😈 TUTTI i PEGGIORI attacchi informatici NATALIZI

Immaginate di essere a casa con la vostra famiglia il giorno di Natale. No, aspettate, non ci siamo. Ora ci siamo. Immaginate di essere a casa con la vostra famiglia il giorno di Natale. Avete staccato dal lavoro da un paio di giorni, il computer è spento, il telefono è modalità non disturbare. L'ultimo pensiero lavorativo che avete avuto risale al 23 dicembre, quando avete inviato l'ultima mail con un sospiro di sollievo, pensando: finalmente non ci penso più fino a gennaio. Siete a tavola circondati dai parenti, luci colorate, addobbi, con quel casino allegro che c'è solo a Natale. Qualcuno sta raccontando la solita storia imbarazzante di quando eravate piccoli, qualcun altro sta discutendo animatamente di politica, i bambini corrono intorno all'albero. Voi siete lì rilassati con un bicchiere in mano e pensate che il resto del mondo può aspettare. E in effetti il mondo sta aspettando, ma non nel modo che pensate voi, perché in quel preciso momento da qualche parte notte c'è qualcuno che sta lavorando davanti a uno schermo. Non è in vacanza, non sta cenando con la famiglia, sta aspettando che voi finite di mangiare, che mettiate via il telefono, che vi addormentiate sul divano davanti a un film natalizio. In poche parole, sta aspettando che abbassiate la guardia e poi colpisce. Il 25 dicembre 2014, mentre centinaia di milioni di persone scartavano i loro regali, PlayStation Network e Xbox Live crollarono sotto un attacco che lasciò offline i server per giorni. A Natale 2015 in Ucraina 230.000 persone rimasero al buio, e non per un guasto, ma per un attacco informatico ai sistemi elettrici. Il 24 dicembre 2020 l'Agenzia Ambientale scozzese fu messa in ginocchio da un ransomware proprio mentre i dipendenti erano a casa con le loro famiglie. E questi non sono casi isolati, né tantomeno sono coincidenze. Quello che stiamo per scoprire è che il Natale per gli hacker malevoli non è la stagione della generosità, è la stagione del profitto. È il momento in cui i sistemi di sicurezza girano al minimo, il personale IT è in ferie, le procedure di emergenza richiedono giorni per attivarsi. Per loro è come se noi lasciassimo la porta di casa aperta con il cartello "Siamo in vacanza, torniamo a gennaio". Lo dimostra il fatto che negli ultimi 15 anni alcuni degli attacchi informatici più devastanti sono avvenuti proprio nel periodo natalizio, approfittando di questo stacco. Oggi vi racconto non una, non tre, bensì 10 di queste storie. Ma andiamo con ordine. Ciao a tutti e benvenuti in questo nuovo video. So che avrei dovuto lasciarvi in pace, è Natale, è un momento di festa e so che i miei video tendono a mettere un po' di ansia, quindi avevo mezzo deciso di lasciar stare. Ma poi ho pensato, è esattamente questo che i malintenzionati vogliono. Vogliono che abbassiamo la guardia proprio ora, mentre siamo sul divano in pigiama convinti che il mondo possa aspettare, e invece Invece no, eccoci qui con 10 storie che ci insegnano quanto il Natale possa essere pericoloso. La prima storia inizia la vigilia di Natale del 2011 a Austin in Texas, precisamente dentro agli uffici della società Stratfor. La Stratfor è un'azienda poco conosciuta al grande pubblico ma strategica per aziende e governi, perché quello che fa sostanzialmente è cercare di capire cosa succede nel mondo prima che succeda, basandosi su investigazioni private e raccolta di informazioni informazioni provenienti da varie fonti, per poi pubblicare analisi geopolitiche a pagamento. Giusto per capirci, fra i clienti della Stratfor abbiamo l'Aeronautica Militare statunitense, la Apple, la Lockheed Martin che fornisce le armi all'esercito americano e il Dipartimento della Difesa. Non a caso la chiamano la CIA privata, o meglio la Shadow CIA, cioè la CIA nell'ombra, perché svolge le sue analisi e le sue indagini in modo molto riservato. Per questo motivo il collettivo di hacker Anonymous inizia a tenerla occhio e alla vigilia di Natale del 2011 decidono di farle un regalino. Il gruppo di hacker riesce a entrare nei sistemi di Stratfor