😱 Il caso BRITISH AIRWAYS: un'imperdonabile catena di errori

Siamo a giugno 2018 e da qualche parte nel mondo qualcuno sta cercando un modo per entrare nei sistemi di British Airways, la nota compagnia aerea britannica. Non si tratta di un genio dell'informatica con capacità sovrumane, è semplicemente qualcuno che sa dove guardare e che cosa cercare. Finalmente riesce ad avere l'accesso ai sistemi e a modificare alcune cose qua e là. Queste azioni gli garantiscono 3 mesi di movimento indisturbato all'interno dei database della compagnia aerea, mesi in cui riesce a rubare i dati di oltre 100.000 carte di credito al volo salvato in precedenza e a registrare sul proprio computer tutte le nuove transazioni compiute in un momento in cui moltissime persone stavano prenotando le proprie vacanze. Quando alla fine British Airways se ne accorgerà non sarà grazie ai propri sistemi di sicurezza, ma alla segnalazione di una società esterna che si era resa conto che qualcosa non andava. Nel giro di un'ora e mezza l'hacker viene espulso dal sistema e la situazione viene riportata alla normalità, ma ormai è già troppo tardi. I dati di oltre mezzo milione di persone sono stati rubati in un momento storico in cui era è appena entrata in vigore la norma più impattante in materia di privacy in Europa, il GDPR. British Airways si ritrova coinvolta in una vicenda giudiziaria senza precedenti, dovendo affrontare sanzioni, class action, risarcimento e perdita della propria reputazione. In tutto questo la domanda che tutti si pongono è: questo attacco poteva essere evitato? Man mano che la vicenda si svolge emerge una catena di errori così basilari che sembra impossibile che sia un'azienda di quelle dimensioni a compierli. Oltretutto ogni singolo errore preso da solo sarebbe stato gestibile. Presi insieme invece hanno creato la tempesta perfetta. Ma per capire bene com'è andata dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Personalmente ritengo l'attacco British Airways uno dei casi più interessanti in assoluto nel mondo della cyber security, un po' perché sono state usate varie tecniche diverse ed è interessante quindi vedere come si sono intersecate tra per loro, un po' perché ha dimostrato l'importanza di adottare quei piccoli accorgimenti di cui parliamo sempre nei nostri video, e un po' perché anche dal punto di vista giudiziario la vicenda è stata molto intensa. Ed essendo avvocato, queste cose mi intrippano. Ma andiamo con ordine. Partiamo proprio da giugno 2018. Il GDPR, il regolamento europeo sulla privacy, che comporta tutta una serie di obblighi e sanzioni per le aziende, è diventato ufficialmente applicabile un paio di settimane prima. Sta iniziando l'estate e le le persone cominciano a organizzare le proprie vacanze, decidono dove andare, prendono le ferie, prenotano gli hotel e soprattutto acquistano voli aerei. Non è casuale quindi che l'hacker della nostra storia abbia deciso di entrare nei sistemi di British Airways proprio in questo momento. Con meticolosità e molta pazienza scandaglia tutti i possibili punti di accesso, che normalmente possono essere un dipendente poco attento, una porta di rete lasciata aperta, oppure una gestione sbagliata dei fornitori. Ed è proprio quest'ultima cosa che il nostro hacker si trova. Scopre che British Airways si affida a una società esterna, la Swissport, per gestire l'operazione a terra, come il trasporto dei bagagli e il caricamento sull'aereo. Alcuni dipendenti della Swissport, per svolgere le proprie mansioni, avevano bisogno di collegarsi ai sistemi della compagnia aerea e avevano quindi delle proprie credenziali di accesso. Il criminale in qualche modo riesce a entrare in possesso di username e password di un dipendente di Swissport e prova a inserirle nei sistemi di British Airways, entrando al primo colpo. Questa cosa non sarebbe successa se la compagnia aerea, come le era già stato consigliato dagli esperti di sicurezza, avesse abilitato l'autenticazione a più fattori, perché il malintenzionato avrebbe avuto bisogno di inserire non solo le credenziali, ma anche un codice ricevuto sulla mail personale del dipendente, o che il dipendente approvasse una notifica sul suo cellulare. Invece sono bastate le credenziali per avere accesso indisturbato, e questo è stato il primo errore di British Airways, un errore da principianti, oserei dire. In un primo momento l'attaccante si trova dentro a un ambiente virtuale chiamato Citrix. Citrix viene usato dalle società per rendere più sicuro l'accesso da remoto ai loro sistemi. Si usa molto anche qui in Italia, in realtà, per i dipendenti che lavorano da remoto, perché permette di entrare nei sistemi dell'azienda come se si fosse lì e riuscire