primo video, poi il secondo, potete guardare direttamente questo che unisce già i due video. Buona visione! Immaginate di dover scaricare un modulo dal sito del vostro comune, una cosa da 5 minuti. Ma il sito non si apre. Riprovate più tardi, ancora nulla. Alla sera, al telegiornale, scoprite che non si è trattato di un guasto: è stato un attacco hacker. Ma chi c'è dietro? Un gruppo di cybercriminali che chiede un riscatto? Un attivista digitale che vuole protestare contro lo Stato? Un ragazzino che vuole solo fare dei danni per gioco? Oppure si tratta di un'operazione finanziata da un governo straniero? L'universo degli hacker è molto più complesso e sfumato di quanto comunemente si creda. La parola hacker evoca subito l'immagine stereotipata di un uomo con la felpa col cappuccio davanti a uno schermo nero pieno di numerini verdi. Ma questa è solo una piccolissima parte di una realtà molto più articolata, con una storia ricca, interessante e in continua evoluzione. Ma andiamo con ordine. Ciao a tutti e benvenuti in questo nuovo video. Devo farvi una confessione: ogni volta che nei miei video uso la parola hacker come sinonimo di criminale informatico, mi piange il cuore. È una parola che in realtà nasce come concetto positivo, o quantomeno neutro. E che oggi invece viene associata solo a malintenzionati e criminali. Per capire però perché dico che nasce con un'accezione positiva, dobbiamo fare un passo indietro. La nascita del concetto di hacker risale agli anni '60 all'interno dell'MIT, il Massachusetts Institute of Technology, una delle più importanti università di ricerca del mondo. Con l'avvento delle primissime forme di informatica iniziò a crearsi una comunità di studenti brillanti e super appassionati di tecnologia che amavano spingersi anche oltre oltre i limiti dei primi sistemi informatici. Il primo a utilizzare la parola hacker in particolare fu all'interno di un club studentesco dell'MIT dedicato al modellismo ferroviario. Gli studenti, per rendere i loro trenini più performanti e avanzati, iniziarono a creare sistemi complessi fatti di relè, resistenze, interruttori e così via, e adottarono il termine hacking per descrivere soluzioni creative ed eleganti a problemi tecnici. Un hack era considerato quindi un colpo di genio, un'innovazione che risolveva un problema in modo magari non convenzionale, ma comunque molto efficace. Con l'arrivo dei primi computer programmabili all'MIT, questi stessi studenti trasferirono il loro spirito creativo alla programmazione. Spacewar!, uno dei primi videogiochi della storia, sviluppato nel 1962 su un computer appunto dell'MIT, rappresenta l'essenza di quei primi hacking. Era divertente, era innovativo, mostrava incredibili capacità tecniche e soprattutto era condiviso liberamente con chiunque volesse usarlo o migliorarlo. Steven Levy, un ricercatore, nel suo libro del 1984 dedicato proprio alla nascita del mondo dell'hacking, mise nero su bianco un insieme di principi molto significativi per capire come ragionava in quel periodo la cultura degli hacker. I principi erano questi: 1, l'accesso ai computer dovrebbe essere illimitato e totale. 2, tutta l'informazione dovrebbe essere libera. 3, 3. Dovrebbe essere promosso il decentramento, quindi la tecnologia e l'informatica non dovrebbero essere sotto il controllo delle autorità e dei governi. 4. Gli hacker dovrebbero essere giudicati per il loro operato, non per titoli, età, razza o posizione sociale. 5. Con un computer si può creare arte e bellezza. 6. I computer possono migliorare la vita. Ora, non so voi, ma quando io ho letto questi 6 principi ho fatto fatica a conciliare il concetto di hacker proposto da Livi con quello che oggi propongono i media. Lui non stava in alcun modo promuovendo la criminalità, anzi, pensava che i computer possano effettivamente migliorare la vita. E questo è totalmente incompatibile con il timore che abbiamo oggi di essere bersaglio di malware e malintenzionati. L'hacker descritto da Livi non avrebbe mai mandato un malware a una persona comune o a un'azienda per fare del male. I principi di Livi poi sono ancora presenti oggi in moltissime comunità tecnologiche. Mi viene in mente il movimento per il software libero, le comunità open source, ma anche poi alcune moderne startup In questa visione originaria, l'hacker è un creatore, è un innovatore, è una figura positiva e propulsiva perché porta la tecnologia, diciamo, oltre i confini di utilizzo normali, ma per migliorarla, non per fare del male. Ma allora, come ha fatto questa parola ad assumere un significato totalmente diverso? Il primo cambiamento significativo nella percezione pubblica degli hacker avvenne negli anni '80, in realtà proprio quando Levy stava scrivendo i suoi principi. Nel 1983 esce infatti al cinema il film Wargames, Games. In italiano è stato tradotto con Giochi di Guerra, che racconta la storia di un giovanissimo hacker che dalla sua cameretta penetra quasi per sbaglio in un supercomputer militare statunitense, portando gli Stati Uniti a un passo da una guerra nucleare con i sovietici. Il film, che di per sé è molto carino, causò un effetto che forse gli sceneggiatori non avevano nemmeno immaginato. Il grande pubblico si stava avvicinando ancora molto lentamente ai computer, non erano nelle case di tutti, erano guardati ancora un po' con diffidenza, e soprattutto il grande pubblico non aveva mai sentito parlare degli hacker prima dell'uscita di questo film. Quindi automaticamente si iniziò ad associare la parola hacker a qualcuno che è talmente esperto di computer da poter fare qualunque cosa e da costituire addirittura una minaccia alla sicurezza nazionale. Non aiutò il fatto che in quello stesso anno un gruppo di 6 teenager di Milwaukee, noti come i 414 dal loro prefisso telefonico locale, fu arrestato per aver violato numerosi sistemi informatici, incluso il Laboratorio Nazionale di Los Alamos, dove fra l'altro si sviluppavano armi nucleari. Notizia che ovviamente finì su tutti i giornali proprio per la sua somiglianza con il film. Fu in questo periodo quindi che iniziò la biforcazione del termine. Da un lato c'erano ancora gli hacker originali, quindi quelli mossi da curiosità e spirito di innovazione. Dall'altro emergeva la figura del cracker, o pirata informatico, interessato a violare sistemi per profitto personale, per spionaggio, o anche solo per vandalismo. Questa distinzione divenne particolarmente importante per la comunità hacker tradizionale, che vedeva le proprie radici etiche e filosofiche messe in pericolo dalla crescente ondata di criminalità informatica. Iniziarono quindi a rimarcare più e più volte la distinzione