Così i pasdaran usano i soldati cyber per terrorizzare l’occidente

Le agenzie di intelligence americane ritengono molto probabile che ci sia l'Iran dietro al cyberattacco coordinato che questa settimana ha colpito oltre trenta sistemi idrici municipali del Minnesota, secondo quanto riferito da diversi funzionari americani. L'Fbi sta indagando sull'attacco, che arriva mentre il conflitto militare tra Stati Uniti e Iran, iniziato cinque mesi fa, rischia di intensificarsi.

Sebbene le agenzie di intelligence non abbiano ancora raggiunto una conclusione definitiva sulla responsabilità di Teheran, l'attacco segue mesi di allarmi lanciati dalle autorità federali per la cybersicurezza, secondo i quali l'Iran avrebbe preso di mira dispositivi che controllano il funzionamento di impianti idrici, di trattamento delle acque reflue e infrastrutture energetiche negli Stati Uniti, provocando in alcuni casi interruzioni operative. Secondo Joe Slowik, direttore della ricerca sulle minacce della piattaforma di intelligence Dataminr, sono state rilevate intrusioni in diversi impianti idrici ed energetici in tutto il paese sin dai giorni successivi allo scoppio della guerra, il 28 febbraio. “Non è un segreto che queste attività siano in corso dalla primavera”, ha detto. “Ci sono state interruzioni in diversi settori delle infrastrutture critiche. E’ una questione molto seria”.

Il New York Times aveva già riferito che gli investigatori federali e statali ritengono probabile il coinvolgimento dell'Iran negli attacchi in Minnesota. Almeno un impianto è rimasto temporaneamente fuori servizio e un altro ha subito l'interruzione dei sensori remoti. Tuttavia, l'agenzia informatica dello stato precisa che al momento non è stato chiesto ai cittadini del Minnesota di modificare il proprio consumo di acqua potabile. Gli attacchi sono avvenuti tra domenica e lunedì, secondo una nota diffusa da Minnesota IT Services, l'agenzia statale responsabile dei sistemi informatici. L'agenzia, insieme ai comuni colpiti, sta collaborando con le autorità statali e federali per condividere informazioni sulle minacce e ripristinare i sistemi compromessi.

Nate George, sindaco di Braham, ha dichiarato in un comunicato online che il dipartimento dei Lavori pubblici della città ha scoperto l'attacco nelle prime ore di lunedì mattina. Dopo aver appreso che almeno altre quattro comunità del Minnesota erano state colpite, i tecnici hanno stabilito che anche il loro impianto era stato violato. “Il personale dei lavori pubblici ha isolato il sistema compromesso, ripristinato un backup e rimesso in funzione l'impianto in circa novanta minuti”, ha spiegato George, aggiungendo che durante l'interruzione i residenti sono stati riforniti attraverso la torre dell'acqua cittadina. Anche nella città di Plymouth sono stati compromessi diversi dispositivi che controllano il funzionamento dei sistemi idrici e fognari, ma sono stati successivamente ripristinati, ha riferito Michael Thompson, direttore dei lavori pubblici. L'approvvigionamento idrico non è stato interrotto. A essere colpiti sono stati soprattutto i cosiddetti Plc (Programmable Logic Controller), dispositivi industriali che controllano automaticamente il livello dell'acqua, la pressione, il funzionamento delle pompe e gli allarmi degli impianti.

Dall'inizio della guerra, il 28 febbraio, l'Iran ha intensificato gli attacchi informatici contro gli Stati Uniti, anche se la maggior parte di essi non ha ricevuto particolare attenzione mediatica. Kurt Gaudette, responsabile dell'intelligence della società di cybersicurezza Dragos, specializzata nella protezione delle infrastrutture critiche, sostiene che esista uno schema ricorrente tra gli attacchi di marzo e quelli in Minnesota: vengono presi di mira piccoli gestori di servizi pubblici che utilizzano centraline di controllo collegate a internet ancora protette dalle password predefinite. “Sono obiettivi estremamente facili”, dice. Gaudette ricorda un episodio simile avvenuto alla fine del 2023, quando un Plc di una stazione di pompaggio dell'acqua ad Aliquippa, in Pennsylvania, è stato violato. L'attacco, che non provocò conseguenze rilevanti, fu rivendicato dal gruppo CyberAv3ngers, affiliato ai Guardiani della Rivoluzione iraniani. L'impianto usava Plc prodotti dall'azienda israeliana Unitronics, bersaglio della stessa campagna di attacchi negli Stati Uniti, nel Regno Unito, in Israele e in Irlanda. Gli attacchi arrivarono poco dopo l'inizio dell'offensiva israeliana a Gaza seguita all'attacco di Hamas che provocò circa 1.200 vittime.

Secondo Alex Orleans, responsabile dell'intelligence sulle minacce della società Sublime Security, l'obiettivo dell'Iran non sembra essere tanto quello di distruggere le infrastrutture quanto di lanciare un messaggio a due interlocutori: gli americani e lo stesso regime iraniano. “Il primo obiettivo è l'opinione pubblica americana: farci andare nel panico e alimentare il sentimento contrario alla guerra facendo sembrare che il prezzo del conflitto sia troppo alto, quando in realtà i nostri sistemi sono piuttosto resilienti”, spiega. “Il secondo è il regime iraniano stesso. Vogliono dimostrare ai loro superiori che stanno contribuendo allo sforzo bellico”. Secondo Slowik, che monitora le minacce informatiche provenienti dall'estero, gli episodi in Minnesota e in altri stati, compresi alcuni della costa orientale, sono opera del Cyber Electronic Command dei Guardiani della rivoluzione. “Le azioni dell'Iran riflettono il desiderio, o la necessità, di poter dire: ‘Anche noi possiamo colpirvi, anche se non si tratta di New York o Los Angeles’”, spiega.

Ad aprile e luglio la Cybersecurity and Infrastructure Security Agency (Cisa) del dipartimento per la Sicurezza interna aveva già pubblicato avvisi in cui segnalava che i pasdaran stavano sfruttando vulnerabilità nei Plc. Giovedì l'agenzia ha diffuso un nuovo avviso, segnalando “un aumento significativo” degli attori ostili che prendono di mira i dispositivi che controllano il funzionamento degli impianti idrici e di depurazione. La Cisa ha raccomandato di scollegare questi dispositivi da internet il prima possibile e di sostituire immediatamente le password. A marzo anche i sistemi informatici del produttore di dispositivi medici Stryker sono stati compromessi per due o tre settimane in seguito a un attacco rivendicato dal gruppo Handala, ritenuto dal dipartimento di Giustizia americano gruppo creato per conto del ministero iraniano dell'Intelligence e della Sicurezza. All'inizio dell'anno Handala aveva inoltre sostenuto di essere riuscito a violare l'account di posta elettronica personale del direttore dell'Fbi, Kash Patel.

Ellen Nakashima e Pranshu Verma

Copyright Washington Post