a svolgere il proprio lavoro, ma restando all'interno di un ambiente sicuro con meno libertà di movimento. Serve proprio evitare che un malintenzionato che riesce ad avere accesso all'account di un utente possa fare qualunque cosa come se come fosse collegato direttamente da un computer interno dell'azienda. La British Airways, almeno questo le va concesso, usava Citrix, quindi in un primo momento l'attaccante si trova confinato in questo ambiente virtuale. In un modo mai completamente chiarito però, l'hacker riesce a evadere da Citrix ed avere quindi una maggiore libertà di movimento, come se si trovasse fisicamente all'interno dell'azienda. Visto che non si è mai capito completamente come ha fatto, magari è più un problema di Citrix, questo non lo considereremo un errore aereo. Per questa volta te la cavi, British Airways. Una volta dentro, l'hacker inizia a esplorare i vari file dell'azienda, sperando di trovare qualche informazione utile. Trova molto di meglio. Tra i vari file ne scova uno che contiene in chiaro, quindi scritte in testo semplice, le credenziali di un account amministratore di dominio. Giusto per capirci, è come se un ladro fosse entrato in una banca fingendosi un impiegato qualunque, aspettandosi di poter girare solo in qualche ufficio, e improvvisamente trovasse il badge del direttore. Che gli permette invece di entrare dappertutto, cavo compreso. Un amministratore di dominio nei sistemi di un'azienda ha il controllo totale: può accedere a qualsiasi sistema, leggere qualsiasi file, modificare qualsiasi configurazione. Nei giorni fra il 23 e il 25 giugno l'attaccante usa questi privilegi per consolidare la sua presenza dentro i sistemi, accedendo ai vari server interni e ottenendo persino le credenziali di un amministratore di database. Così, in caso servissero. E questo è stato il secondo gravissimo errore di British Airways, perché non può esistere che credenziali così delicate siano salvate in chiaro su un file qualunque. È come mettere le proprie cose preziose in una cassaforte, inserire la combinazione e poi per buona misura appiccicare sulla cassaforte un post-it con il codice. Per circa un mese l'intruso approfitta dei propri accessi per esplorare un po' tutta l'infrastruttura e cercare di individuare dove vengono archiviati i dati degli utenti. Purtroppo per lui British Airways aveva implementato le tecniche previste per legge per quanto riguarda i pagamenti online. Quindi i pagamenti erano gestiti attraverso canali sicuri, le carte di credito non venivano conservate, quello che veniva conservato veniva sempre criptato e così via. Il nostro hacker si sentiva ormai sconfitto. Su questo British Airways non aveva commesso alcun errore, tranne uno molto piccolo e assolutamente trascurabile. Il 26 luglio 2018 l'hacker scopre un file che contiene dettagli di chi ha riscattato i voli premio ottenuti accumulando miglia. È un normalissimo file di log, quindi è una specie di diario che un sistema informatico redige automaticamente e che conserva per qualche tempo, in modo che se viene fuori un errore o servono delle informazioni sia tutto tracciato. Normalmente i file di log contengono delle informazioni base, spesso anonimizzate o parziali, proprio perché non serve conservare tutto. Ma quello di British Airways era particolarmente completo. Per tutti gli acquisti fatti fatti riscattando le miglia, con uno sconto quindi sul prezzo finale, venivano raccolti e conservati per 95 giorni i dati degli utenti come nome e cognome, indirizzo, volo acquistato, miglia accumulate e tutti i dati della carta di credito, quindi numero completo, data di scadenza, nome ovviamente e codice CVV. Dati conservati in un file che ha uno scopo diagnostico, quindi serve solo a capire se ci sono problemi puramente tecnici, non riferiti al singolo acquisto. Probabilmente l'errata impostazione del salvataggio dei file di log era legata a una prima fase di test, cioè in un primo momento c'era la necessità di capire tutto quello che succedeva. Il problema è che poi questa impostazione sbagliata non è mai stata cambiata dal 2015, e questo è stato il terzo errore di British Airways. L'hacker, grazie a questo file di log, riesce a vedere le transazioni compiute nei 95 giorni precedenti e a rubare dati di pagamento di quasi 200.000 persone. Già questo sarebbe stato un bel bottino da vendere sul dark web, ma lui voleva di più. Voleva restare nei sistemi di British Airways il più a lungo possibile e infiltrarsi anche sul sito web in modo da intercettare altri dati e carte di credito in tempo reale man mano che gli utenti li inserivano per acquistare i voli. E anche su questo British Airways gli viene incontro. Dovete sapere che spesso