fra hacker, nel senso nobile originario del termine, e cracker, il criminale informatico. Ma si scontrarono con un problema etimologico: dire che un cracker ha causato dei danni a dei sistemi informatici non fa notizia, semplicemente perché la parola cracker era già conosciuta associata al cibo e faceva molto meno presa della parola meno conosciuta hacker. Quindi i giornali e i telegiornali continuarono a parlare di hacker e lo fanno tuttora. Va precisato che non è che i criminali informatici non siano degli hacker, è che la parola hacker ha un significato neutro e comprende varie sottotipologie, alcune buone, altre cattive. In altre parole, tutti i criminali informatici sono hacker, ma non tutti gli hacker sono criminali informatici. E adesso vi spiego il perché. Oggi il mondo degli hacker può essere diviso in 3 macro categorie: White Hat o cappello bianco, Black Hat o cappello nero e Gray Hat, cioè cappello grigio. All'interno di ciascuna di queste categorie troviamo poi altre sottotipologie che adesso vi spiego con calma. Intanto partiamo da una cosa che forse vi state chiedendo: perché per identificare i 3 tipi di hacker si usano dei cappelli colorati? Questo modo di dire è un omaggio ad alcuni vecchi film western, mi viene in mente il Grinta, ma ce ne sono anche tanti altri in cui il personaggio buono indossa un cappello da cowboy bianco e il cattivo invece un cappello nero. E infatti gli hacker white hat sono gli hacker buoni, i black hat sono i cattivi e i grey hat sono una via di mezzo tra le due categorie. Partiamo dai white hat, che sono gli hacker originali. Sono persone esperte di informatica e di sistemi, perfettamente in grado di entrare nei sistemi e bucarli, ma che mettono queste conoscenze al servizio della sicurezza informatica. Questi esperti, che vengono chiamati anche ethical hacker, sono generalmente assunti da aziende, governi altre organizzazioni per trovare e correggere le vulnerabilità prima che possano essere sfruttate da dei malintenzionati. Quello che i white hat fanno per le aziende può consistere in varie cose. Abbiamo ad esempio i test di penetrazione, o penetration test, che sono delle simulazioni autorizzate di attacchi per verificare la robustezza delle difese. In pratica si chiede all'hacker di provare a entrare in un sistema per capire se effettivamente sicuro e robusto oppure no. Fanno anche analisi di vulnerabilità, quindi scansioni approfondite dei sistemi alla ricerca di falle di sicurezza. Spesso partecipano ai bug bounty, che sono dei programmi in cui le grandi aziende come Google, Microsoft, Facebook, eccetera, danno dei premi a chi trova e segnala dei bug e delle vulnerabilità nei loro sistemi. E possono anche sviluppare, ad esempio, degli strumenti difensivi come software per proteggere reti e dati. Dentro alle aziende più grandi o più attente alla sicurezza informatica troviamo poi altre due categorie di hacker, che però lavorano in team. Si parla infatti di blue team, termine che fa riferimento al gruppo di esperti che si occupa della difesa dell'azienda, interviene in caso di attacchi, cerca le vulnerabilità, eccetera, e di red team, che invece è il gruppo che prova a violare i sistemi dell'azienda simulando degli attacchi informatici per rilevare tutte le falle. In pratica, la squadra blu gioca in difesa e la squadra rossa gioca in attacco. Oggi questa distinzione fra blue team e red team è più sfumata, tanto che a volte si parla di Purple Team, cioè il gruppo viola, per indicare quei team che fanno entrambe le cose, quindi sistematicamente provano a violare l'azienda e contemporaneamente intervengono per risolvere i problemi. Come avrete capito, un requisito fondamentale per lavorare nella cybersecurity è non essere daltonici, visto che si fonda tutto sui colori. A parte gli scherzi, oggi essere un white hat è una professione molto rispettabile e anche ben remunerata. Ci sono ancora pochi esperti di cybersecurity, cosa che ovviamente ha fatto alzare gli stipendi, e molte aziende come dicevo prima, hanno dei programmi di bug bounty abbastanza generosi. Ci sono anche piattaforme che mettono in contatto le aziende con gli hacker etici, come HackerOne, nata proprio per aiutare produttori a eliminare le vulnerabilità dei loro sistemi. Quindi insomma, fare i white hat ha il proprio perché, e oltretutto si violano i sistemi ma in modo legale, quindi è anche divertente. Se i white hat rappresentano i buoni, i black hat rappresentano invece i cattivi. Nella categoria dei black hat rientrano i cracker, che sono i super esperti esperti di informatica che violano i sistemi per ottenere un profitto personale, che può essere una richiesta di riscatto, la copia illegale di un software, buttare giù un sito, eccetera. I cracker possono agire direttamente per i propri scopi criminali, quindi creando ad esempio un ransomware e lanciandolo contro un'azienda chiedendo un riscatto, oppure possono rendere la loro attività quasi un business. Si sta diffondendo sempre di più infatti il fenomeno del cybercrime as a service, dove cracker esperti creano soluzioni generali o personalizzate utilizzate e le vendono a chi poi lancerà l'attacco. Ad esempio, possono creare dei malware e venderli, come abbiamo visto nel caso di Blackshades. Possono rubare dei dati e venderli nel dark web per chi fosse interessato a servirsene. Possono creare delle botnet, cioè delle reti di dispositivi già infettati e pronti all'uso da noleggiare a chi volesse lanciare un attacco, e così via. Molte volte questi hacker si riuniscono in gruppi e agiscono proprio come se fossero una società, con tanto di dipendenti pagati e servizi di customer care, vendendo i loro servizi oppure anche agendo direttamente, ma in modo organizzato. Un esempio è il gruppo Carbanak, attivo più o meno fra il 2013 e il 2018, che riuscì a penetrare in oltre 100 istituzioni finanziarie in 40 paesi, sottraendo oltre un miliardo di dollari. Loro lavoravano in gruppo, con una divisione però molto attenta dei lavori. Si introducevano nei sistemi delle banche con delle mail di phishing mirate, studiavano le operazioni per mesi e poi effettuavano prelievi, spesso manipolando direttamente i sistemi dei bancomat in modo che erogassero contanti in momenti prestabiliti. Ciò che distingue questi cybercriminali dai black hat tradizionali è la professionalità e l'approccio commerciale. Hanno dei business plan, investono in ricerca e sviluppo, studiano il mercato per massimizzare i profitti e minimizzare i rischi. Alcune gang di ransomware arrivano persino a offrire un servizio di help desk alle loro vittime, con una chat di supporto per aiutarle nel pagamento del