con una facilità imbarazzante, considerato che stiamo parlando di una società che lavora per enti governativi e multinazionali enormi. Vabbè, direte voi, riescono a entrare facilmente, ma perché magari la Stratfor proteggeva così bene i propri dati che era impossibile mettere le mani su qualcosa, giusto? Sbagliato. Anonymous, appena si infiltra nei sistemi, trova tutti i dati di oltre 860.000 account, trova scambi di mail interne che coprono anni di corrispondenza riservata e trova pure circa 60.000 numeri di carte di credito. La cosa più assurda è che quelle carte di credito non erano cifrate, erano in chiaro, c'erano tutti i dati visibili: nome e cognome del titolare, numero della carta, data di scadenza, codice di controllo, c'era tutto, erano utilizzabili. Gli hacker di Anonymous quindi non si limitano a rubare dati, ma li usano come sono soliti fare, cioè un po' alla Robin Hood. Cominciano a fare donazioni a enti benefici usando le carte di credito sottratte e postando anche le ricevute su Twitter con l'hashtag #Lolzmas, che sostanzialmente è come se noi scrivessimo "Natalol". L'idea di Anonymous era quella di usare le carte aziendali di multinazionali capitaliste e membri del governo statunitense per fare del bene, anche se in realtà quelle donazioni causeranno poi più problemi che altro, visto che gli enti benefici saranno chiaramente costretti a restituire soldi man mano che le transazioni vengono segnalate come fraudolente. Il fatto di rubare e utilizzare le carte in realtà è solo una piccola parte dell'operazione di Anonymous, che pubblica su WikiLeaks oltre 5 milioni di mail interne di Stratfor, scambiate fra la società e vari personaggi di spicco del governo americano, della NATO e di altri governi internazionali. La Stratfor è costretta a mettere offline il suo sito il giorno di Natale, scrivendo che si tratta semplicemente di una manutenzione programmata. Nel frattempo, l'FBI inizia a indagare, riuscendo a individuare a marzo del 2012 uno dei responsabili, Jeremy Hammond, un giovane hacker di Chicago con precedenti per attivismo digitale. Verrà condannato a 10 anni di carcere federale e rilasciato poi a novembre del 2020, tra l'altro con una vicenda giudiziaria un po' particolare, perché lui chiese alla giudice di rinunciare al proprio incarico in Tanto anche il marito della giudice a quanto pare era fra i personaggi le cui mail erano state rilasciate. La giudice dichiarò che comunque di dati non ce n'erano, rimase in carica e gli diede il massimo della pena. Il colpo di Natale 2011 passerà alla storia come il primo grande attacco festivo della cyber security moderna, oltre che come monito che anche le società che si occupano di sicurezza non possono ritenersi invincibili. Facciamo ora un salto in avanti di 3 anni e per la seconda Andiamo al 2014, l'anno in cui il mondo ha inventato la parola selfie, una svolta epocale. A Natale di quell'anno sotto l'albero per molti c'è una nuova console PlayStation 4 o Xbox One, entrambe uscite a novembre dell'anno prima sul mercato e per molte famiglie diventate accessibili solo nel 2014. Schiere di ragazzini e adulti non vedono l'ora di collegarsi, installare quel gioco che sognavano da mesi e sfidare gli amici online. Online. E invece niente. Il 25 dicembre 2014 PlayStation Network e Xbox Live risultano completamente irraggiungibili. Non è un rallentamento, non è un intoppo tecnico dovuto al numero troppo alto di persone collegate, ma è un blackout totale che investe 110 milioni di utenti PlayStation e 48 milioni di utenti Xbox. Forum e social media impazziscono mentre le persone cercano di trovare un modo di risolvere i problemi tecnici. Finché non ci si rende conto che si tratta di un vero e proprio attacco informatico. A rivendicarlo è un gruppo che si fa chiamare Lizard Squad, la squadra lucertola. Non sono motivati da scelte politiche o da profitto, non si tratta di una cybergang o di criminali incalliti. Sono, per loro stessa ammissione, dei semplici ragazzini in cerca di notorietà che hanno deciso di lanciare un attacco di DDoS. Gli attacchi di DDoS, come