😱 Il caso COLONIAL PIPELINE: l'attacco che ha fermato l'America

2021, una mattina di maggio come tante altre. Un operatore della Colonial Pipeline, una delle più grandi aziende statunitensi di trasporto di carburante, si presenta al lavoro, ignaro che stava per scoprire uno dei cyberattacchi più devastanti della storia americana. Sul suo schermo, fra i consueti indicatori di flusso e pressione che monitoravano i 9.000 km di oleodotti che attraversavano 17 stati, appare una richiesta di riscatto. Nel giro di poche ore la situazione sarebbe precipitata. Paralizzando il principale sistema di distribuzione carburanti della costa orientale degli Stati Uniti, scatenando il panico fra milioni di automobilisti e costringendo il governo federale a dichiarare lo stato di emergenza. Tutto a causa di una singola password debole e dell'assenza di protocolli di autenticazione a più fattori. Ma per capire bene cosa è successo dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Oggi vedremo l'attacco del 2021 a Colonial Pipeline. Partiamo proprio dall'involontaria protagonista della nostra storia. La società Colonial Pipeline viene fondata nel 1961 e nel giro di pochissimo tempo costruisce una rete di oleodotti che rifornisce quasi metà della costa est degli Stati Uniti con un trasporto giornaliero stimato in circa 400 milioni di litri di carburante. Proprio per l'importanza strategica che rivestiva nel settore dei avvenimenti, la società investe parecchio sulla sicurezza fisica dei suoi sistemi di controllo industriale. Ma come spesso accade, il punto debole non era dove tutti si aspettavano di trovarlo. La storia dell'attacco, come emerse dalle indagini svolte successivamente, iniziò in realtà molto prima di quella mattina di maggio. Iniziò quando un altro servizio, che con Colonial Pipeline non c'entrava nulla, venne hackerato e le credenziali di tutti gli utenti furono messe in vendita nel dark web. Ogni volta che dei database di credenziali vengono diffusi, i malintenzionati che le esistano, iniziano a lavorarci sopra per ricavare da quelle informazioni tutto quello che possono. Un attacco molto tipico si chiama credential stuffing. Ho indirizzi email e password di un utente che ho preso dal mio database e inizio a inserire quelle credenziali in migliaia di altri siti e servizi, sperando che l'utente abbia riutilizzato le stesse credenziali anche altrove. Oggi questi attacchi funzionano raramente perché moltissimi servizi richiedono un'ulteriore verifica. Non basta più inserire username e password, bisogna inserire normalmente anche un codice ricevuto app o via SMS, oppure approvare una notifica da telefono, inserire l'impronta digitale e così via. Il problema è che invece qualche volta questi attacchi funzionano. In uno di questi database c'erano anche l'indirizzo email e la password di un ex dipendente di Colonial Pipeline, ma gli hacker della nostra storia ancora non lo sapevano. Un'altra cosa che dovete sapere è che una delle attività preferite dei gruppi di criminali informatici è scansionare costantemente internet alla ricerca di punti di accesso da sfruttare. Una cosa che amano trovare sono VPN aziendali aziendali non protette. La VPN, o Virtual Private Network, è, per farla molto semplice, un modo per accedere da casa o comunque da fuori alla rete aziendale come se fossimo fisicamente dentro all'ufficio. Serve a chi lavora da remoto, perlopiù quindi ai dipendenti in smart working e ai tecnici che hanno bisogno di intervenire anche senza essere fisicamente presenti. Il punto è che la VPN è anche un rischio, perché si prende la rete aziendale, che dovrebbe essere blindata, sicura, protetta, chiusa, e la porta all'esterno. Immaginiamoci la rete aziendale come una fortezza, protetta quindi con delle mura alte, con un fossato con i coccodrilli tutto intorno, con delle guardie che la sorvegliano. La VPN in questo scenario è come un piccolo tunnel che parte dalla fortezza e porta all'esterno. Il problema è che chi trova l'ingresso del tunnel entra nella fortezza come se niente fosse, se non mettiamo qualcuno di guardia all'entrata del tunnel. Per questo motivo normalmente l'accesso alla VPN aziendale, che sarebbe appunto questo tunnel, è abbastanza protetto, ci vogliono