riscatto e poi per sbloccare i dati una volta fatto il pagamento. Mi viene da ridere per quanto è assurda la cosa. Nei i black hat rientrano però anche persone che riescono a violare i sistemi anche senza avere competenze esagerate di informatica, e sto parlando degli script kiddies e degli ingegneri sociali. Gli script kiddies, che si potrebbe tradurre con ragazzini degli script, occupano forse il gradino più basso della gerarchia dell'hacking. Il termine, che nell'ambiente è piuttosto dispregiativo, indica degli individui con scarse conoscenze tecniche che tentano di hackerare i sistemi utilizzando strumenti e script sviluppati da altri senza comprenderne realmente il funzionamento. In pratica scaricano tool già presenti sul web, seguono qualche tutorial su YouTube e lo lanciano a caso. Non hanno programmato il tool, non capiscono come funziona a livello tecnico, ma sono in grado comunque di causare dei danni semplicemente giocando con strumenti che non conoscono bene. Forse lo script kiddie più famoso è Mafiaboy, un quindicenne canadese— io l'ho detto che sono sempre dei quindicenni canadesi— che nel 2000 lanciò una serie di attacchi che misero temporaneamente fuori uso i siti giganti come Yahoo, eBay, CNN e Amazon. Fu il primo attacco DDoS conosciuto a livello globale. L'impatto fu così significativo che il presidente degli Stati Uniti Bill Clinton convocò immediatamente un summit sulla sicurezza informatica. Eppure Mafiaboy, per quanto amasse smanettare, non era un genio del computer. I suoi attacchi si basavano principalmente su strumenti sviluppati da altri, ma riuscì comunque a causare danni stimati in quasi 2 miliardi di dollari. Gli ingegneri sociali, su cui ho già fatto un video, sono hacker che violano sistemi per lo più tramite la manipolazione delle persone, a volte senza nemmeno toccare un computer. Se pensate che sia impossibile che qualcuno hackeri un sistema senza nemmeno avvicinarsi a un PC, lasciate che vi racconti un attimo di Stanley Mark Rifkin e di quello che ha fatto nel 1978. Rifkin lavorava a quel tempo per una ditta incaricata di creare un sistema di backup per una grande banca statunitense. Per questo motivo aveva imparato come la banca eseguiva i trasferimenti di denaro. Ogni giorno la banca generava un codice univoco che veniva dato ai cassieri. Quando un cliente chiedeva al cassiere di fare un bonifico, il cassiere doveva chiamare una sala centrale e dire il proprio numero di telefono e il codice del giorno. Solo così la sala centrale avrebbe potuto autorizzare il trasferimento di denaro. La banca furbescamente aveva instaurato un sistema molto efficace, ma i cassieri poco furbescamente lo avevano praticamente vanificato, dato che ogni giorno prendevano il nuovo codice, lo scrivevano su un bel fogliettino e poi lo appiccicavano in bella vista sui loro PC. Un giorno Lifkey per lavoro si trovava dentro la banca ed ebbe modo di vedere uno dei fogliettini con il codice del giorno. Uscì, andò a una cabina telefonica e chiamò la sala centrale. Disse di essere uno dei dipendenti, diede il numero di telefono di quel dipendente perché ormai li conosceva bene e diede il codice del giorno. Chiese poi alla sala centrale di trasferire 10 milioni e 200 mila dollari esatti a un conticino in Svizzera che guarda caso era intestato proprio a lui. Qui sorse un problema perché la sala centrale chiese allora un altro codice, il numero di transazione per trasferire i soldi in Svizzera, cioè il numero che usavano quando i soldi dovevano essere trasferiti in Svizzera. Lui non si fece prendere dal panico, disse che avrebbe controllato e richiamato. E cosa fece? Chiamò il dipendente che aveva impersonato dicendo: sono della sala centrale, mi serve il numero di transazione che usate per trasferire i soldi in Svizzera per fare delle verifiche interne. Il dipendente glielo diede senza battere ciglio, anche perché di fatto quello di per sé non era un'informazione sufficiente a fare dei danni molto gravi, o almeno così pensava. Rifkin richiamò la sala centrale, disse quell'ultimo codicino e si vide recapitare i suoi 10 milioni sul proprio conto corrente. Andò in Svizzera, li tramutò in diamanti e tornò in patria, dove venne beccato e fece anche qualche anno di carcere. Questo furto all'epoca entrò anche nel Guinness dei primati perché era quello in assoluto più consistente mai fatto negli Stati Uniti. Computer toccati in questa storia: zero. Oltre ai cracker, agli script kiddies e agli ingegneri sociali, abbiamo poi gli inside threat, che potremmo tradurre con minaccia interna. Sono dipendenti o ex dipendenti rancorosi e malintenzionati che sono particolarmente pericolosi perché hanno una conoscenza molto vasta di come funziona l'azienda e quindi sono in grado di fare più danni rispetto a qualcuno di esterno. Abbiamo poi i cyberterroristi che manipolano ad esempio la rete internet di uno stato o la rete elettrica o i sistemi di trasporto eccetera eccetera proprio per far sentire quello stato sotto attacco. Spesso in questi casi si parla anche di hacker state sponsored cioè finanziati da uno stato che ne vuole attaccare un altro, oppure di ATP, cioè Advanced Persistent Threat, minaccia avanzata e persistente. Loro si trovano al vertice della piramide dell'hacking in termini di risorse e di capacità, perché lavorando per governi o servizi segreti hanno accesso a dei budget enormi, a delle infrastrutture dedicate all'intelligence militare, e soprattutto hanno tempo, possono dedicare anche degli anni a singola operazione, con pazienza e risorse che nessun gruppo criminale può permettersi. L'esempio migliore di attacchi hacker state-sponsored è quello che è successo alle centrifughe nucleari in Iran con il malware Stuxnet, di cui ho già parlato un paio di settimane fa. Ma esistono davvero tanti hacker finanziati dagli stati, come anche il gruppo Lazarus collegato alla Corea del Nord. Va da sé che tutte queste categorie molto spesso non sono così distinte fra loro. Ad esempio, uno può essere sia un cracker che un ingegnere sociale, ed essere anche anche state sponsored. Però capire un attimo il contesto ci aiuta a far chiarezza su quali sono concretamente le minacce possibili. Fra i cappelli bianchi da una parte e i cappelli neri dall'altra troviamo giustamente i cappelli grigi. Ci sono tantissimi hacker infatti che non sono né completamente buoni né completamente cattivi. Ad esempio, se qualcuno entra illegalmente nel sistema di un'azienda, scopre che l'azienda sfrutta i lavoratori e decide quindi di diffondere la notizia online, si può considerare un grey hat. Non rientra fra i black hat perché non ha intenti criminali, ma non è