abbiamo visto nel video dedicato, sono quelli in in cui si inonda un sito o un servizio di richieste finché il server non è più in grado di gestirle e va in down. E qui la storia prende una piega surreale, perché i membri della Squadra Lucertola non si nascondono, anzi, rilasciano interviste alla BBC e a Sky News vantandosi del loro colpo, dicendo di voler ridicolizzare le grandi aziende tech e aggiungendo: "Forse così la gente passerà più tempo con la famiglia invece che sui videogiochi." A risolvere la situazione è l'imprenditore tedesco-finlandese Kim Dotcom, il creatore di Megavideo e Megaupload. Kim offre alla Lizard Squad una ricompensa in cambio della fine degli attacchi. Per la precisione, offre come riscatto 3000 account premium del suo nuovo servizio Mega, figlio di Megavideo e Megaupload che nel frattempo erano stati chiusi. La Lizard Squad accetta e gli attacchi finalmente cessano. Xbox Live torna online entro 24 ore, mentre per PlayStation Network ci vorranno alcuni giorni prima prima di tornare alla normalità. Nei mesi successivi le autorità di mezzo mondo iniziano a dare la caccia ai membri di Lizard Squad. Ne viene arrestato uno nel Regno Unito, uno nei Paesi Bassi, uno in Finlandia e uno negli Stati Uniti, con le autorità comunque certe che il gruppo fosse formato anche da altre persone. Il Natale 2014 entra nella storia come il peggiore per tutti i gamer appassionati, ma anche come il momento in cui il mondo capisce che il DDoS non è un tipo di attacco da sottovalutare. Soprattutto perché anche un gruppo di ragazzini è in grado di lanciarlo, e persino contro aziende rinomate. Se il 2014 aveva dimostrato che gli hacker potevano rovinare il Natale ai videogiocatori, il 2015 avrebbe dimostrato che erano in grado addirittura di spegnere le luci di un'intera nazione. Il 2015, anno in cui inizia la nostra terza storia, è stato segnato in generale dal terrorismo e dalla paura. È stato l'anno dell'attacco alla redazione di Charlie Hebdo a Parigi e dell'attentato al Bataclan. Ma è anche l'anno in cui è di fatto iniziata la guerra fra Russia e Ucraina, partita dall'annessione della Crimea alla Russia e culminata nel 2022 con l'avvio degli scontri diretti. Il 23 dicembre 2015 siamo ancora all'inizio di questo conflitto, probabilmente in un momento in cui non era ancora chiaro in cosa sarebbe sfociato. In una regione dell'Ucraina occidentale, i tecnici delle compagnie elettriche stanno aspettando di staccare per le ferie natalizie, quando alle 15:35 acque, succede qualcosa di strano. Gli operatori nelle sale di controllo vedono i loro mouse muoversi da soli. Qualcuno da remoto sta prendendo il controllo dei sistemi. Prima che gli addetti possano fare qualunque cosa, gli interruttori delle stazioni elettriche cominciano a saltare uno dopo l'altro. I tecnici sanno già che non è un cortocircuito, è un attacco. 230.000 persone piombano nel buio relativo, perché erano comunque ancora le 3:30, per fortuna. Questo è il primo blackout elettrico causato da attacco informatico nella storia dell'umanità, ed è anche la dimostrazione che gli hackeraggi non sono solo quelle cose che danneggiano i computer, ma sono in grado di incidere sulla vita quotidiana anche di chi un computer non sa manco cosa sia. I malintenzionati avevano fatto le cose per bene. Mesi prima avevano inviato email di phishing ai dipendenti delle compagnie elettriche contenenti degli allegati Word infetti che, una volta aperti, installavano un malware chiamato Black Energy 3. Questo malware dava agli hacker l'accesso ai sistemi SCADA, che sono tutti quei sistemi che controllano le infrastrutture industriali. Mentre i tecnici cercano di capire cosa stia succedendo, gli attaccanti iniziano a sabotare i sistemi di backup, a eliminare tutti i file sui server, e contemporaneamente lanciano un attacco DDoS contro il call center dell'azienda elettrica. In questo modo i clienti che chiamavano per segnalare l'interruzione trovavano le linee occupate. Simile a quello che hanno fatto gli hacker di PlayStation Network ma su telefono anziché sul sito. I tecnici ucraini