password forti, c'è un'autenticazione a più fattori e così via. Quello che fanno i malintenzionati è scansionare continuamente internet per cercare VPN aziendali non così protette. È come se girassero per i boschi cercando degli ingressi di tunnel non sorvegliati per entrare nelle fortezze. Colonial Pipeline non era di certo una società sprovveduta. Ogni dipendente che lavorava da casa poteva farlo solo tramite una VPN e doveva usare password forti e autenticazione a più fattori. Tutte le VPN attive erano aggiornate e monitorate in modo da rilevare subito accessi sospetti. Ma la società non aveva tenuto conto delle VPN dormienti. Qualche anno prima un dipendente aveva attivato la VPN aziendale per lavorare da casa inserendo come credenziali il proprio indirizzo email e la password che usava praticamente ovunque. Ancora, l'autenticazione a più fattori non era obbligatoria secondo le politiche aziendali e lui non l'aveva attivata. Poco tempo dopo erano successe due cose cruciali: 1) il dipendente aveva smesso di lavorare alla Colonial 1 e 2, un servizio che il dipendente usava era stato hackerato e il database con le credenziali degli utenti era stato diffuso nel dark web. Ed è qui che torniamo al nostro gruppo di hacker formato da cybercriminali per professione, che quel database l'aveva acquistato perché non si sa mai, e che intanto scansionava internet cercando VPN aziendali poco protette. Ogni volta che i criminali ne trovavano una, provavano tutte le credenziali a loro disposizione, sperando in un colpo di fortuna, e se non funzionava andavano avanti a cercare. Immaginatevi la loro sorpresa quando trovarono una VPN aperta, provarono le credenziali dell'ex dipendente, funzionarono e si trovarono dentro alla rete di una delle aziende più strategiche per il funzionamento stesso degli Stati Uniti d'America. Io avrei voluto vedere le loro facce in quel momento, perché in tutto questo l'unica cosa di cui gli inquirenti sono abbastanza sicuri è che Colonial Pipeline non fosse in realtà l'obiettivo dei cybercriminali. Il loro modus operandi era: entro nella rete dell'azienda, la blocco, chiedo il riscatto, incasso, scappo e ripeto. Si trattava di una pesca a strascico. Chi becco becco, vanno bene tutte le società, non mi interessa, io il riscatto lo chiedo a tutti. In questa specifica situazione i nostri malintenzionati avevano avuto la fortuna, diciamo, di sfruttare inconsapevolmente due errori umani diversi di cui nessuno si era accorto. Il primo errore era quello del dipendente che aveva riutilizzato le stesse credenziali in servizi diversi, e quando uno dei due era stato hackerato, i criminali avevano avuto accesso anche all'altro. Alcune aziende oggi, per maggiore sicurezza, di sicurezza invitano i dipendenti a scegliere password totalmente nuove e da utilizzare solo con la mail lavorativa. È un accorgimento banale ma che protegge molto efficacemente dal credential stuffing, cioè dagli attacchi che consistono proprio nel provare credenziali note su vari servizi sperando che l'utente usi sempre le stesse. Molto probabilmente la Colonial Pipeline non aveva delle policy di questo tipo, per cui il dipendente aveva riutilizzato una password che usava già altrove. Il secondo errore, molto più grave, era il modo in cui era stata gestita la chiusura del rapporto con il dipendente. La prima cosa da fare se un dipendente se ne va è proprio quella di disattivare il suo accesso VPN, altrimenti è come lasciare incustodito l'ingresso di un tunnel che porta alla fortezza. È proprio quello che i malintenzionati cercano, un ingresso non sorvegliato. Vanno murati questi tunnel, prima ancora di svuotare la scrivania del dipendente e formattare il suo computer. E invece questa VPN era rimasta aperta ed era stato possibile fare accesso con credenziali che l'utente aveva utilizzato in un altro servizio che poi era stato hackerato. La La cosa ironica è che i cybercriminali sono riusciti a entrare proprio perché erano stati compiuti entrambi questi errori. Non è un problema se l'utente riutilizza le credenziali se la VPN è stata chiusa correttamente. Non è una catastrofe se la VPN è rimasta aperta se il dipendente usava credenziali forti e univoche. Ma queste due cose insieme sono