neanche un white hat perché quello che ha fatto è illegale, mentre i cappelli bianchi per definizione agiscono solo se sono autorizzati e solo entro i limiti di quello che gli è stato chiesto di fare. È un grey hat anche chi, dopo aver scoperto una vulnerabilità, la segnala al proprietario del sistema, perché anche se l'intento non è cattivo, non aveva comunque l'autorizzazione per farlo. Un esempio emblematico di azione grey hat è quello che è stato chiamato CiscoGate. Nel 2005 Collin, un ricercatore di sicurezza che lavorava per una società che si occupava proprio di scoprire le vulnerabilità per conto delle aziende, scoprì una grave vulnerabilità nei router Cisco e decise di parlarne in occasione di un'importante conferenza sulla cybersecurity a Las Vegas. Presentò il programma del suo intervento, che venne accolto dagli organizzatori, preparò le slide e così via. Il giorno della conferenza i partecipanti trovarono il materiale del giorno praticamente mutilato, perché gli organizzatori avevano fisicamente strappato via le 30 pagine di intervento di Lin dicendogli che non poteva parlare di questa cosa. Il motivo probabilmente era che il tema della giornata era la sicurezza dei sistemi Cisco e il suo intervento avrebbe mostrato delle falle in questa sicurezza. Quindi Cisco, d'accordo anche con l'azienda per cui Lin lavorava, decise di bloccare tutto. Lin fu molto tranquillo, disse che comunque lui aveva un intervento di riserva già preparato, consegnò il nuovo materiale e salì sul palco. Parlò per 2 minuti del nuovo argomento, poi iniziò a raccontare ai partecipanti quello che era successo e quello che Cisco aveva cercato di fare, dicendo che preferiva perdere il lavoro piuttosto che tacere. Perse il lavoro. Sia Cisco che l'azienda per cui lavorava gli fecero causa, poi alla fine raggiunsero un accordo prima di andare in tribunale. Questo è un esempio di grey hat, perché anche se la ricerca sulla vulnerabilità era autorizzata, quindi operava in regime white hat, era stata poi revocata l'autorizzazione a parlarne, per cui Lynn scivolò di fatto nei grey hat. Fra i grey hat rientrano anche gli activist, gioco di parole che unisce la parola hacker con la parola attivista, che sono tutti coloro che violano i sistemi e fanno danni ma per uno scopo morale. Un attivista di cui più o meno tutti abbiamo sentito parlare è Edward Snowden, che nel 2013 ha diffuso informazione sui programmi di sorveglianza di massa attuati dalla NSA, l'Agenzia di Sicurezza Nazionale statunitense. Non lo ha fatto per guadagno personale, anzi ha rischiato veramente tanto, ma l'ha fatto perché lavorando per l'agenzia ha visto attuare queste pratiche e deciso di prendere le distanze e informare tutti i cittadini di quello che stava succedendo. Molto spesso gli activist si uniscono in gruppi accomunati da un ideale condiviso. Probabilmente l'esempio più noto di questo fenomeno è il collettivo Anonymous, nato negli anni 2000, orgoglioso di essere un movimento decentralizzato e senza leader mosso da scopi etici. Il gruppo ha fatto parlare di sé varie volte. Mi viene in mente quando, fra il 2010 e il 2011, lanciò l'operazione Payback contro le società di pagamento principali come Visa e Mastercard che avevano bloccato le donazioni a WikiLeaks, organizzazione senza scopo di lucro proprio per la libertà di parola e di pensiero. Un'altra categoria di grey hat è quella degli hacker ambigui, coloro che violano un sistema solo perché riescono a farlo. Un esempio di questa categoria è Charlie Miller, che nel 2015 insieme a Chris Valasek dimostrò di essere in grado di hackerare da remoto una jeep prendendo il controllo dello sterzo, dei freni, dei finestrini e così via. Alla fine i due inserirono il risultato di quello che avevano fatto in una ricerca che condivisero con la casa madre prima della pubblicazione. La Jeep rispose in realtà in modo ottimo, consentendo loro sia di pubblicare la ricerca sia di aiutarla a sistemare il problema, ordinando il richiamo di un milione e mezzo di veicoli per correggere la vulnerabilità. Questo è un esempio di come alla fine i contorni fra i vari tipi di hacker siano abbastanza sfumati. Loro sono partiti come grey hat, però hanno poi avuto l'autorizzazione successiva dalla casa madre, quindi in qualche modo si sono trasformati in White Hat. Se parliamo di trasformismo però, nessuno può battere Kevin Mitnick. Nato come script kiddie, trasformatosi molto rapidamente in cracker, riconosciuto come padre dell'ingegneria sociale, divenuto poi Gray Hat per allontanarsi dal mondo della criminalità informatica, è finito per essere uno dei migliori White Hat in circolazione. Ma della sua storia parliamo nel video di domani. Per tirare un po' le fila del discorso, penso che sia chiaro a questo punto che l'universo degli hacker è un ecosistema complesso e molto stratificato, dove le motivazioni, le capacità e l'etica variano enormemente. Il movimento hacker, partito dalla semplice curiosità accademica degli studenti dell'MIT, oggi comprende esperti di sicurezza informatica, cyberterroristi, criminali, commercianti super organizzati, attivisti e una miriade di sfumature nel mezzo. Come in ogni ambito umano, non esistono delle categorie pure, in pratica. Ogni hacker è un individuo con la propria storia, le proprie motivazioni e la propria etica. Molto spesso accade che dei black hat vengano condannati per le loro attività illecite e poi vengano assunti come esperti di sicurezza per grandi aziende, diventando quindi dei white hat. Così come succede che hacker finanziati dallo Stato decidano di perseguire altri ideali e diventare degli activist, e così via. A mio parere, lo spirito originario dell'hacking, quindi la curiosità intellettuale, il pensiero laterale, la passione per il superamento dei limiti tecnologici resta un valore molto prezioso. È lo stesso spirito che ha portato all'invenzione di internet, del personal computer, del web, del software open source. Spero quindi che da oggi in poi, quando mi sentirete parlare in modo generico di hacker, sappiate comunque che come termine non indica automaticamente il cybercriminale super esperto, ma può indicare anche qualcuno che persegue dei valori morali, qualcuno che si occupa della sicurezza dei sistemi, qualcuno che compie attività criminali ma finanziate da uno stato che quindi non lo metterà mai in carcere, e così via. I migliori comunque restano i lo hacker. E su questa battuta veramente molto infelice chiudo. Come sempre spero che questo video vi sia piaciuto. Se volete capire meglio cosa muove un hacker e cosa lo spinge ad agire in determinati modi, non potete perdervi il video di domani in