È il giorno 5 febbraio 2021 quando un attaccante, non ancora noto, riesce a eludere i sistemi di cybersecurity del sistema idrico della città di Oldsmar, Florida.
L’evento, fortunatamente sventato, avrebbe potuto mettere in grave pericolo i circa 15mila abitanti della cittadina statunitense. Lo scopo del cyber criminale, infatti, sarebbe stato quello di avvelenare l’intera popolazione. Un attacco che, se condotto da un attore statale o da un attore sponsorizzato da uno Stato, potrebbe essere inquadrato come un’operazione di cyberwarfare in piena regola e che quindi non ha mancato di far riflettere molte persone sull’attuale stato della cybersecurity awareness.
Per saperne di più abbiamo intervistato l’avvocato Stefano Mele, avvocato specializzato in Diritto delle Tecnologie, Privacy, Sicurezza ed Intelligence e, tra le altre, membro del Consiglio Direttivo e Presidente della Commissione Sicurezza Cibernetica del Comitato Atlantico Italiano.
Avvocato, può riassumerci brevemente cosa è avvenuto in Florida? Sembra essersi trattato di un attacco inaspettatamente semplice.
Esatto. Almeno dal punto di vista tecnico, l’attacco avvenuto ai danni del sistema idrico della città di Oldsmar è stato piuttosto semplice. Quello che però dobbiamo ricordare è che, in particolare nel mondo cyber, non sempre a un attacco ‘semplice’ corrisponde un effetto non devastate. In questo caso l’attaccante è riuscito a penetrare facilmente nel sistema informatico alterando le percentuali di lisciva nell’acqua, una sostanza normalmente utilizzata in piccolissime dosi per controllarne l’acidità, ma che in alte dosi si trasforma in soda caustica, rischiando quindi di provocare una vera strage per chi l’avesse utilizzata. Dobbiamo ribadirlo: un attacco estremamente semplice può portare a un effetto incredibilmente dannoso e su larga scala.
Cosa sappiamo su questo cybercriminale?
Ancora oggi le autorità stanno portando avanti le indagini. Non sappiamo se si sia trattato di un attore sponsorizzato da un altro Stato, di uno Stato ‘avversario’ o di qualcuno mosso da interessi personali. Tuttavia, si parla del coinvolgimento di un ex dipendente della società che gestisce il sistema idrico.
Ci sono stati altri casi di attacchi simili?
Purtroppo sì. Sono ormai molti gli attacchi che dimostrano come attori statali o sponsorizzati da uno Stato stiano sviluppando capacità per effettuare cyber attacchi in grado di causare danni diretti alla popolazione. Basti pensare al recente attacco subito dal sistema idrico in Israele (aprile 2020, ndr), o all’interruzione del servizio di energia elettrica subito nel 2015 e nel 2016 dall’Ucraina o, ancora, all’ormai celeberrimo cyber attacco nei confronti dei sistemi di arricchimento dell’uranio in Iran. I casi sono molteplici e si susseguono già da molto tempo. Non a caso, già nel 2010, ipotizzavo questo tipo di attacchi cibernetici in una mia pubblicazione intitolata proprio ‘Cyberwarfare, danni ai cittadini’. Lì tracciavo le linee di una vera cyber-war e i potenziali danni che potrebbe provocare ai cittadini.
Oggi, questa sua ipotetica cyber-war sembra più tangibile che mai.
Esattamente. Gli attacchi e i tentativi di attacco ai danni di quelli che la normativa definisce ‘operatori di servizi essenziali’ sono sempre più numerosi. È un trend ormai consolidato: gli Stati stanno sviluppando queste capacità per utilizzarle, eventualmente, in caso di conflitto. L’attacco avvenuto in Florida, ad esempio, potrebbe essere stato benissimo un test per comprendere le difese dell’avversario.
Quindi, l’attaccante non voleva causare danni?
Potrebbe darsi. Nulla esclude che le vere intenzioni dei cybercriminali fossero quelle di scoprire i punti deboli del loro ‘nemico’, come analizzare la catena di difesa che entra in funzione in questi casi e osservare la reazione del governo interessato. In ogni caso, al di là di chi sarà accertato essere il responsabile di questa azione, ha sicuramente ottenuto un potente effetto psicologico: far vacillare il senso di sicurezza che uno Stato può dare ai propri cittadini.
In che senso? Può spiegarci meglio?
