Un cyberattacco colpisce tre aeroporti inglesi, ma il problema è europeo. Il perimetro che si è spostato

Nessun volo cancellato, o radar in tilt, e nessun aereo che abbia corso il minimo rischio. Quello che gli hacker si sono portati via dagli aeroporti di Manchester, Londra Stansted ed East Midlands è l'elenco di chi ha prenotato un posto auto, di chi è entrato in una lounge, di chi ha pagato l'imbarco prioritario e soprattutto di chi ha lasciato un indirizzo email per collegarsi al wi-fi del terminal. Otto milioni e settecentomila persone. I "ladri" digitali hanno già chiesto un riscatto. Il gruppo Manchester Airports, la società che gestisce i tre scali ed è controllata dai dieci comuni della Greater Manchester, ha risposto di no.

È un bottino modesto, ma proprio per questo il caso è istruttivo. Il gruppo Manchester Airports ha dichiarato che "l'incolumità dei passeggeri e la sicurezza del trasporto aereo non sono state compromesse in alcun modo", e ha precisato che i sistemi violati non contenevano informazioni bancarie o sui pagamenti. La maggior parte delle informazioni esfiltrate sarebbero indirizzi email e numeri di telefono richiesti per la registrazione alla rete wi-fi degli aeroporti. Altri dati, come i codici postali o gli estremi delle automobili sarebbero invece stati ottenuti dai sistemi usati per prenotare parcheggi e biglietti con imbarco prioritario, e accedere alle aree lounge. Come misura precauzionale, la società ha deciso di sospendere per 72 ore il proprio servizio online per gestire le prenotazioni. Ai clienti è stato raccomandato di diffidare di email, chiamate e messaggi da mittenti sconosciuti e di non aprire allegati sospetti. Il pericolo è proprio lì: indirizzi, numeri di telefono, codici postali e targhe possono essere utilizzati per costruire la truffa successiva. Un messaggio che cita il tuo parcheggio, la tua targa e il tuo volo è quasi indistinguibile da uno vero.

Sebbene l’operazione criminale sembri escludere il coinvolgimento di attori statali, quanto accaduto nel Regno Unito solleva ancora una volta l’importanza della sicurezza informatica come parte integrante della difesa di un paese. I recenti, numerosi episodi di cyberattacchi russi contro paesi membri dell’Unione europea e alleati dimostrano chiaramente quanto le infrastrutture digitali siano obiettivi sensibili nel conflitto in corso e, in quanto tali, necessitino di misure di protezione adeguate.

Gli attacchi informatici alle infrastrutture sensibili si prestano ai conflitti ibridi per la loro natura ambigua: i mandanti restano nell'ombra, e l'esecutore può decidere in un secondo momento a chi offrire il proprio servizio. Quello che nasce come estorsione può diventare, un mese dopo, un trasferimento di informazioni a un paese ostile. Lo spionaggio russo lavora già così, affiancando alle spie qualificate "agenti monouso" reclutati su Telegram: il confine tra criminalità di basso rango e sabotaggio internazionale è labile. Per questo motivo, a luglio, l'Alto rappresentante dell'Unione per gli affari esteri, Kaja Kallas, ha parlato in un comunicato di un vero e proprio "ecosistema cyber": la rete di attori statali e non – agenzie di intelligence, gruppi hacktivisti, cybercriminali, compagnie private – di cui Mosca si serve per le sue "pericolose attività informatiche".

Gli aeroporti, che accumulano dati personali per il solo fatto di offrire servizi, sono bersagli esposti. Le agenzie di cybersicurezza raccomandano da tempo di non usare le reti wi-fi degli scali, gratuite o a pagamento che siano, e di preferire l'hotspot del telefono. Se proprio si deve passare da una rete pubblica, va usata una Vpn, la rete privata virtuale che protegge i dati in transito. Ma il caso di Manchester racconta anche qualcosa di diverso. Lì nessuno ha intercettato le comunicazioni: i dati sono stati presi dai server, dove giacevano da mesi o da anni. Il consiglio giusto, allora, non riguarda la connessione ma la registrazione. Ogni indirizzo email lasciato per venti minuti di wi-fi gratuito è un debito che qualcuno, prima o poi, potrebbe decidere di riscuotere.

Il Regno Unito ha capito che il perimetro si è spostato e sta riscrivendo il "Government War Book", il manuale per la protezione del paese in caso di aggressione fisica o informatica. Questo discorso rientra nel concetto più ampio di whole of society defence, ovvero l’idea che la difesa non sia più soltanto una responsabilità esclusiva delle Forze armate, ma coinvolga istituzioni, imprese, infrastrutture e anche singoli cittadini.

E l'Italia, come si sta muovendo su questo terreno? Per ora resta indietro, sia a livello di iniziative del governo che sul piano del dibattito pubblico. Un primo segnale di risposta è stato l’Atto di indirizzo del ministro della Difesa Guido Crosetto, pubblicato il mese scorso, il quale affermava che un “sistema di Difesa civile”, per adeguare il paese alle modalità della guerra che cambiano, sarebbe al momento “in via di costituzione”.

Nel frattempo, le cose succedono. Il 24 agosto TeamSystem, uno dei maggiori fornitori italiani di software gestionale, ha rilevato un accesso non autorizzato al servizio Contabilità in Cloud, usato da imprese, commercialisti e consulenti. Due giorni dopo lo ha comunicato ai clienti. Sono stati esfiltrati dati anagrafici, recapiti, coordinate bancarie Iban e movimentazioni contabili complete di causali, importi e controparti: chi paga chi, quanto e per cosa. Le verifiche su quali archivi siano stati raggiunti sono ancora in corso. Pochi giorni prima era toccato al Gruppo Spaggiari, che fornisce i registri elettronici a buona parte delle scuole italiane.

Nel giro di una settimana, insomma, sono finiti in mani ignote gli spostamenti di otto milioni e mezzo di viaggiatori britannici, la contabilità di un pezzo di piccola impresa italiana e i registri di scuola dei nostri figli. Nessuno di questi archivi era considerato un'infrastruttura critica. Ma la difesa civile non si costituisce solo difendendo le centrali elettriche, perché può essere aggirata dal basso, passando dal parcheggio, dal commercialista e dal registro di classe. A Londra il perimetro lo stanno ridisegnando con un manuale, noi lo stiamo scoprendo un data breach alla volta.