⚠️ HACKER ITALIANI: nascita ed EVOLUZIONE

Immaginate di risvegliarvi nel 1994 e di avere 16 anni. Nella vostra cameretta tenete accesa giorno e notte una piccola bacheca elettronica chiamata BBS, un sistema che vi permette di collegarvi con amici e sconosciuti e di comunicare con loro. È il vostro hobby del momento e ci passate le ore, a volte persino notte fonda. Una mattina bussa alla porta la Guardia di Finanza con un mandato che le permette di perquisire la vostra casa e portare via tutto il vostro sistema, quindi il computer I dischetti, i quaderni con gli appunti, il modem. Vi hanno appena portato via ciò che avete di più caro, senza che voi sappiate nemmeno il perché. Questa scena, con piccole variazioni, si è ripetuta centinaia di volte nella primavera del 1994, durante quello che la stampa ricorderà come l'Italian Crackdown. Ma come sempre, per capire bene di cosa si tratta, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Abbiamo ormai superato i 100 video sul canale e praticamente in tutti questi contenuti abbiamo sempre parlato di minacce provenienti dall'estero e di hacker canadesi, russi, americani, coreani e via dicendo. Ma questo non deve farci dimenticare che anche l'Italia ha una storia di hacking con personaggi veramente super interessanti e casi incredibili, quindi quindi è arrivato il momento di parlarne. La nostra storia inizia nella seconda metà degli anni '80, periodo che sicuramente molti di voi ricordano molto meglio di me, visto che io nel 1985 non ero ancora nata. Quindi se dico delle castronerie, sentitevi liberi di correggermi. In quel periodo l'Italia stava timidamente iniziando ad approcciarsi al mondo dell'informatica e a collegare i computer fra loro attraverso la linea telefonica. Il ritrovo dei primi appassionati erano le BBS, acronimo che sta per Bulletin Board System. Per chi non lo sapesse, una BBS era un sistema che richiedeva un computer lasciato acceso giorno e notte con il modem attaccato alla linea telefonica. Chi voleva entrare faceva telefonare il proprio computer a quel numero e una volta dentro trovava una specie di, appunto, bacheca condivisa dove si leggevano e si lasciavano messaggi, si scambiavano file, programmi e così via. Per capirci, era un lontano antenato dei social di oggi, con una differenza non poco, cioè che tutto partiva da una singola linea telefonica, quindi si stava collegati veramente in pochi alla volta. Corrado Giustozzi, uno dei nomi storici della cyber security italiana, nel libro Spaghetti Hacker racconta che all'inizio del 1986 le BBS attive in tutta Italia erano in totale 3. I modem erano lentissimi e trovarli in commercio non era facile, tanto che alcuni addirittura se li costruivano in casa. Eppure chiunque si avessi approcciato a quel sistema si era reso conto di quante potenzialità avesse. Tanto che le aziende iniziarono a cercare di capire come potevano collegare due computer lontani tra loro. L'amministrazione delle Poste e delle Telecomunicazioni, quindi con l'aiuto della SIP, l'antenata della TIM, creò una rete dedicata chiamata ITAPAC, che potremmo considerare la primissima versione italiana di internet. Con questa rete finalmente due filiali lontane di un'azienda potevano comunicare e scambiarsi dati e file. Era uno strumento sicuramente molto più potente e veloce della BBS, e quindi era anche molto più costoso. Era pensato per un uso prettamente aziendale, e anzi era riservato alle grandi aziende, quelle appunto con più filiali in tutta Italia che potevano permettersi un costo così alto. Gli appassionati di informatica che usavano la BBS guardavano la ITAPAC con l'acquolina in bocca. Anche a loro sarebbe piaciuto usarla, anche perché era una rete in grado di superare addirittura oltre i confini italiani, quindi permettere di collegarsi a computer in Giappone, negli Stati Uniti e così via. Ma come dicevo, costava una fortuna. Allora questi appassionati iniziarono a pensare a come bucarla. Per collegarsi alla ITAPAC, come prima cosa, con il modem si doveva chiamare un numero di accesso della propria città, una specie di centralino, diciamo. E quella era una chiamata urbana come un'altra, quindi non costava quasi nulla e si poteva fare anche da casa. Una volta avviato questo collegamento, la rete chiedeva due codici. Codici. Il primo era il NUI, un codice identificativo personale che diceva alla ITAPAC, quindi alla rete, chi era a chiamare e a chi doveva essere quindi addebitato il relativo costo. Il secondo codice era il NUA e identificava il computer a cui ci si