cui parlerò dell'unico grande mito Kevin Mitnick, per gli amici il Condor, che ha una storia super affascinante. A presto! Nel 1975 un ragazzino di 12 anni di nome Kevin Mitnick manipolò gli autisti di autobus fino a riuscire a viaggiare gratis in tutta Los Angeles. A 16 anni lo stesso ragazzino violò il sistema di una delle più grandi aziende informatiche americane. A 17 si infiltrò nei network telefonici della Bell. A 20 rubò manuali segreti di accesso ai sistemi. A 24 era già noto all'FBI, ma era troppo intelligente per essere fermato. Clonava telefoni, mascherava la sua identità, usava l'ingegneria sociale come un'arma. Chiamava le persone fingendosi un tecnico, un collega, un'autorità, e loro gli fornivano tutti i dati richiesti, a volte persino ringraziandolo. Prima dei 30 anni era già entrato nei sistemi di Motorola, Nokia, Toschia, Fujitsu e tantissime altre aziende. Rubava codici sorgente, copiava software riservati, esplorava le reti più protette d'America, spesso solo per semplice curiosità. Quando finalmente l'FBI lo catturò nel 1995, dissero che aveva accesso ai codici nucleari americani. Era considerato talmente pericoloso che in carcere non gli veniva concesso nemmeno di usare la calcolatrice. Oggi è ricordato come il più famoso hacker della storia, ma per capire davvero chi era Kevin Mitnick. Dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video dedicato a un uomo che è divenuto leggenda e che ha indossato tutti i possibili cappelli da hacker. Le informazioni che troverete in questo video sono state raccolte da sue interviste, dalla sua autobiografia, da testimonianze, dai documenti giudiziari che sono riuscita a trovare, ma soprattutto dai libri che lui stesso ha scritto, in particolare L'arte dell'inganno, L'arte dell'invisibilità e L'arte hacking. Visto che sta arrivando l'estate, fatevi un bel regalo, prendete questi libri e leggeteli sotto l'ombrellone, perché sono veramente troppo troppo interessanti. Ma torniamo al nostro Kevin Mitnick. Siamo a Los Angeles negli anni '70. Kevin a quel tempo ha 12 anni, è un ragazzo solitario e molto annoiato che ama girare per la città e parlare con la gente. Ovviamente non ha la macchina, per cui gira in autobus. All'epoca gli autobus usavano un sistema chiamato punch card convalidation. I biglietti erano delle tesserine cartacee su cui venivano praticati dei fori in determinati punti per convalidare il viaggio. Gli autisti avevano un punzone apposito per bucare la tessera ogni volta che un passeggero saliva, e in questo modo il biglietto indicava ora, giorno e punto in cui il passeggero era salito, in modo che poi potesse proseguire il suo viaggio anche cambiando autobus senza dover convalidare nuovamente il biglietto. Kevin aveva una parlantina speciale già all'epoca, e oltretutto era un ragazzino. Che male può fare un ragazzino? Quindi un autista di autobus gli spiegò tutto su come funzionava il sistema di foratura dei biglietti. Un altro gentilissimo autista gli spiegò dove si procuravano i punzonatori, e un terzo gentilissimo autista gli rivelò che loro a fine giornata spesso buttavano nel cestino i biglietti bianchi non utilizzati. Nel giro di pochissimo tempo Kevin iniziò a girare gratuitamente in tutta Los Angeles salendo sull'autobus con un biglietto già validamente punzonato che non destava alcun alcun sospetto. Divenuto adolescente, Kevin Mitnick si appassiona al mondo dei telefoni. Siamo ancora a fine anni '70, momento in cui le chiamate telefoniche passavano attraverso linee analogiche gestite da centralini automatizzati. Il controllo della chiamata, come quindi stabilire la connessione, far partire la tariffa per i pagamenti, chiudere la linea e così via, era gestito attraverso dei toni audio con delle frequenze precise. In pratica, il sistema telefonico capiva i comandi tipo inizia la chiamata, collega questa linea, chiudi, non con dei segnali digitali complicati, ma semplicemente con dei suoni. Bastava quindi riprodurre i suoni giusti e il sistema eseguiva. Da qui si sviluppò una comunità di persone che si autodefinivano phreakers, dei curiosi e appassionati di telefonia che manipolavano i sistemi telefonici riuscendo a effettuare chiamate gratuite oppure ad accedere a linee riservate, quindi linee che non si trovavano negli elenchi, semplicemente riproducendo i toni di controllo attraverso dei fischietti o degli altri dispositivi molto artigianali. Ben presto Kevin Mitnick divenne un punto di riferimento fra i phreakers, che lo conoscevano con lo pseudonimo di Condor, nome tratto dal film I 3 giorni del Condor. Non è una scelta casuale. Nel film il protagonista è un analista della CIA in fuga che usa la propria intelligenza per sopravvivere, quindi capiamo perché Kevin fosse rimasto così affascinato da questa figura. Oltre al phreaking, quello in cui Mitnick eccelleva era la manipolazione. Non a caso viene considerato il padre del social dell'ingegneria sociale, tecnica che consiste nell'impersonare altre persone in modo da convincere qualcuno a fornire informazioni riservate. Ciò che ha davvero distinto Kevin Mitnick dagli altri hacker della sua epoca non erano tanto le sue abilità tecniche, che ovviamente possedeva, quanto la sua straordinaria capacità nell'ingegneria sociale, quindi proprio nell'arte di manipolare le persone per ottenere queste informazioni riservate. Immaginate la scena: un dipendente di un'azienda riceve una telefonata da qualcuno che si presenta come collega del reparto parto IT. La voce amichevole, professionale, usa il gergo tecnico corretto, fa riferimento a nomi di dirigenti reali, persone che lavorano effettivamente lì, conosce la struttura organizzativa. Ok, dalla voce si sente che chi parla è molto giovane, ma chi sospetterebbe che dall'altra parte della linea ci sia un estraneo che sta semplicemente recitando una parte? Kevin era un maestro in questo campo, sapeva impersonare tecnici, dipendenti o dirigenti al telefono con una naturalezza disarmante, inducendo ignare vittime a rivelare dargli password, dettagli sensibili, e persino a consegnargli badge perché potesse entrare fisicamente dentro edifici sorvegliati. Lui sfruttava quindi non tanto, o non solo, le sue capacità nell'ambito informatico, ma più che altro le debolezze umane, come la paura di un rimprovero o anche solo la volontà di aiutare il prossimo. Come dichiarerà lui stesso anni dopo, il fattore umano è veramente l'anello più debole della sicurezza. A 16 anni Kevin iniziò a spingersi oltre, infiltrandosi nei sistemi della Digital Equipment Corporation, o DEC. La DEC aveva un computer con server centrale chiamato The Ark, usato per lo sviluppo di