state un errore fatale. Per una settimana intera gli intrusi si mossero attraverso i sistemi di Colonial Pipeline senza essere rilevati. Non erano dilettanti che distruggevano tutto al loro passaggio, erano professionisti specialisti che capivano il valore dell'invisibilità. Esplorarono la rete, mapparono i sistemi critici, identificarono dove erano archiviati i dati più preziosi. Sfruttando delle vulnerabilità di Windows, riuscirono ad aumentare piano piano i loro privilegi, passando dall'essere utenti normali all'essere amministratori del sistema, in modo da avere accesso a tutto quello che l'azienda aveva da offrire. Il loro obiettivo era duplice: 1, copiare tutti i file, tutti i dati, tutte le informazioni che potevano; 2, bloccare una parte del sistema in modo da poter chiedere un atto. Ma il loro vero colpo di genio fu capire esattamente che cosa non attaccare. I sistemi che controllavano fisicamente l'oleodotto, quindi sensori, valvole, sistemi di controllo industriale, rimasero intatti. Il gruppo hacker sapeva benissimo che un attacco ai sistemi operativi avrebbe potuto causare disastri ambientali e una risposta governativa di tipo militare. Si limitarono quindi ai sistemi IT che gestivano il business dell'azienda: fatturazione, contabilità, gestione ordine, comunicazioni interne. Sistemi che una volta compromessi avrebbero reso di fatto impossibile operare l'oleodotto in sicurezza, ma senza causare danni fisici diretti. Era una strategia molto furba: paralizziamo l'azienda ma senza attraversare quella linea che avrebbe trasformato un crimine informatico in un atto di terrorismo. Nella notte fra il 6 e il 7 maggio 2021, il gruppo completò la fase preparatoria. In meno di 2 ore estrassero circa 100 GB di documenti strategici dai server di Colonial Pipeline: contratti riservati, informazioni finanziarie, dati clienti, corrispondenze interne, manuali tecnici, tutto quello che poteva essere utile. Una volta completato il furto, attivarono la fase finale: la distribuzione del ransomware. Il ransomware è un tipo di malware, un software quindi malevolo, che può essere impostato in modo da autodiffondersi su tutti i dispositivi presenti nella stessa rete. Una volta infettato un computer, lo blocca con una chiave crittografica oppure rende inaccessibile determinati file e mostra una richiesta di riscatto, invitando la vittima a pagare per riavere l'accesso completo a dispositivi e file. Il ransomware inviato a Colonial Pipeline faceva tutto questo e anche di più, perché implementava algoritmi di crittografia di livello militare impossibili da violare senza la chiave corretta. Ogni file, ogni database, ogni documento era diventato inaccessibile. Anche il timing era perfetto. L'attacco venne lanciato durante la notte del fine settimana, quando la maggior parte del personale IT era a casa e i sistemi di monitoraggio erano supervisionati da team ridotti. Gli hacker sapevano che più tempo avevano per diffondere il malware prima della scoperta, maggiore sarebbe stato il danno. Quando quella mattina del 7 maggio 2021 l'operatore del centro di controllo scoprì la richiesta di riscatto, era già troppo tardi. Tutta la parte relativa a contabilità, fatturazione, logistica e sistemi amministrativi risultava bloccata, con una nota dei cybercriminali con cui era richiesto il pagamento di 75 bitcoin, equivalenti in quel momento a circa 4 milioni e mezzo di dollari. In in cambio gli hacker avrebbero fornito la chiave di decrittazione e si sarebbero impegnati a non pubblicare i dati rubati. La Colonial Pipeline si trovò a quel punto davanti a un primo bivio: aspettiamo e vediamo se va ancora avanti, o spegniamo subito tutto per evitare danni peggiori? L'azienda non ci pensò due volte e spense completamente l'oleodotto più importante del paese per evitare che il malware potesse raggiungere anche i sistemi operativi industriali che gestivano il flusso di carburante nei tubi. Anche se non c'erano ancora danni fisici, non potevano più gestire mettere in sicurezza il sistema. Non avevano modo di capire cosa stesse arrivando in quali stazioni, non potevano fatturare e quindi preferirono bloccare tutto fin da subito. Gli Stati Uniti precipitarono nel caos. 17 dei 50 stati non ricevevano