quando viene realizzato un sito web lo sviluppatore non scrive a mano tutto il codice, spesso si appoggia a librerie già pronte che semplificano sistemare molto il lavoro. Ad esempio, anziché mettersi lì e scrivere tutto il codice per fare la verifica se l'utente è un essere umano oppure no, usa una libreria già pronta di Google che chiede all'utente di cliccare su tutte le foto che contengono biciclette. Io poi non so voi, ma in questi test normalmente faccio schifo, sto iniziando a pensare di essere un robot. Il problema è che se uno di questi pezzi di codice già preconfezionati contiene una vulnerabilità, tutti i siti che lo utilizzano sono potenzialmente vulnerabili. Nel momento in cui viene comunicata la scoperta di una nuova vulnerabilità in una libreria di codice, gli sviluppatori dovrebbero toglierla dal sito oppure correggere il codice in modo da tappare questo buco. Il sito di British Airways era stato realizzato usando varie librerie, fra cui una di nome Modernizr che serviva ad adattare la visualizzazione del sito web in base al browser utilizzato dall'utente. Il problema non è la libreria in sé, che è ancora molto usata, ma il fatto che il sito della società usasse una versione del 2012 piena di vulnerabilità note e già sfruttate in vari attacchi. E questo è il quarto errore commesso da British Airways. L'hacker, che già aveva tutti i permessi necessari essendo entrato in un account admin, il 21 agosto 2018 sfrutta queste vulnerabilità per modificare il sito web stesso della compagnia aerea aggiungendo 22 righe di codice JavaScript. La scorsa settimana abbiamo parlato delle tecniche di hackeraggio dei siti web e se vi ricordate una di queste, l'XSS, consisteva proprio nell'aggiunta di codice JavaScript malevolo. Qui l'hacker non compie un attacco XSS classico, perché nell'XSS, o Pino che dir si voglia, il malintenzionato inietta codice JavaScript sfruttando un campo di input all'interno di una pagina web. Quindi, ad esempio, anziché mettere una recensione su un prodotto, mette un codice malevolo che ruba le password di tutti gli altri utenti che visitano il sito. L'attacco compiuto invece dal protagonista a somministrare la nostra storia non è passato dall'interfaccia che vede un utente normale. Il codice JavaScript è stato inserito direttamente dal server, perché tanto l'hacker aveva accesso a tutto il backend del sito, quindi non aveva nessun problema a farlo. È molto più comodo, diciamo, anziché dover bypassare i controlli che servono a evitare l'XSS, mettersi direttamente al computer come se si fosse lo sviluppatore e modificare il codice. E ora potreste chiedervi Ehi, scusa, ma qualcuno può modificare liberamente il codice di un sito web e nessuno dentro a tutta la British Airways se ne accorge? E sarebbe un'ottima domanda, perché in realtà normalmente vengono implementate delle misure base che servono a verificare se qualcosa viene modificato in un sito, viene mandato un alert, viene segnalata la cosa. Insomma, in questo caso non c'era niente di tutto ciò, e questo è stato il quinto errore commesso da British Airways. E iniziano a diventare parecchini questi errori. Come dicevo, nessuno si accorge di niente e il codice malevolo inserito dal malintenzionato continua a essere attivo. Questo codice si attivava quando l'utente arrivava nella pagina di checkout, quindi al momento del pagamento del volo che stava acquistando. Mentre l'utente inseriva i dati di pagamento, il codice copiava tutto e inviava ogni dato del cliente a un altro server, baways.com, nome scelto non a caso ma proprio perché sembra collegato a British Airways. L'utente non vede nulla, sembra una transazione normale. Arrivano tutte le conferme di pagamento, arrivano i biglietti, è tutto regolare. Ma intanto il server gestito dal criminale riceve una bella schermata con nome, cognome, indirizzo e dati della carta di credito. Questo codice continua a funzionare indisturbato per 16 giorni consecutivi, dal 21 agosto al 5 settembre 2018. Questo significa che le 380.000 persone che in quei 16 giorni avevano acquistato qualcosa sul sito o sull'app di British Airways avevano inconsapevolmente inviato i propri dati anche agli attaccanti. Tutto questo a causa di errori evitabilissimi da parte della società, errori che magari presi singolarmente non sarebbero stati così gravi, ma che tutti uniti hanno comportato un danno enorme. Ricapitolando, se la società avesse reso obbligatoria l'autenticazione a più fattori, l'hacker non sarebbe riuscito a entrare nel sistema. Anche se fosse entrato, se qualcuno non avesse lasciato in giro le credenziali di amministratore, non avrebbe potuto mettere le mani sui file più delicati del sistema. Ma anche se avesse avuto