È scontato pensare che i cittadini di quella particolare zona della Florida ora si fidino meno di chi li protegge. Il rischio è stato reale e le loro vite sono state messe in pericolo, anche se solo in linea teorica. Lei si fiderebbe a bere quell’acqua? È un po’ quello che si ottiene attraverso le operazioni di propaganda e di disinformazione. Con la propaganda si attenta alla parte più emotiva dei soggetti interessati, mentre attraverso la disinformazione si colpisce la parte più razionale. Il tutto avviene per destabilizzare chi è al potere o chi è l’oggetto dell’operazione. Il concetto, nella cyberwarfare, spesso è lo stesso. Effettuare un attacco cyber senza portarlo a termine fino in fondo, inoltre, impedisce allo Stato ‘vittima’ di poter reagire. Solo se un attacco – militare tradizionale o cyber – produce effetti fisicamente rilevabili sulle infrastrutture critiche o conduce alla morte di qualcuno, secondo il diritto internazionale, si può rispondere proporzionalmente all’attacco subito, finanche attraverso le capacità militari tradizionali. Oggi come oggi, chi pensa ancora di potersi solo difendere, a mio avviso sbaglia. Bisogna attuare immediatamente un sistema di prevenzione, difesa e reazione, in quanto sarà sempre di più attraverso il ciberspazio il campo di battaglia prediletto dagli Stati… anche a causa della ben nota possibilità di rimanere agevolmente anonimi.
Tornando al nostro caso in Florida, cos’è che secondo lei non ha funzionato nel ‘sistema di difesa’?
Ancora una volta, al di là dell’aspetto tecnico, è la sensibilizzazione a livello culturale che continua a essere troppo blanda. Se è vero che ci sono moltissimi esperti, tecnici, società e altri attori di vario genere che si sgolano da anni per cercare di alzare l’asticella dell’attenzione sul mondo cyber, è altrettanto vero che la popolazione continua a percepire questa realtà come se fosse ancora molto distante, intangibile. I cittadini per primi, in ogni loro atteggiamento, dovrebbero tenere in grande considerazione il tema della cybersecurity, altrimenti continueranno ad essere sempre il cosiddetto ‘anello debole’ della catena della sicurezza. Non possiamo sperare di riuscire a realizzare dei software senza bug. Non possiamo continuare a ricorrere le patch che fixeranno ogni problema di security. Dobbiamo agire, quindi, in primis sul piano culturale, partendo dalle basi.
In che modo possiamo fare prevenzione e innalzare questo livello culturale?
Partendo dai bambini. Fin dalle scuole elementari si dovrebbe pensare a introdurre quella che io chiamo l’Educazione civica digitale. Solo così potremmo educare i nostri giovani in modo adeguato ad affrontare le tematiche che li coinvolgono quotidianamente. Solo con l’Educazione civica digitale potremmo spiegare loro, per esempio, che un comportamento sbagliato online è pari a un comportamento sbagliato offline. Potremmo porre le basi per risolvere, o quantomeno arginare, problemi come il cyberbullismo, la pedopornografia e fenomeni come quello della Blue Whale. Potremmo fornire loro gli strumenti per comprendere cosa davvero utilizzano quando hanno tra le mani un device tecnologico come un tablet o uno smartphone, strumenti sempre più presenti nelle loro vite… anche troppo. Potremmo, ancora, dare loro la possibilità, successivamente, di riconoscere una mail nociva. È lì che lo Stato, la televisione e ogni altro media dovrebbe intervenire. Negli Stati Uniti, per esempio, si parla di cybersecurity e protezione dei dati costantemente, ad ogni ora. Qui, purtroppo, i pochi programmi sull’argomento sono spesso relegati a orari improponibili.
Potremmo quindi dire di ritenerci fortunati? Se anche l’America ha scampato per poco un attacco dai risvolti potenzialmente devastanti, qui in Italia sarebbe potuta finire molto peggio.
Assolutamente e non solo in Italia. In ambito cybersecurity, purtroppo, sono pochi gli Stati che potremmo definire ‘avanzati’. Stati Uniti, Israele e pochissimi altri. Qui in Europa, purtroppo, siamo in buona compagnia. Non siamo, almeno in questo settore, gli ultimi della classe. Questo, tuttavia, non deve renderci fieri, ma deve invece farci riflettere, spronarci a innalzare le difese e, come detto pocanzi, lavorare sodo sul fronte della sensibilizzazione. Abbiamo dinnanzi a noi praterie che non attendono altro che essere ‘coltivate’.