voleva collegare, il destinatario, computer che poteva trovarsi in Italia o anche dall'altra parte del mondo. Non veniva chiesto altro. Chi fosse stato in possesso del codice identificativo di un'azienda, quindi del NUI, primo codice di cui abbiamo parlato, avrebbe potuto comunicare con qualsiasi computer senza spendere nulla, perché il costo sarebbe stato addebitato all'azienda proprietaria del NUI. Ora, stando così le cose, verrebbe da pensare che le aziende custodissero il proprio NUI in un cavo rinforzato proteggendolo a costo della vita. E invece molte società non avevano capito l'importanza del codice, non avevano minimamente capito quanto fosse facile per un adolescente con un modem usare il loro accesso a Itapack. Quindi spesso bastava chiamarle con una scusa e farselo comunicare da un dipendente poco scaltro. Nel giro di poco tempo sulle BBS iniziano a girare dei nui che potevano essere usati da chiunque volesse fare il salto di qualità e spostarsi su una rete più potente. All'azienda arrivava una bolletta molto più alta, ma spesso non si rendevano nemmeno conto della cosa, o comunque non riuscivano a capire chi fosse stato a usare il loro codice. Il fatto stesso che i nui girassero così, passando di mano in mano sulle DS ci fa capire anche che questi ragazzi non erano i classici hacker solitari chiusi in cameretta, ma erano una vera e propria comunità, anche bella affiatata. Tra l'altro, questa comunità non era limitata solo all'Italia, perché i più esperti si ritrovavano spesso in un sistema ospitato a Monaco di Baviera che si chiamava Altos, una specie di chat antelitteram dove si potevano incontrare altri hacker provenienti da tutto il mondo. Ovviamente io sto parlando di hacker nel senso ampio del termine, perché spesso si pensa che gli hacker siano tutti criminali, ma noi sappiamo che non è così. Hacker è un termine neutro che si riferisce a persone che sono in grado di entrare in dei sistemi. Poi alcuni lo fanno per scopi criminali, altri per gioco, per scherzo, per curiosità, ma anche per aumentare la sicurezza dei sistemi, per attivismo e via dicendo. La scena italiana in particolare era mossa per lo più dalla curiosità ed era goliardica. Si reggeva su un codice d'onore che tutti rispettavano, per cui si poteva entrare dappertutto pur di farlo solo per guardare e imparare senza rompere nulla. Per loro cancellare dei dati o mandare in tilt un sistema solo per il gusto di farlo era una cosa da principianti, da vandali. Le persone che lo facevano erano quelle che non avevano capito lo spirito della comunità. Ecco perché quando lo Stato decise di intervenire ci fu uno scontro epico fra due mondi che di fatto fra di loro non si capivano per niente. Torniamo allora a quella mattina di primavera del 1990. 94, in cui persone di tutte le età e provenienti da ogni parte d'Italia si ritrovarono con la Guardia di Finanza alla porta. Adesso che sappiamo chi erano questi ragazzi e qual era lo scopo di quello che facevano, cioè comunicare fra di loro e capire fin dove poteva spingersi la tecnologia, quella vicenda sembra ancora più assurda. Tutta questa operazione, che poi verrà appunto ricordata come The Italian Crackdown, era partita da un'indagine che con gli hacker all'inizio non aveva niente a che fare. La procura di Pesaro stava lavorando su un giro pirateria del software. Quindi stava indagando su persone che copiavano e rivendevano programmi costosi. Gli inquirenti si erano procurati i tabulati telefonici di un paio di ragazzi coinvolti e avevano notato che si collegavano a un certo numero di BBS. Da lì fecero un salto logico meraviglioso, un volo pindarico potremmo dire, perché conclusero che ogni singola BBS contattata da quei due facesse parte della stessa organizzazione criminale. È letteralmente come dire: se due criminali si scrivono su WhatsApp, dobbiamo arrestare ogni singola persona a cui abbiano mai scritto su WhatsApp, perché sicuramente sono tutti complici. Era proprio un'idea di un'ignoranza dilagante, non nel senso offensivo del termine, ma proprio gli inquirenti ignoravano come funzionassero le BBS e per cosa venivano usate. Comunque, l'11 maggio 1994 scattò quest'operazione, che a quanto pare partì da ben 173 mandati di perquisizione firmati, con sequestro della apparecchiature. Nelle settimane successive ne arrivarono altri. Si stima che alla fine le BBS coinvolte fossero circa 200, e di queste la stragrande maggioranza con la pirateria non c'entrava assolutamente nulla. Fra i sistemi sequestrati finì persino il nodo