A fine 2025 un malware costruito per mandare in tilt i computer ha colpito la rete elettrica polacca. Nei mesi successivi è toccato a una centrale termica svedese e a una diga in Norvegia, aperta da remoto fino a riversare acqua all’esterno. Poi di nuovo la Polonia, stavolta degli impianti di trattamento delle acque.
Diversi di questi attacchi sono stati attribuiti, in tutto o in parte, alla Russia. La guerra ibrida ha smesso di limitarsi al furto di informazioni: ora punta a fermare un servizio e a colpire la popolazione che ne dipende.
Sul fronte mediorientale lo schema si ripete con altri attori. Dopo la guerra di Stati Uniti e Israele contro l’Iran, le autorità americane hanno avvertito che hacker iraniani stanno prendendo di mira infrastrutture critiche negli USA, comprese piccole società idriche private, spesso prive delle protezioni più elementari.
A marzo un gruppo legato all’intelligence di Teheran (così l’ha attribuito il governo statunitense) ha violato l’azienda di tecnologia medica Stryker e cancellato da remoto decine di migliaia di dispositivi dei dipendenti, bloccando le operazioni per giorni.
Teheran si è spostata dallo spionaggio al sabotaggio, e il danno è finito per pesare sugli utili del primo trimestre.
La cybersecurity e i riscatti
La gang anglofona ShinyHunters ha colpito decine di aziende con una tecnica banale e molto efficace: telefonate in cui gli hacker si fingono assistenza informatica, oppure un dipendente che ha perso la password, per farsi consegnare le chiavi dei sistemi interni.
La vittima più esposta è stata Instructure, proprietaria di Canvas, la piattaforma con cui milioni di studenti americani gestiscono corsi ed esami. Dopo aver rubato i dati di oltre 30 milioni tra studenti e personale, e di fronte al mancato pagamento, gli hacker hanno sostituito la normale schermata di login di Canvas con un messaggio di estorsione, iniettando codice nelle pagine di accesso di diverse scuole proprio durante la sessione d’esame, mandando in tilt gli studenti di mezzo Paese.
Alla fine Instructure ha pagato, nonostante l’FBI le avesse chiesto di non farlo. E questo non è che un nome in una lista lunga.
Agli ShinyHunters vengono attribuite alcune delle violazioni più ampie per numero di record sottratti, dal provider internet Charter alla compagnia di crociere Carnival, con vittime anche nell’istruzione superiore, nella finanza e nella pubblica amministrazione.
La breccia che arriva da lontano
Il fronte più insidioso è quello della catena di fornitura del software. Strumenti diffusissimi tra gli addetti alla sicurezza (Trivy di Aqua Security, Bitwarden, Checkmarx) e altri progetti open source sono stati compromessi inserendo codice malevolo nelle versioni distribuite agli utenti.
Chi installava o aggiornava quel software si ritrovava sul computer un programma che rubava password e credenziali. Da lì gli attacchi si sono propagati a valle, fino a grandi aziende che su quel software si appoggiano, tra cui OpenAI e la società di hosting Vercel. Con una nuova compromissione quasi ogni settimana, basta un anello debole per arrivare a tutti gli altri.
Anche gli Stati si sono scoperti vulnerabili. Ad aprile l’FBI ha dichiarato un “grave incidente informatico”, con notifica obbligatoria al Congresso, dopo aver scoperto che uno dei suoi sistemi di sorveglianza era stato violato.
La rete, non classificata, conteneva i numeri di telefono dei soggetti sotto intercettazione. Le accuse puntano su spie cinesi, e la comunicazione ai legislatori lascia intendere un “danno dimostrabile” alla sicurezza nazionale.
Documenti d’identità allo scoperto
Negli ultimi mesi sono finiti esposti sul web milioni di documenti rilasciati dai governi: scansioni di passaporti e patenti lasciate accessibili a chiunque.
È successo a un sistema di check-in alberghiero, a un’app di trasferimento denaro, a un fornitore di telefonia per le carceri, a un portale visti britannico. Oltre due milioni di persone coinvolte, quasi sempre per errori di configurazione banali ed evitabili. Quei documenti, una volta in circolazione, servono proprio ad aggirare i controlli d’identità che app e piattaforme impongono in numero crescente.
Il filo che lega Stryker, Hasbro e gli altri è che la sicurezza informatica è ormai una voce di bilancio. Hasbro, colosso del giocattolo con 103 anni di storia e marchi come Transformers e Dungeons & Dragons, è rimasta in gran parte offline per settimane dopo un attacco di fine marzo, trovandosi costretta a rinviare la pubblicazione dei conti, con costi che si vedranno solo nei mesi a venire.
È su questo terreno che si misurerà il Cyber Resilience Act europeo, che dal 2027 imporrà obblighi di sicurezza ai produttori di software immesso sul mercato UE. L’idea è spostare il costo della prevenzione prima dell’attacco, invece di pagarlo dopo. Con quali risultati, ce lo dirà solo il tempo.
Fonte: TechCrunch