software. Qui dentro gli ingegneri scrivevano il codice del sistema operativo, lavoravano a nuove versioni, facevano test e così via. Kevin, prima di tutto tramite la tecnica del dumpster diving, nome molto altisonante che descrive in realtà il frugare nella spazzatura, riuscì a trovare informazioni molto precise sull'azienda e su come operava. Da lì iniziò a chiamare i dipendenti impersonando di volta in volta figure diverse per ottenere altre informazioni, ad esempio in merito ai codici da digitare per entrare, a quello che poteva trovare dentro The Ark e così via. Nel giro di breve tempo era riuscito a penetrare all'interno dei server dove passò un po' di tempo a girellare e copiare codici prima di essere beccato dalla DEC. La cosa ironica è che il Condor aveva fatto tutto questo solo per semplice curiosità, per vedere se ce la faceva. La DEC lo denunciò immediatamente, ma per alcuni anni questa denuncia non portò a nulla. Anche se l'avevano fermato e identificato, nel 1979 non esisteva ancora una legislazione chiara sui crimini informatici, quindi non era chiaro se introdursi in un sistema e copiare un software fosse effettivamente un crimine o solo una violazione civile inerente ad esempio la proprietà intellettuale del programma. Oltretutto Kevin era minorenne e le autorità faticavano a conciliare l'immagine di un ragazzino curioso con quella di un criminale super esperto di informatica. Informatica e manipolazione. Ci misero poco a cambiare idea. Kevin fu arrestato per la prima volta a 17 anni per aver rubato dei manuali tecnici della Pacific Bell, la compagnia telefonica californiana. Subito dopo venne sorpreso a violare i computer dell'Università della California del Sud. Il giudice incaricato del caso ebbe un'intuizione sorprendentemente precoce per quegli anni. Ritenendo che il comportamento di Mitnick fosse sintomo di una dipendenza da computer, concetto quasi alieno nei primi anni '80, decise di affidarlo a un centro di riabilitazione giovanile. Tutto questo non lo fermò. Nel 1987 violò i termini della libertà vigilata, che prevedevano l'espresso divieto di utilizzare computer. Ora, se avete un po' intuito il personaggio, come poteva star lontano da un computer? La cosa non portò una nuova condanna, anche perché stranamente non aveva usato il computer per compiere reati, ma venne esteso il periodo di libertà vigilata e si aggravò la sua posizione in quanto recidivo, cosa che negli anni successivi lo avrebbe fortemente penalizzato, come vedremo fra pochissimo. Intanto, l'anno precedente, quindi nel 1986, era entrata in vigore negli Stati Uniti una legge federale espressamente dedicata ai reati informatici, il Computer Fraud and Abuse Act. Accedere abusivamente a un sistema informatico e copiare software e altri contenuti era diventato ufficialmente reato. Alcuni hanno ipotizzato che questa legge sia stata emanata proprio per fermare il famigerato Condor, anche se mi sembra più un'ipotesi viziata dal mito che si è creato poi nel corso degli anni attorno a Kevin Mitnick, che all'epoca era considerato ancora solo un ventenne bravo a smanettare con i computer e poco più. Fatto sta che dopo l'entrata in vigore di questa legge, la DC pensò bene di ripresentare la propria denuncia. Ricordate, no, l'ingresso non autorizzato di Kevin in The Ark, che non aveva portato a nessuna condanna perché non si nemmeno se si trattasse di un reato. Bene, la DC non ci pensò due volte e ripresentò la propria denuncia quasi 10 anni dopo il fatto. Kevin Mitnick, all'età di 25 anni, viene condannato a 12 mesi di carcere federale e altri 3 anni di libertà vigilata, con divieto assoluto di usare computer e telefoni senza autorizzazione del giudice. Faccio una piccola riflessione a latere. Perdonatemi, ma sono un avvocato, quindi ovviamente quando si parla di processi è il mio pane quotidiano e mi piace fare qualche riflessione in più. Questa cosa in Italia non sarebbe mai successa, dal momento che da noi la denuncia può essere presentata solo entro un certo termine, e soprattutto le norme che introducono nuovi reati non si applicano retroattivamente. Se nel momento in cui facciamo qualcosa quella cosa non è reato, non possiamo essere puniti dopo quando diventa reato, a meno che ovviamente non riproponiamo il comportamento. Francamente non trovo molto giusto che abbiano deciso di condannare Mitnick per qualcosa che al momento del fatto non era nemmeno in meno reato. È come se domani introducessero una legge che dice che è illegale suonare campanelli e scappare e decidessero di condannare chiunque lo abbia fatto in precedenza. Io finirei al gabbio per 6 anni, onestamente. Tra l'altro, non dimentichiamo che era ancora minorenne all'epoca dei fatti, ma è stato processato come un adulto. Altra cosa che non trovo giustissima. Ma vabbè, chiudiamo il capitolo polemico. Il Condor scontò la sua pena in carcere e quasi tutti i 3 anni di libertà vigilata. Durante la libertà vigilata però iniziò a sospettare di essere finito nel mirino dell'FBI e di costantemente sorvegliato e spiato nella sua vita quotidiana e nelle sue conversazioni telefoniche. Decise quindi di accedere illegalmente ai sistemi della compagnia telefonica Pacific Bell, sì, di nuovo, per verificare se fossero sue paranoie o se fosse effettivamente così. Nel sistema apparentemente trovò delle conferme della collaborazione tra la compagnia telefonica e le forze dell'ordine. Ovviamente, essendo sotto sorveglianza, questo accesso illecito non passò inosservato. Nel 1992 venne nuovamente emesso un mandato d'arresto per Mitnick, che anziché affrontare il processo decise di darsi alla fuga. Per ben 3 anni il Condor sfugge alle ricerche dell'FBI, assumendo identità false, dormendo ogni notte in un posto diverso, viaggiando per tutti gli Stati Uniti in lungo e in largo. A differenza di altri hacker di cui si conosce l'identità digitale ma magari non l'aspetto fisico, lui purtroppo era già noto alle autorità essendo stato arrestato condannato in precedenza, quindi era molto più facile che fosse visto e riconosciuto anche dalle persone normali, visto che ciclicamente la sua foto veniva messa su tutti i giornali. Nel frattempo l'attività di cracker di Kevin Mitnick non si fermò. Riuscì ad accedere illegalmente ai sistemi della Motorola, di Nokia, di Fujitsu, dell'Università della California. E il bello è che lo faceva solo per il gusto di farlo. Non chiedeva riscatti, non bloccava i sistemi, lo faceva solo per sfida, per lasciare qualche traccia alle autorità e dire: ehi, guardate sono ancora in circolazione, non mi avrete mai. Tra l'altro, in quel periodo perfezionò una tecnica che ancora era veramente