principale di PeaceLink, una rete telematica di volontariato che si occupava di pacifismo. Fu un colpo durissimo per la telematica italiana, e per un po' sembrò che quel mondo sarebbe semplicemente sparito. E invece, proprio perché non si trattava di criminali ma di appassionati, quel mondo reagì e si organizzò. Sul fronte dei diritti, un collega avvocato, Andrea Monti, che allora aveva solo 27 anni, fondò insieme ad altri un'associazione chiamata Alcei, nata per difendere le persone e la libertà di comunicazione anche nel mondo digitale. Fu la prima organizzazione del genere in Europa e nacque proprio come risposta diretta a quei sequestri. A Pescara poi Stefano Chiccarelli Giovanni, uno dei primissimi gestori di BBS, creò la Metro Holographics, un'altra associazione che negli anni sarebbe diventata un riferimento e che ancora oggi fra l'altro organizza eventi interessantissimi. Vennero anche organizzati degli incontri, dei dibattiti fra hacker e magistrati, proprio per cercare di far parlare fra loro quei due mondi così lontani. Il salto più importante però fu quello tecnico, che paradossalmente portò proprio a quel mondo che gli inquirenti con i loro sequestri pensavano di bloccare sul nascere. La La prima generazione di hacker, quella goliardica delle BBS, lasciò il posto a una seconda ondata molto più preparata e anche, se vogliamo, incattivita, fatta di persone che studiavano i sistemi in profondità e si scambiavano le proprie scoperte, spiegando nel dettaglio come funzionavano le falle dei programmi e come sfruttarle. Da lì in avanti l'hacking italiano smette di essere soltanto esplorazione innocua Vabbè, no, qua fino a un certo punto, visto che comunque addebitavano alle aziende dei costi che non gli spettavano. Ma qui diventa proprio una disciplina vera e propria, fatta di persone di tutti i tipi, quindi anche da alcune con fini poco nobili. In mezzo a tutto questo fermento inizia piano piano a emergere un ragazzo di Torino, classe 1973, di nome Raoul Chiesa. Chiesa inizia a smanettare a soli 13 anni e a 20 riesce addirittura a bucare l'intera rete di una compagnia telefonica americana. La GTE, arrivando a controllarne le infrastrutture in tutti gli Stati Uniti. Gli americani non la presero benissimo e, a suo dire, provarono a tendergli una trappola per farlo arrestare dall'FBI e portarselo negli Stati Uniti, quindi facendolo estradare. Mentre fino a quel momento lui aveva sempre usato il suo vero nome, a quel punto capisce che forse è meglio trovarsi un alias e sceglie Nobody, che in inglese significa nessuno. In Italia invece diventa ben presto famoso per una vicenda in particolare, cioè per essere entrato nei sistemi della Banca d'Italia, impresa che in realtà lui stesso nelle sue interviste sminuisce molto. A quanto pare nel 1995 la banca aveva collegato a internet il proprio sistema di posta elettronica e gli amministratori avevano lasciato attiva una funzione che permetteva di entrare da remoto. Bastava scrivere una stringa molto semplice e ci si ritrovava dentro con privilegi di amministratore, quindi quelli che permettono di fare sostanzialmente qualunque cosa. Chiesa in realtà raccontò poi che lui non aveva neppure la sensazione di star violando un sistema quando aveva inserito questo codice per collegarsi da remoto, aggiungendo che fra l'altro a trovare questa vulnerabilità non era stato lui, ma un altro hacker dell'epoca chiamato Nexus 6 di Venezia. Comunque questa vicenda alimentò la sua fama insieme ad altre compiute sempre nello stesso periodo, come l'aver il sistema della posta mondiale della società di telecomunicazioni AT&T, o l'essere entrato nei sistemi di Unilever, e anche addirittura, a quanto pare, l'aver chiacchierato con Julian Assange usando come chat il sistema di controllo di una centrale nucleare in Francia. Classici posti di ritrovo proprio. Una cosa particolare che secondo me fa capire bene lo spirito degli hacker dei tempi è che Chiesa faceva tutto questo con la sua etica. Anche lui, come i primi hacker, non ha che ha rubato un euro non puntava a buttare giù i sistemi o a fare danni. Anzi, nella maggior parte dei casi, dopo essere entrato in un sistema, andava ad avvisare il sysadmin, l'amministratore del sistema, dicendogli quale vulnerabilità aveva trovato e come aveva fatto a sfruttarla. In ogni caso, il 13 dicembre 1995, alle 6 del mattino, Chiesa viene arrestato. Gli agenti entrano in casa sua trovandolo stranamente davanti al computer, e mentre lo portano in centrale lo riempiono di domande perché non