sono costretti a riattivare tutto manualmente e a guidare di stazione in stazione per riaccendere fisicamente gli interruttori. Per ripristinare la corrente ci vorranno fra le 2 e le 6 ore, a seconda delle zone. Tornata la luce, iniziano le indagini che puntano subito verso un gruppo noto come Sandworm, legato all'intelligence militare russa. Il motivo dietro all'attacco, secondo gli inquirenti, è la volontà di lanciare un avvertimento. La Russia può colpire l'Ucraina non solo con carri armati e missili, ma anche con mouse e tastiera, provocando danni altrettanto gravi. Il Natale 2015 segna un prima e un dopo nella storia della cyber security. Prima gli attacchi informatici erano una questione di informazioni, di soldi, di reputazione. Dopo sono diventati anche una questione di sicurezza nazionale e di infrastrutture critiche, che non sono immuni a chi è in grado di manomettere un sistema informatico. E non era ancora finita, perché un anno dopo gli hacker tornano a bussare alle porte dell'Ucraina con obiettivi ancora peggiori. E questa è la nostra quarta storia. Il 2016 è stato un anno di movimenti forse inaspettati. È l'anno in cui il Regno Unito ha votato a favore della Brexit, in cui Donald Trump è stato eletto presidente degli Stati Uniti, e in cui Renzi ha dato le dimissioni in Italia dopo che il referendum costituzionale aveva bocciato le sue riforme. Mentre ciascuno stato è impegnato occuparsi delle proprie turbolenze politiche fra Ucraina e Russia, il conflitto continua. Nella notte fra il 17 e il 18 dicembre 2016, Kiev piomba di nuovo nel buio. A prima vista sembra una replica dell'anno precedente, un altro blackout, magari sempre causato da un attacco informatico. Questa volta però c'è qualcosa di diverso. L'attacco dura solo un'oretta e colpisce circa un quinto del consumo elettrico della città, quindi neanche di tutta la nazione, solo di Kiev. Sembra quasi contenuto. Le indagini riveleranno poi una verità molto più inquietante. Gli hacker, ancora una volta apparentemente legati al gruppo Sandworm, non volevano semplicemente spegnere le luci, ma volevano far esplodere un'intera stazione elettrica. Il malware utilizzato si chiama Industroyer ed è il quarto malware nella storia progettato specificamente per attaccare sistemi di controllo industriale, dopo Stuxnet, quello che aveva sabotato le centrifughe nucleari iraniane, Black Energy, che abbiamo visto prima, e un altro di nome Havex, sempre di matrice russa. Il piano degli attaccanti era diabolico. Come prima cosa, il malware avrebbe dovuto attivare tutti gli interruttori di una stazione, causando quindi il blackout. Poi avrebbe dovuto distruggere i sistemi di monitoraggio, che servono a capire se ci sono dei problemi. E infine avrebbe dovuto disabilitare i relè di protezione, quei dispositivi che servono a prevenire sovraccarichi di corrente e quindi anche evitare incendi incendi ed esplosioni. In pratica, se un operatore dopo il blackout, vedendo che la corrente era stata ripristinata, avesse riattivato la stazione senza accorgersi che le protezioni erano disabilitate, si sarebbe verificato un cortocircuito catastrofico in grado senza dubbio di causare incendi e forse anche la morte di qualche operatore. Ma gli hacker fortunatamente commettono un errore. I primi due step, quindi l'attivazione degli interruttori e la distruzione dei sistemi di monitoraggio, vanno a buon fine. Mentre mentre il terzo, il comando che serviva a disabilitare i relè di protezione, viene inviato all'indirizzo sbagliato. I tecnici ucraini, ormai esperti dopo il blackout dell'anno precedente, riescono a ripristinare tutto più rapidamente del previsto, senza alcun danno. Ma il messaggio è molto chiaro: non stiamo più parlando solo di blackout, ma potenzialmente anche di qualcosa di più grave. Per la quinta storia lasciamo Russia e Ucraina e le loro guerre e ci spostiamo invece dall'altra parte dell'oceano, precisamente esattamente negli Stati Uniti, dentro agli uffici del Tribune Publishing. Il Tribune Publishing è un colosso dell'editoria americana, è l'azienda che possiede