più il carburante nelle loro stazioni di servizio. I prezzi della benzina salirono alle stelle, nei distributori si crearono code allucinanti, i media alimentarono il clima di panico, il presidente Biden dichiarò lo stato di emergenza. Non erano stati gli hacker a bloccare l'oleodotto, Loro si erano limitati a bloccare la parte amministrativa. Era stata l'azienda, per precauzione, a fermare tutto, con una scelta sicuramente pesante a livello di conseguenze, ma anche un po' inevitabile. Una volta spento tutto, la Colonial si trovò davanti a un secondo bivio: paghiamo il riscatto sperando di riavere l'accesso al sistema, o non paghiamo e vediamo come procede? La società si rifiutò, giustamente direi, di prendere questa decisione da sola. Ormai era diventata una questione nazionale. Intervenne quindi anche l' FBI, che affiancò la Colonial Pipeline per tutto il resto della vicenda. Dentro le sale riunioni della società si consumò probabilmente uno dei dibattiti più difficili nell'ambito del crimine informatico. Da una parte l'FBI e le autorità federali sconsigliavano categoricamente il pagamento. Pagare significava finanziare criminali e quindi incoraggiarli. Dall'altra parte c'era la realtà cruda dei numeri. Il reparto IT della Colonial stava lavorando duramente per ripristinare i dati tramite i loro backup, ma si trattava di una mole immensa di informazioni e il processo era inevitabilmente molto lento. Ogni ora di fermo significava carenze di carburante sempre più acute. Persino gli aeroporti stavano iniziando a razionarlo. La sera del 7 maggio, poche ore dopo la scoperta dell'attacco, la società prese la sua decisione: Colonial Pipeline avrebbe pagato il riscatto. Il gruppo hacker mantenne la parola e fornì la chiave di decrittazione promessa, che portò però a un'altra amara scoperta: il software di decrittazione era lento, inefficiente, si bloccava di continuo. Quello che doveva essere essere un processo rapido si trasformò in un'agonia tecnica. Il tool impiegava ore per decrittare file che avrebbero dovuto essere processati in pochi secondi. Spesso si arrestava addirittura senza spiegazioni e si doveva ricominciare da capo. L'azienda si rese conto di aver pagato 4 milioni e mezzo di dollari per uno strumento che funzionava peggio dei backup che avevano nei loro archivi. Intanto che la Colonial lottava per ripristinare il sistema, le autorità cercavano di chiudere la falla in qualche modo. Si cercò di combinare più soluzioni alternative con navi cisterna di dall'Europa, treni merci riconvertiti e un esercito di autobotti sulle autostrade. Si cercava quantomeno di avere il carburante necessario a garantire servizi minimi come i trasporti via camion, quelli via aereo, le ambulanze e così via. Dopo giorni di lavoro praticamente ininterrotto, il 12 maggio 2021 alle ore 17, Colonial Pipeline riavvia l'olio d'otto ripristinando interamente i servizi. Finalmente tutti tirarono un sospiro di sollievo e l'attenzione si spostò su un'altra questioncina ancora risolta. Chi c'era dietro a questo attacco? Dall'analisi del ransomware, i ricercatori di sicurezza avevano concluso che doveva trattarsi di un'organizzazione già tristemente nota alle autorità, chiamata DarkSide. DarkSide non era una banda di hacker improvvisati, come poi avrete capito sicuramente da come hanno svolto l'attacco. Era un'organizzazione criminale con sede in Russia, o comunque in qualche paese dell'ex Unione Sovietica, che operava secondo il modello ransomware as a service. Il team principale sviluppava il malware e poi lo affittava a dei complici che conducevano materialmente gli attacchi, dividendo poi i profitti. Questi cybercriminali avevano persino adottato quello che definivano un codice etico: non attaccavano ospedali, enti governativi o organizzazioni, non avevano rapporti con le autorità neanche nei paesi ex-sovietici. Si presentavano come professionisti del crimine motivati esclusivamente dal profitto. Avevano persino dichiarato di dare periodicamente in beneficenza una parte dei loro guadagni illeciti. Dietro questa facciata si nascondeva comunque una macchina predatoria, pietata. DarkSide aveva perfezionato la tecnica della doppia estorsione: prima rubavano massicce quantità di dati