riuscivano neanche a capire esattamente perché lo stessero arrestando, cosa fosse questo hacking di cui si parlava. L'arresto partiva dalla segnalazione della multinazionale Unilever, che come dicevo era stata bucata e si era accorta di accessi non autorizzati ai suoi sistemi. Vennero fermate in totale 6 persone, fra cui Chiesa, con l'accusa di associazione per delinquere, oltre a ricettazione e truffa. Chiesa se la cavò con 3 mesi ai domiciliari e con il divieto di toccare qualsiasi dispositivo elettronico. Elettronico, compreso il telefono. Scontata la pena ai domiciliari, e dopo un periodo di riflessione, Raul Chiesa decide che il modo migliore di sfruttare le sue competenze e la sua etica è quella di aprire una società di sicurezza informatica, cosa che gli dà la possibilità di essere pagato per fare le stesse cose che prima faceva gratuitamente e rischiando la galera, cioè entrare nei sistemi e trovarne le vulnerabilità. In tutto questo, una cosa che potreste aver notato è che le accuse mosse a Chiesa e alle altre persone arrestate con l'hacking non c'entravano praticamente nulla. Si parlava di associazione per delinquere, truffa, ricettazione e via dicendo. Una domanda che potremmo farci quindi è: ma esistevano effettivamente le leggi che vietavano di hackerare un sistema? La risposta in realtà è sì. Il primo intervento legislativo su questo tema è del 1993 con la Legge 547, che aggiunge al codice penale una serie di reati informatici nuovi di zecca. A muovere il legislatore italiano erano state soprattutto due spinte: Da un lato una raccomandazione del Consiglio d'Europa del 1989 che invitava gli stati a dotarsi di regole in materia. Dall'altro la sensazione che questo fenomeno non sarebbe sparito, quindi era meglio regolarlo. L'articolo più importante aggiunto al codice penale è il 615 ter, che punisce l'accesso abusivo a un sistema informatico e che si trova insieme agli articoli dedicati alla violazione di domicilio. Secondo me, come intuizione da parte del legislatore, ci sta. Alla fine si tratta sempre di entrare dove non si dovrebbe. Quindi come norme sono abbastanza vicine, tutto sommato. Da lì in poi la normativa italiana ha continuato ad aggiornarsi, quasi sempre correndo dietro agli eventi invece di anticiparli. Nel 2001 arrivò poi la Convenzione di Budapest, il primo grande accordo internazionale sul crimine informatico, che l'Italia però ratificò con tutta calma solo nel 2008. La vera svolta, a mio parere, si è avuta non tanto con le normative volte a punire gli hacker, ma con quelle volte a obbligare le aziende ad avere delle maggiori misure di sicurezza. Penso ad esempio alla NIS2, al DORA e così via. Diciamo che l'obiettivo finale è quello di rendere più difficile agli hacker entrare piuttosto che pensare di punirli dopo, anche perché comunque spesso non è neanche così facile trovarli. Con l'evoluzione delle normative si è avuta anche un'evoluzione dell'hacking che ora ha motivazioni molto diverse rispetto a quelle dei primi tempi. Oggi gli hacker italiani si dividono principalmente in 3 categorie: categorie. Abbiamo i malintenzionati, o black hat, o cybercriminali, che dir si voglia, che fanno le cose per proprio tornaconto personale. Abbiamo gli activist che entrano nei sistemi e buttano giù i siti più per mandare un messaggio politico che per fare danni. E abbiamo chiaramente chi entra nei sistemi legalmente, quindi gli hacker che vengono pagati per farlo e per trovare vulnerabilità. In quest'ultima categoria rientrano anche aziende che lavorano per i governi per produrre software che permettono agli stati di entrare nei dispositivi dei cittadini al bisogno. In Italia avevamo una di queste aziende, si chiamava Hacking Team, aveva sede a Milano, lavorava per le procure italiane, ma al bisogno anche per i governi stranieri. Da un'azienda di questo tipo ci si aspetta che sia praticamente inviolabile, e invece nel 2015 questa azienda viene violata in un caso che personalmente ho trovato, sotto alcuni punti di vista, quasi esilarante. Ma di questo ve ne parlo nel video della prossima settimana. Bene, come sempre, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate e soprattutto sono curiosa di sentire l'opinione di chi quegli anni li ha vissuti a differenza mia. Se non l'avete letto recuperatevi assolutamente il libro Spaghetti Hacker, una pietra miliare della storia dell'informatica italiana e una lettura estiva a mio parere interessantissima. Noi ci rivediamo la prossima settimana con il video dedicato al hacking team. Resto.