il Chicago Tribune, il New York Daily News e un sacco di altri quotidiani importanti. Nella notte fra il 27 e il 28 dicembre 2018, i tecnici informatici del Tribune Publishing notano qualcosa di strano nei server. All'inizio lo scambiano per un semplice problema tecnico, ma quando cercano di risolvere a risolverlo, il problema ricompare di continuo finché non capiscono: non è un guasto, è un attacco. Il 29 dicembre 2018 la produzione di tutti i giornali del gruppo si ferma. Il malware ha infettato proprio i sistemi di produzione, quelli che compongono le pagine, gestiscono le inserzioni, controllano le macchine da stampa. I tecnici lavorano freneticamente, ma ogni volta che credono di avere finalmente estirpato il virus, questo riappare, reinfettando i server critici. A Los Angeles il giornale del sabato arriva con ore di ritardo. A San Diego solo il 15% degli abbonati riceve la propria copia. Altri giornali come Chicago Tribune escono senza alcune parti, come i necrologi e gli annunci economici. Nel giro di poco tempo la notizia inizia a trapelare e viene rivelato che si tratta di un malware Ryuk, un ransomware potentissimo usato per attacchi mirati contro organizzazioni che possono permettersi di pagare riscatti milionari. La cosa strana è che in questo caso non c'è nessuna richiesta di riscatto. I file sono stati cifrati e la produzione è stata interrotta, ma a quanto pare non con lo scopo di estorcere denaro, semplicemente per dare fastidio e interrompere la stampa. L'FBI e il Dipartimento di Sicurezza Nazionale avviano immediatamente un'indagine che tuttavia non porterà mai a una risposta definitiva. Il Capodanno nel 2019 arriva quindi con le redazioni americane ancora dietro a ripristinare i sistemi infettati e a chiedersi chi è che voleva impedire ai lettori di trovare il giornale nella cassetta delle lettere, e soprattutto perché. Il 2019 quindi era iniziato male e finirà anche peggio, come vediamo adesso nella nostra sesta storia. È il 23 dicembre 2019, appunto, e studenti e professori dell'Università di Maastricht, nei Paesi Bassi, sono in vacanza. Le lezioni sono appena finite e riprenderanno a gennaio. I professori preparano il semestre trimestre che sta arrivando, gli studenti sono a casa a studiare per gli esami e le segreterie sono impegnate a ignorare le mail dei tesisti disperati. In pratica è il momento perfetto per colpire. La notte del 23 dicembre un malware chiamato Clop si diffonde in tutti i server dell'università cifrando ogni file che contengono, bloccando gli account email e mandando offline i portali didattici. Quando i tecnici informatici si rendono conto di cosa è successo è già troppo tardi. L'Università di Maastricht, uno dei più prestigiosi Atenei dei Paesi Bassi è completamente paralizzata. Gli hacker appartengono a un gruppo chiamato TA505, un collettivo di criminali informatici attivi dal 2014. Il loro modus operandi è sempre lo stesso: inviano email di phishing per rubare le credenziali di qualcuno, ottengono un primo accesso e poi si muovono pazientemente nella rete per settimane o mesi cercando i punti più critici. Nel nostro caso l'infiltrazione era iniziata a metà ottobre, ottobre con due mail di phishing aperte su due computer diversi. Da lì gli hacker si erano poi mossi lateralmente grazie a un server che non era stato aggiornato e aveva delle vulnerabilità ormai note. Il giorno dell'attacco poi gli hacker hanno colpito tutto in una volta, bloccando praticamente l'intero sistema informatico e chiedendo un riscatto di 30 bitcoin, che all'epoca valevano circa 200.000 euro. L'università si trova di fronte a un dilemma atroce. Da un lato c'è la posizione ufficiale consiglio di tutti gli esperti di sicurezza e le forze dell'ordine: non pagare mai il riscatto. Pagare finanzia il mercato criminale, incoraggia i malintenzionati a colpire ancora e non garantisce nemmeno che i dati vengano restituiti. Dall'altro c'è la realtà dei fatti. Il 6 gennaio riprendono le lezioni, ci sono esami da fare, ricerche da portare avanti, stipendi da pagare a 4500 dipendenti. I dati sono tutti bloccati