sensibili, poi crittografavano i sistemi informatici. Il ricatto poi era duplice: o paghi, oppure non solo perdi l'accesso ai tuoi dati, ma pubblichiamo tutto online. In questo modo, anche se l'azienda aveva un sistema di backup solido, era tentata di pagare per evitare che i dati fossero diffusi. L'FBI si mise immediatamente sulle tracce di DarkSide, passando dal pagamento effettuato dalla società. Ogni Bitcoin il denaro intrasferito lascia una traccia nella blockchain che è impossibile da cancellare completamente. Gli investigatori iniziarono quindi a tracciare il flusso del riscatto a partire dal momento in cui era stato pagato. Utilizzando tecniche di analisi forense delle criptovalute e collaborazioni internazionali, iniziarono a ricostruire la rete finanziaria di DarkSide. Ma la svolta arrivò da una direzione del tutto inaspettata. Il clamore mediatico aveva attirato un'attenzione che i cybercriminali non avevano previsto. Il gruppo DarkSide si era improvvisamente si è trovato sotto i riflettori globali e la cosa non gli faceva piacere. Il 13 maggio gli hacker fecero un annuncio senza precedenti: dichiararono che non volevano creare un caos geopolitico, che avrebbero interrotto l'attacco e che i loro server su cui si trovavano questi 100 giga di dati rubati alla Colonial erano già stati sequestrati. Quest'ultima probabilmente era una bugia strategica per sparire nel nulla prima di essere rintracciati. Circa 3 settimane dopo, il 7 giugno 2021, l'FBI e il Dipartimento di Giustizia statunitense annunciano di aver recuperato circa 64 bitcoin su 75. La sfiga per la Colonial è che in quel mese i bitcoin avevano subito un crollo e il valore si era quasi dimezzato. Se 75 bitcoin valevano 4 milioni e mezzo al momento del pagamento, i 64 recuperati valevano solo 2 milioni di dollari o poco più al momento del recupero. In ogni caso fu la prima volta in cui un pagamento di un riscatto fatto in bitcoin veniva recuperato quasi per intero dalle autorità, quindi furono comunque tutti abbastanza soddisfatti. Le conseguenze più importanti riguardarono comunque l'opinione pubblica. Si iniziò a capire che la sicurezza informatica non era assolutamente un aspetto da sottovalutare. Aziende che per decenni avevano considerato la cyber security come un costo secondario improvvisamente la videro come una spesa da mettere a bilancio quanto prima. L'attacco poi aveva dimostrato che nessuna industria era immune. Se i cyber criminali potevano paralizzare il sistema energetico americano, cosa impediva loro di attaccare le reti elettriche, i sistemi idrici, le comunicazioni. La fortuna era stata che a colpire fossero stati dei criminali non motivati da fini terroristici o geopolitici, ma era comunque emersa una falla enorme. Nell'agosto 2021 vennero addirittura introdotti dei requisiti obbligatori di cyber security per le compagnie di oleodotti. Ogni società doveva disegnare un coordinatore per la cyber security sempre disponibile, implementare l'autenticazione a più fattori su tutti gli accessi remoti, segnalare qualsiasi incidente entro 72 ore, condurre valutazioni periodiche delle vulnerabilità e soprattutto doveva dimostrare di avere piani di emergenza per continuare le operazioni anche in caso di compromissione totale dei sistemi digitali. L'idea che un'azienda potesse essere completamente paralizzata da un attacco informatico era diventata inaccettabile. Per quanto riguarda DarkSide, ufficialmente il gruppo si è sciolto dopo l'attacco. I loro server sono stati chiusi, i wallet svuotati, ma nel mondo del crimine informatico la morte spesso è solo una trasformazione. Guarda caso, pochi mesi dopo la chiusura di DarkSide, emerse un nuovo gruppo ransomware chiamato BlackMatter. Gli esperti notarono immediatamente delle somiglianze inquietanti: lo stesso codice base, tattiche simili, persino alcuni degli stessi errori di programmazione. DarkSide sotto un nuovo nome o un erede molto fedele? Chi lo sa. Bene, su questa nota di mistero direi che posso chiudere il video. Spero che questa storia vi sia piaciuta. Come sempre, fatemi sapere nei commenti se conoscevate già la vicenda e cosa che ne pensate. E mi raccomando, implementate l'autenticazione a più fattori. Noi ci vediamo al prossimo video.