le credenziali di amministratore, se i file di log fossero stati configurati correttamente, non avrebbe potuto rubare le carte di credito delle 200.000 persone che avevano acquistato voli con le miglia accumulate. E anche se avesse rubato queste carte, se non fosse stata usata una libreria così obsoleta e piena di vulnerabilità, non sarebbe riuscito a modificare il codice JavaScript per rubare altri dati degli utenti man mano che questi li inserivano. E anche se fosse riuscito a inserire questo codice JavaScript script, se ci fossero stati dei sistemi di allerta in caso di modifica del sito, quelli di British Airways se ne sarebbero accorti subito e avrebbero arginato il problema evitando il furto di un altro mezzo milione di carte di credito. Comunque, la British Airways continua a non accorgersi di nulla e a raccogliere margheritine nei campi, finché il 5 settembre 2018 una società esterna specializzata in cyber security si rende conto che qualcosa non va e allerta la compagnia aerea. E preparatevi, perché da questo momento in poi non riconoscerete più la British Airways, che dalla segnalazione in avanti si trasforma in una macchina perfetta che non sbaglia neanche un passaggio. Meglio tardi che mai. Non appena riceve la segnalazione, la società inizia immediatamente a lavorare per risolvere il problema. In meno di un'ora e mezza rimuove lo script malevolo e blocca il dominio fraudolento a cui erano stati inviati i dati, impedendo quindi che altri acquisti effettuati comportassero l'invio automatico di informazioni. Vengono cambiate le credenziali di accesso e l'hacker non ha più accesso al sito. La società si mette poi subito al lavoro per ricostruire l'accaduto, capire quanti dati erano stati sfiltrati, come si era svolto l'attacco e così via. Questo anche perché il GDPR, il regolamento della privacy, entrato in vigore come dicevo 3 mesi prima della scoperta dell'attacco, prevede che le aziende debbano notificare al garante della privacy qualsiasi violazione di dati entro 72 ore dalla scoperta. Molto spesso la notifica viene inviata quasi allo scadere del tempo o addirittura in ritardo, ma la British British Airways invia la segnalazione al garante britannico nel tempo record di 24 ore, quindi siamo al 6 settembre 2018. Lo stesso giorno dà il via anche a una massiccia operazione di comunicazione dell'accaduto, inviando email a circa 500.000 clienti che si sospettava fossero stati vittima del furto dei dati. Man mano che le indagini procedono, questo numero viene di fatto confermato. Oltre ai 320.000 utenti che avevano acquistato sul sito di British Airways in quei 16 giorni in cui il codice malevolo aveva agito indisturbato, Il 25 ottobre 2018 la società, dopo aver scoperto il furto del famoso file di log con i dati delle carte di credito, annuncia altri 185.000 clienti a rischio. Ovviamente la prima reazione degli utenti colpiti è il panico. Il rischio principale era chiaramente quello dell'utilizzo fraudolento delle carte di credito e debito rubate, tanto che le banche iniziarono a bloccare le carte coinvolte in via precauzionale, prima ancora che fossero addebitati degli importi strani. I clienti quindi subirono anche il disagio di restare senza carta fino all'emissione di quella nuova, oltre all'ansia che i propri dati potessero essere usati in altri modi, ad esempio per email di phishing mirate, per furto di identità e cose di questo tipo. La British Airways comunque si impegnò fin da subito a rassicurare i clienti, ad assisterli nelle procedure di blocco della carta e a rimborsare eventuali furti. Nel frattempo, mentre la British Airways tappava le falle, anche dal punto di vista della sicurezza informatica ovviamente, l'ICO, il Garante Privacy britannico, britannico stava svolgendo le proprie indagini per capire se ci fossero gli estremi per applicare una sanzione, e se sì di quanto. Le sanzioni previste dal GDPR possono arrivare fino al 4% del fatturato annuo della società, e visto che in quel periodo il fatturato da usare come base per il calcolo ammontava a oltre 12 miliardi di sterline, la società era abbastanza preoccupatina. Dopo aver analizzato nel dettaglio le circostanze dell'attacco, le carenze della British Airways sulla tutela dei dati e le conseguenze sugli degli utenti, il Garante nell'estate del 2019 annunciò una sanzione record: 183 milioni di sterline, la multa più alta combinata fino a quel momento sotto il GDPR. In realtà erano stati anche abbastanza buoni, considerato che la sanzione corrispondeva all'1,5% del fatturato e che la British Airways aveva comunque le proprie colpe. La società, nonostante questo, non si limitò a tacere e pagare, ma decise di farsi valere. Presentò osservazioni e