perché i pochi backup effettuati erano su dispositivi connessi alla rete e sono quindi stati compromessi a loro volta. Rimettersi a costruire da zero tutto quanto— informazioni sugli studenti, esami dati da ciascuno, situazione degli alloggi e delle tasse— richiederebbe mesi di lavoro. Quindi l'università avrebbe perso l'intero semestre. Il 30 dicembre l'Ateneo decide infine di rassegnarsi e pagare il riscatto. La scelta viene molto contestata, però fortunatamente funziona. I criminali forniscono la chiave di decrittazione, viene ristinato tutto e le lezioni riprendono puntuali il 6 gennaio. Questa scelta porterà a un altro incredibile vantaggio per l'università, perché colpo di scena, nel 2022 le autorità olandesi riescono infine a tracciare i Bitcoin pagati dopo 3 anni di indagini e a restituirli all'Ateneo. Solo che ormai quei 30 Bitcoin non valgono più 200.000 euro, ne valgono 500.000. In pratica l'università non solo non ci ha perso, ma si è vista addirittura restituire il doppio di quanto aveva versato. Purtroppo non a tutti è andata così bene, perché in quello stesso identico periodo un'altra società stava vivendo la stessa situazione, il che ci porta alla nostra settima storia. Siamo a Londra nella notte fra il 31 dicembre 2019 e il 1 gennaio 2020, mentre il mondo brinda all'inizio del 2020 e le persone dicono cose come: "Oh, quest'anno è il mio anno, proprio me lo sento!" Dolci figli della all'estate, non sanno cosa li aspetta. Dentro gli uffici di Travelex qualcosa si sta muovendo. Travelex non è un'azienda qualunque, ma è praticamente la più grande multinazionale del settore del cambio valuta. È presente in 70 paesi con oltre 1200 filiali e 1000 sportelli bancomat sparsi per aeroporti e centri commerciali di tutto il mondo, ed è appena stata infettata dal ransomware Revil. Vabbè, è un attacco come altri che abbiamo già visto, no? Più o meno sì, ma c'è un dettaglio fondamentale che non che possiamo ignorare. Travlex era stata avvisata a settembre 2019, quindi 3 mesi prima dell'attacco. Un ricercatore di sicurezza aveva segnalato alla società che i suoi server VPN contenevano delle vulnerabilità critiche già conosciute e sfruttate dai criminali, per le quali fortunatamente era sufficiente installare degli aggiornamenti di sicurezza perché erano già state sistemate. Travlex non fece nulla, non installò gli aggiornamenti e nemmeno verificò se per caso qualcuno aveva sfruttato quelle delle vulnerabilità per entrare nei sistemi informatici. Peccato che qualcuno in effetti lo aveva fatto. A quanto pare gli hacker erano entrati dentro a Travelex già a giugno 2019, avevano girellato un pochino, rubato credenziali, copiato i dati, inserito il ransomware nei computer, le solite cose. La notte di Capodanno il ransomware si attiva bloccando ogni singola parte del sistema. Gli hacker chiedono alla società un riscatto di ben 6 milioni di dollari. Nelle settimane successive, mentre la Travelex Travelex sta prendendo la propria decisione, è il caos. Il sito resta offline, nelle filiali i dipendenti devono fare tutto con carta e penna e nemmeno le banche riescono a offrire servizi di cambio valuta perché anche loro si appoggiavano a Travelex per cambiare il denaro. Dopo settimane di negoziazione con i criminali, Travelex cede e paga 2,3 milioni di dollari in Bitcoin per riavere i propri dati. È meno dei 6 milioni richiesti, ma è comunque una cifra enorme e soprattutto è una sconfitta, è la dimostrazione attrazione che gli hacker avevano vinto. E la cosa peggiore è che neanche il pagamento del riscatto riesce a salvare l'azienda. Le settimane passate col sito offline, con carta e penna, e senza offrire i propri servizi a clienti e banche portano la società a perdite enormi, sia economiche che di reputazione, a cui si aggiunge da marzo 2020 il blocco totale dei viaggi a causa della pandemia. Per una società basata sul turismo e sulla necessità di cambiare denaro, quello è il colpo di grazia. Ad agosto 2020, dopo aver licenziato 1.300 dipendenti, la Travelex entra in amministrazione controllata nel tentativo di riuscire a ripagare