Gli hacker che pretendono una rettifica dall'Fbi

Un gruppo che si fa chiamare ShinyHunters sostiene di avere violato sistemi collegati all'Fbi e di possedere dati su gran parte del personale dell'agenzia americana, incluse informazioni sui familiari. Il 22 settembre ha anche vandalizzato una pagina del sito di reclutamento dell'Fbi, sostituendola con un messaggio di rivendicazione. Il Bureau ha confermato di essere a conoscenza della rivendicazione e di stare indagando, senza confermare né l'entità dei dati né il metodo usato per accedervi. Chi ha esaminato il campione di dati diffuso dal gruppo riferisce che almeno una parte risulta autentica, mentre l'origine resta da accertare.

C'è almeno un elemento che rende questa storia diversa dalle solite rivendicazioni di questo tipo di gruppi. ShinyHunters dichiara che l'obiettivo non è economico, come nella natura dei consueti ransomware. Il gruppo chiede invece all'Fbi di ritrattare parte di un avviso pubblico diffuso lo scorso maggio, in cui l'agenzia descriveva le sue tattiche parlando di molestie verso le vittime e i loro familiari e di episodi di swatting, la pratica di segnalare false emergenze per fare intervenire la polizia armata a casa di qualcuno. ShinyHunters nega quelle accuse e vuole che l'Fbi le corregga.

E’ un capovolgimento che vale la pena notare. Normalmente è un'istituzione a definire pubblicamente chi è un criminale e con quali metodi opera, mentre qui è il criminale a reclamare un contraddittorio, quasi come farebbe un'azienda colpita da un articolo che ritiene scorretto, con tanto di scadenza per la rettifica. Il dettaglio non è marginale: mostra un gruppo che si preoccupa della propria reputazione quanto e più del bottino, e che usa la violazione come leva per riscrivere la narrazione pubblica su di sé, più che per un riscatto.

Sul metodo usato in questo episodio specifico, ShinyHunters parla di una vulnerabilità informatica in un sistema Oracle collegato al portale di reclutamento dell'Fbi, ma non ci sono ancora conferme indipendenti su questo punto. Il precedente del gruppo racconta comunque una storia utile a inquadrare il fenomeno. Le violazioni già accertate a suo carico, dal caso Salesforce a quello di Charter Communications, sono partite da una telefonata: un finto tecnico IT che convince un dipendente ad approvare un'app o a confermare una credenziale.

Se l'attenzione pubblica sull'AI resta concentrata su sistemi che sfuggono al controllo dei loro creatori, la cronaca di questi mesi racconta un rischio più prosaico e già oggi molto redditizio per la criminalità informatica. Non serve un exploit raffinato, né un'intelligenza artificiale per convincere un umano: basta una voce che chiede fiducia al momento giusto. E ora, a quanto pare, gli stessi gruppi che sfruttano questo varco iniziano a pretendere anche di controllare come vengono raccontati.