poco conosciuta, che oggi invece è usata dagli hacker di tutto il mondo, chiamata IP spoofing. L'IP spoofing, o IP spoofing mi viene da dirlo un po' più all'italiana, consiste nel falsificare il proprio indirizzo IP, cioè l'indirizzo che identifica il dispositivo da cui stiamo lavorando. Molti sistemi protetti permettono l'accesso solo da indirizzi IP riconosciuti e inseriti in liste speciali. Il Condor, con le sue abilità di ingegnere sociale manipolatore riusciva a strappare ai dipendenti e tecnici informazioni sugli indirizzi IP ammessi e poi falsificava il proprio in modo che le richieste risultassero provenienti solo da indirizzi IP riconosciuti. Questo comportamento alimentava ancora di più la sua fama di hacker inafferrabile. Iniziarono a circolare delle vere e proprie leggende metropolitane su di lui, come ad esempio che fosse in grado di far partire missili della NASA da una cabina telefonica. Che fosse qualcuno dell'FBI sotto copertura, e così via. Questo non fa che gasare ulteriormente Mitnick, che sfida sempre di più le autorità penetrando nei sistemi più complessi, sottraendo codici sorgente, lasciando volutamente delle tracce, confidando nel fatto che non sarebbe mai stato preso. Finché, dopo 2 anni e mezzo di latitanza, non commette un errore di valutazione. Il giorno di Natale del 1994 entra nel computer di Tsutomu Shimomura, uno dei massimi esperti di sicurezza informatica informatica in America. Shimomura se ne accorge e decide che l'epoca del Condor è finita. Inizia a collaborare attivamente con le autorità per tracciare gli spostamenti di Mitnick e ci riuscì proprio grazie al fatto che Kevin aveva iniziato a lasciare dietro di sé qualche traccia pensando di essere inafferrabile. Faccio una premessa rivolta più che altro ai miei coetanei, perché le persone più grandi di me lo sanno sicuramente. Nel 1994, anno in cui io non ero nemmeno nata, per connettersi alla rete i modem chiamavano via telefono i server dei provider internet. Quindi ogni di connessione era una vera telefonata con un numero chiamante, uno chiamato e una durata. Per cui, sapendo quale numero era stato composto e a che ora, si poteva chiedere alla compagnia telefonica da quale linea era partita la chiamata e risalire all'indirizzo fisico da cui la chiamata era stata fatta. Mitnick, anche se usava nomi falsi, nascondeva il proprio IP e usava linee quasi usa e getta, non poteva nascondere del tutto il fatto fisico della connessione telefonica. E questo era primo indizio. Non solo, in quel periodo i provider dei servizi internet cominciavano a registrare alcuni dati per motivi tecnici e legali. I dati raccolti erano ad esempio l'orario di connessione e l'indirizzo IP assegnato. Dopo l'attacco al computer di Shimomura, l'FBI e lo stesso Shimomura iniziarono a contattare vari provider per chiedere chi era connesso a quest'ora su questa rete, chi ha fatto passare traffico sospetto verso questo indirizzo, in modo da restringere il cerchio su alcune zone e linee telefoniche. E questo era il secondo indizio. Non dimentichiamoci però che il Condor usava la tecnica dell'IP spoofing, per cui non era facile risalire al vero mittente neanche chiedendo ai provider di internet chi si fosse collegato. Shimomura però era un vero esperto di sicurezza informatica e oltretutto si sentiva molto punto sul vivo per essere stato colpito personalmente, per cui non si arrese. Iniziò a studiare in modo molto analitico l'attacco fatto e le impronte lasciate da Kevin, cercando di risalire al mittente originario. Ogni richiesta di connessione a un computer un server lascia delle tracce che indicano anche il percorso che quella richiesta ha fatto, perché le richieste fanno dei salti da un router all'altro per raggiungere la destinazione. Shimomura riuscì a vedere quali erano i router toccati durante il percorso e iniziò a ricostruire il tragitto. Notò che il traffico passava sempre per un provider che serviva un'area geografica molto precisa e chiese l'aiuto dell'FBI per capire quali connessioni corrispondevano agli orari e alle caratteristiche dell'attacco, riuscendo a restringere la provenienza a un'unica unico quartiere. E questo era il terzo indizio. Mitnick, che era molto attento, usava telefoni cellulari clonati per nascondere la sua identità anche nelle chiamate normali. Quindi le chiamate sembravano partire da utenti che in realtà non c'entravano niente. Ma c'era un problema: questi telefoni emettevano segnali radio. Quindi Shimomura e l'FBI, avendo già ristretto tantissimo il campo, riuscirono a triangolare la posizione di Mitnick usando 3 antenne diverse per captare i segnali radio e localizzarono fisicamente il segnale che proveniva da un condominio di una città del North Carolina. E questo era il quarto e ultimo indizio che serviva alle forze dell'ordine per braccare Mitnick. La spettacolare caccia all'uomo si conclude il 15 febbraio 1995, quando una squadra dell'FBI fa irruzione nell'appartamento del Condor e riesce finalmente a catturarlo. Al momento dell'arresto, Mitnick era in possesso di almeno un centinaio di codici di telefonia mobile rubati, vari telefoni cellulari clonati e numerosi documenti di identità. Falsi. Oltre a queste cose, che servivano chiaramente per evitare di essere scoperto, trovarono nel suo computer un archivio con oltre 20.000 carte di credito clonate che il Condor non aveva mai utilizzato. Le aveva clonate solo per esercizio, per dimostrare a se stesso quanto era bravo e quanto gli veniva semplice. Dopo l'arresto cominciò per Mitnick un lungo e complesso iter giudiziario, aggravato dalle condanne precedenti che lo qualificano come recidivo. Nel 1998 viene accusato di oltre 25 capi di imputazione, tra cui 14 inerenti frodi telematiche, 8 di possesso di dispositivi di accesso non autorizzati, oltre ad accuse di intercettazione illegale di comunicazioni, accesso non autorizzato a sistemi federali e danneggiamento di computer altrui. Se sommati, questi addebiti avrebbero potuto comportare decine di anni di carcere. Il caso tuttavia non arrivò mai a una completa discussione in tribunale. Nel 1999 Mitnick patteggiò dichiarandosi colpevole di 7 capi di imputazione. Venne condannato a 46 mesi di carcere per i nuovi reati, più altri 22 mesi per la violazione della precedente libertà vigilata. In totale, considerando la custodia cautelare già scontata, a Mitnick venne attribuita una pena di poco più di 5 anni, gran parte dei quali già trascorsi dietro le sbarre durante il lungo iter processuale. La pena di per sé era abbastanza lieve, ma fu comunque molto contestata, soprattutto perché il tribunale stabilì che Mitnick doveva passare 8 mesi in