i propri debiti e a ripianare la situazione, che poi si aggiusterà con il tempo e dopo varie vicissitudini. La lezione che insegna questa storia in realtà è molto semplice: se qualcuno ti avvisa che i tuoi sistemi non sono sicuri, forse è meglio che ai ripari. Comunque va detto che il COVID ha fatto la sua parte nel mettere in ginocchio la società. A dicembre 2020, quando inizia la nostra ottava storia, la situazione in tutto il mondo è ancora molto critica. Si parla di nuove varianti in arrivo, molti paesi vietano di riunire la famiglia per festeggiare il Natale. Insomma, non è proprio un bel momento. Oltre a questo, in Scozia ci sono anche altre preoccupazioni perché dicembre è anche il periodo delle inondazioni e della alluvioni. Per fortuna però c'è la SEPA, la Scottish Environment Protection Agency, cioè l'ente per la protezione ambientale incaricato di monitorare le condizioni meteo e di avvisare la cittadinanza in caso di problemi. La vigilia di Natale 2020 i tecnici della SEPA si accorgono di quello che a prima vista sembra, lo avrete già capito, un banalissimo problema tecnico. Parte tutto da un dipendente che non riesce ad accedere al computer, poi un altro che avvisa che non riesce ad aprire alcuni file, e in breve tempo si capisce l'enormità della cosa. La notte fra il 23 e il 24 dicembre 2020 un gruppo di cybercriminali aveva lanciato un attacco ransomware molto simile a quelli già visti nei due casi precedenti. Purtroppo non si tratta di un ransomware qualunque. A lanciarlo è il gruppo Conti, autori della tattica chiamata doppia estorsione. I criminali si erano resi conto che ormai per contrastare i ransomware era sufficiente un backup fatto bene, quindi lasciato offline o magari anche in un altro posto, in modo che gli hacker non potessero arrivarci. I malintenzionati criptavano tutto, l'azienda si faceva una bella risata e poi ripristinava tutti i dati tramite il backup che aveva fatto. Il Gruppo Conti allora aveva iniziato a creare copie dei file e a lanciare una doppia minaccia. Dicevano alle aziende: o paghi, oppure non solo non ti restituiamo i file, ma li pubblichiamo anche su internet. Immaginate un'azienda come Coca-Cola che vede pubblicata su internet la sua famosissima ricetta segreta. Non è proprio il massimo. La SEPA, davanti alla stessa scelta dell'Università di Maastricht e della Travelex, anzi più complessa perché c'era appunto questa doppia minaccia, decide di non pagare. Si rifiuta di usare fondi pubblici per finanziare il mercato criminale. Il gruppo a quel punto, come promesso, pubblica sul dark web oltre 1 giga di dati rubati, circa 4000 file fra documenti aziendali, contratti, rapport ambientali, vitali, informazioni personali dei dipendenti. La SEPA fra l'altro non aveva neanche un ottimo backup dei sistemi, visto che oltre il 20% dei dati non venne mai recuperato e il sistema email restò offline per diverse settimane. L'Agenzia però non si arrende e inizia a ricostruire tutto da zero con pazienza, comunicando sempre in modo molto aperto con i cittadini, spiegando cosa è successo e cosa sta facendo per recuperare. Il Natale del 2019 e quello del 2020, quindi insegnano due lezioni completamente diverse. Vediamo chi per recuperare velocemente i dati persi ha scelto di pagare, venendo ricompensato dopo anni oppure finendo sull'astrico. E vediamo invece chi ha optato per la resilienza, dimostrando che anche quando i criminali danno seguito alle loro minacce si può ripartire da zero. Con queste lezioni alla mano, vediamo cosa sceglierà di fare l'azienda norvegese vittima di ransomware nel Natale del 2021, in quella che è la nostra nona storia. È il 28 dicembre e molti norvegesi escono di casa per andare a comprare il giornale, ma l'edicola è stranamente vuota. La società Amedia, il secondo gruppo editoriale norvegese, è stata colpita da un ransomware durante la notte. Stiamo parlando di un gruppo un po' simile al Tribune Publishing che conta più di 2 milioni di lettori e che gestisce oltre 70 testate locali e regionali. E di quei giornali, la mattina del 28 dicembre, in edicola non