memorie difensive evidenziando evidenziando che era vero che aveva avuto delle mancanze, ma che il modo in cui si era comportata subito dopo l'attacco era stato perfetto. Aveva rimosso il codice malevolo in un'ora e mezza, informato immediatamente i cittadini, collaborato con le autorità, creato un help desk per aiutare chi si era trovato più in difficoltà, investito nel miglioramento della sicurezza. Insomma, aveva fatto parecchio. Questi scambi di osservazione con il Garante durarono circa 15 mesi, durante i quali fra l'altro scoppiò la pandemia, che mise ulteriormente in ginocchio la società dal punto di vista finanziario, visto che per un bel pezzo i voli furono estremamente limitati. Alla luce di tutto questo, il garante decise di ridurre la sanzione, che passò da 183 milioni a soli 20 milioni di sterline. Praticamente gli ha fatto uno sconto del 90%. La British Airways pagò questo importo e la vicenda col garante si chiuse lì. In realtà questo però non era l'unico problema giudiziario che la società stava affrontando. Immediatamente dopo l'attacco, i clienti iniziarono a rivolgersi a studi legali per ottenere un risarcimento del danno, sia economico per il furto delle carte, sia morale, visto che comunque tutti i loro dati erano finiti chissà dove, potevano essere usati per portare avanti altre truffe, molte persone erano diventate giustamente paranoiche ogni volta che dovevano prenotare una vacanza, e via dicendo. Nel 2019 venne avviata una delle più grandi azioni collettive, o class action, che il Regno Unito abbia mai visto. 16.000 persone avevano aderito alla class action, dando l'incarico a studi legali specializzati cazzati che avevano chiesto alla British Airways un risarcimento che variava fra le 2.000 e le 6.000 sterline a persona. Quindi parliamo di una cifra che poteva stare fra i 30 e i 96 milioni di sterline. Dopo l'inizio della causa sono iniziate trattative private fra le parti che si sono chiuse a luglio 2021 con un accordo stragiudiziale. Quindi non c'è stata una decisione del tribunale, ma si sono accordate direttamente le parti fra loro. Non sappiamo come sia finita, ma generalmente questi accordi finiscono con risarcimenti molto più bassi di quelli chiesti all'inizio. Quindi possiamo immaginare che anche qui la British Airways si sia risparmiata un po' di soldini. In totale, sommando la sanzione del garante, i risarcimenti, gli interventi tecnici di emergenza, le consulenze legali e forensi e il danno reputazionale, il costo totale di questo data breach per British Airways è stato probabilmente superiore a 100 milioni di sterline. Se l'hai Sbagliato? Secondo me sì, perché non puoi essere la compagnia aerea di punta del Regno Unito ed essere così poco attenta alla sicurezza dei tuoi sistemi. Sicuramente hanno avuto, diciamo, la sfiga di trovarsi davanti qualcuno che sapeva davvero come muoversi, ma non è che questa persona abbia fatto i miracoli. Semplicemente ha sfruttato tutti gli errori che ha trovato, molti dei quali erano abbastanza grossolani e sicuramente evitabili. Detto questo, trovo comunque giusta la riduzione della multa del Garante, perché la società si è comportata veramente in modo impeccabile. Responsabile dopo la scoperta dell'attacco. Non ha insabbiato nulla, non ha scaricato la responsabilità su altri, non si è giustificata, si è rimboccata le maniche e ha lavorato per rimediare al disastro. Così come sono contenta che abbia raggiunto un accordo con i clienti, perché anche con loro comunque si è impegnata per limitare i danni il più possibile. Oggi comunque la British Airways è diventata molto più forte a livello di sicurezza informatica, ha implementato l'autenticazione a più fattori in tutti gli accessi remoti. Senza eccezioni, ha aggiornato ogni componente software obsoleta, ha rivisto completamente la gestione delle credenziali, soprattutto quelle admin, e ha riconfigurato i log di sistema per registrare solo informazioni anonimizzate. È intervenuta anche sul sito web in modo da rendersi conto subito di eventuali manomissioni, ha rivisto le procedure e intensificato anche la formazione dei dipendenti. Quindi tutto sommato si è data veramente da fare. L'unica cosa fastidiosa è che fare queste cose dopo un attacco è sempre facile. Magari investire uscire un po' prima ed evitare di spargere in giro i dati di mezzo milione di persone sarebbe stato meglio. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già la vicenda e cosa ne pensate. Noi ci rivediamo al prossimo video in cui parleremo di un aspetto spesso troppo sottovalutato ma che anche nel caso di British Airways riveste un'importanza cruciale. Parleremo di attacchi alla supply chain o alla catena di fornitura. A presto!