isolamento, cosa che che normalmente si fa solo in casi estremi di criminali molto violenti e molto pericolosi. Secondo quanto raccontò poi lo stesso Mitnick, questo era perché le autorità pensavano che lui fosse in grado di far partire un attacco nucleare fischiettando in un telefono a gettoni. Questo trattamento, a mio parere, fa capire veramente benissimo quanto fosse abissale in quel momento il divario tecnologico tra chi sapeva usare il computer e chi ancora non lo utilizzava molto. I giornalisti, i procuratori e gli stessi giudici non avevano gli strumenti concettuali per comprendere esattamente cosa fosse e cosa non fosse possibile fare con un computer o con un telefono. E il risultato fu che Mitnick iniziò praticamente a essere considerato onnipotente, con poteri quasi soprannaturali. Anche dopo il periodo di isolamento veniva tenuto lontanissimo da qualunque cosa che fosse considerata digitale, tanto che gli venne rifiutato persino l'uso della calcolatrice. Nel frattempo l'opinione pubblica su di lui era divisa quasi perfettamente a metà. Da un lato i giornalisti, le autorità e i meno esperti continuavano a dipingerlo come un nemico pubblico, qualcuno da temere, un criminale, un malintenzionato. Dall'altro, il Condor ricevette un sostegno fortissimo da tutta la comunità hacker e dagli appassionati di computer in generale, che lo definiscono un semplice burlone, ovviamente molto competente, che però non aveva mai fatto del male a nessuno. Aveva solo curiosato e dimostrato quanto fosse enorme il potenziale della tecnologia e quanto alcune aziende fossero vulnerabili. Addirittura, quando era ancora in carcere, nasce un vero e proprio movimento con lo slogan Free Kevin per dimostrargli il sostegno da parte della comunità. Alcuni siti istituzionali o di testate giornalistiche, come quello del New York Times, vengono addirittura hackerati per pubblicare appelli volti a liberare Mitnick. Il Condor esce infine di prigione il 21 gennaio del 2000, è messo in libertà vigilata per 3 anni con restrizioni rigorosissime. Gli viene vietato l'uso di qualsiasi tecnologia di comunicazione, ad eccezione del telefono fisso tradizionale e gli viene perfino proibito di tenere discorsi pubblici sul tema hacking, per timore che potesse in tal modo istruire altri a compiere reati. Kevin questa volta non ha nessuna intenzione di minare la propria libertà e si attiene rigorosamente alle restrizioni previste, che vengono gradualmente allentate man mano che lui dimostra di rispettare le regole, tanto che a fine 2002 gli viene finalmente concesso di tornare a navigare in rete. E qui l'ennesimo colpo di scena nella vita di un uomo che è rimasto imprevedibile fino all'ultimo. Mitnick non riesce a smettere di introdursi nei sistemi violando le misure di sicurezza, ma non vuole nemmeno tornare in carcere, per cui si reinventa immediatamente come hacker etico fondando una società di consulenza in sicurezza informatica, la Mitnick Security Consulting. La società, manco a dirlo, è specializzata nelle simulazioni di intrusioni hacker e nell'individuazione delle vulnerabilità del sistema, tenendo anche dei corsi di formazione ai dipendenti per spiegare come riconoscere un ingegnere sociale, quindi come prevenire attacchi che provengono da quella categoria di persone. Ben presto le aziende più in vista degli Stati Uniti iniziano a contendersi un appuntamento con la società di Mitnick. D'altra parte, se è l'hacker per eccellenza a dire che il vostro sistema è impenetrabile, potete stare abbastanza tranquilli. Oltre all'attività imprenditoriale, che comprende anche la partecipazione in altre società dedicate alla sicurezza, il Condor diventa un autore letterario e uno speaker di grande successo. I suoi libri, in cui condivide le sue conoscenze ed esperienze con riflessioni sulla sicurezza e lezioni pratiche, diventano bestseller tradotti in tantissime lingue. Ve li ho già citati prima, ma vi ripeto quelli che secondo me dovreste assolutamente leggere. Il primo è L'arte dell'inganno, che esplora le tattiche di social engineering e spiega come difendersi. Il secondo è L'arte dell'intrusione, o L'arte dell'hacking, è stato venduto in Italia con entrambi i titoli, che raccoglie una serie di storie reali di hacking raccontate direttamente dai protagonisti, con l'analisi tecnica dei punti di ingresso e delle falle sfruttate e lezioni quindi anche sulle contromisure di sicurezza che potevano essere adottate. Il terzo è L'arte dell'invisibilità, una guida fondamentale su come proteggere la propria privacy digitale e rendersi invisibili online. Il libro copre argomenti come la cifratura, la navigazione anonima e altri accorgimenti per sfuggire a tracciamenti e hacker maligni, e in generale per lasciare meno impronte online. C'è anche una sua autobiografia intitolata Il fantasma nella rete, in cui narra in prima persona la sua vita da hacker dall'adolescenza adolescenza fino all'arresto e oltre, libro da cui ho tratto la maggior parte delle informazioni contenute in questo libro. È forse il più interessante come libro, ma è il meno pratico. Gli altri 3 libri sono molto belli proprio perché suggeriscono anche come tutelarsi dagli hacker malintenzionati. Anche Shimomura, per la verità, ha scritto un libro su di lui, meno lusinghiero, in cui descrive come si è svolta la caccia all'uomo che ha portato poi alla cattura del Condor. Da questo libro è stato tratto anche un film intitolato come il libro, Takedown, che però è stato ritenuto poco preciso, tanto che la comunità hacker ha risposto con un documentario indipendente intitolato Freedom Downtime, con l'intento di raccontare la vera storia di Kevin Mitnick. Il 16 luglio 2023, purtroppo, Kevin Mitnick si spegne all'età di soli 59 anni a causa di un tumore al pancreas contro cui combatteva da oltre un anno. Al momento della morte viveva a Las Vegas con la moglie Kimberly, che era in attesa del loro primo figlio. La notizia della scomparsa suscita una grande ondata di tristezza nel mondo dell'informatica, sia tra i white hat che fra i black hat, dal momento che il Condor rappresentava per tutti un punto di riferimento. A mio parere, la più grande eredità lasciata da Mitnick è la spinta alla curiosità, che lo ha sempre caratterizzato, e alla consapevolezza, perché quello che lui è riuscito a fare insegna quanto l'essere umano sia effettivamente debole e manipolabile. Io come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere se conoscevate già questa figura epica? Se lo ritenete un mito, come molti nella comunità hacker, commentate questo video con Free Kevin, così ci ritroviamo tutti. Noi ci rivediamo al prossimo video.