c'è traccia. I criminali la notte precedente avevano criptato hacker ha hackerato i server centrali del gruppo editoriale che gestiscono l'impaginazione, la pubblicità, gli abbonamenti. Di fatto i giornali sono pronti e scritti, ma non c'è modo di andare in stampa. Solo 20 testate alla fine riusciranno a produrre un'edizione di emergenza quel giorno, ma le altre 50 non ce la faranno. Gli hacker ovviamente lasciano una nota sui computer infetti chiedendo il pagamento di un riscatto. La direzione di Amedia, trovandosi di fronte alla stessa scelta già affrontata dall'Università di Maastricht, da Traveler e dall'Agenzia SEPA, prende la stessa decisione di quest'ultima, ovvero sceglie di non pagare. Anche qui inizia un vero e proprio calvario, fra il tentativo di recupero dei file, il ripristino dei sistemi, anche la notifica del data breach al Garante Privacy, visto che comunque fra i dati rubati c'erano anche quelli di milioni di lettori. Grazie a un lavoro coordinato e ben strutturato, la maggior parte dei sistemi viene ripristinata nel giro di qualche settimana. E finalmente, dopo Natale del 2019, Natale del 2020 e Natale del 2021 rovinati da vari ransomware, a Natale 2022 si tira un respiro di sollievo. Giusto? Sbagliato. Il 25 dicembre 2022, mentre le famiglie portoghesi sono riunite per il pranzo di Natale, il porto di Lisbona viene attaccato. Stiamo parlando del terzo porto più grande del Portogallo e uno dei più strategici del Sud Europa. Dal porto di Lisbona partono più di 3.500 navi all'anno che hanno un impatto significativo non solo per la Città di Lisbona, ma per tutta l'economia portoghese. L'attacco viene rivendicato dall'OccupyBit, che quell'anno aveva già colpito oltre 1200 organizzazioni a livello globale, rappresentando circa un terzo di tutti gli attacchi ransomware registrati. L'autorità portuale di Lisbona comunica ai media che c'è stato un incidente informatico, ma assicura che le operazioni portuali non sono state interrotte. Le navi possono continuare ad attraccare, i container arrivano arrivano e partono, tutto sembra continuare normalmente. Ma sotto la superficie è il caos. Lockbit pubblica sul suo sito nel dark web una pagina dedicata al porto di Lisbona. Dice di aver rubato documenti finanziari, bilanci, contratti, registri di carico e scarico, elenchi degli equipaggi delle navi, dati personali dei clienti, corrispondenza email interna, e pubblica anche dei campioni dei dati rubati come prova. Al porto di Lisbona viene chiesto un riscatto di 1 milione $1,5 milioni, con la minaccia che altrimenti tutti i dati saranno venduti sul dark web. Purtroppo, cioè purtroppo per noi che vogliamo sapere come è andata a finire la decima e ultima storia, non è mai stato detto se il riscatto sia stato pagato o meno. Considerando la prassi delle istituzioni europee e la posizione pubblica contro i pagamenti ai criminali, è plausibile che il porto abbia rifiutato, il che significa che i dati rubati sono probabilmente finiti pubblicati o venduti sul dark web. Siamo arrivati alla fine del nostro viaggio attraverso 10 anni di attacchi informatici natalizi, da Anonymous che ruba i dati di Stratfor nel 2011 fino a Lockbit che prende in ostaggio il porto di Lisbona nel 2022. 10 storie diverse, più o meno, ma con una morale comune: gli hacker amano il Natale. Non lo amano per i regali, le luci, Babbo Natale, ma lo amano perché è il momento perfetto per colpire. Le aziende sono in modalità vacanza, sono quasi tutti in ferie, anche i membri del reparto IT chiaramente. Le procedure di emergenza richiedono quindi giorni per attivarsi e lasciano quindi più margine di manovra. Quello che impariamo da queste storie è che non possiamo mai abbassare la guardia pensando che tanto gli hacker sono a fare il cenone dai nonni, perché anzi spesso sono proprio ad aspettare che ci distraiamo un attimo. E chissà se quest'anno, mentre noi mangiamo il pandoro, qualche azienda sta per essere colpita da un ransomware. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già queste storie e cosa ne pensate. Noi ci rivediamo il prossimo anno.