“Durante la mia esperienza all’Agenzia per l’Italia Digitale ho scritto le misure minime per la sicurezza informatica della Pa. Sono obbligatorie, ma purtroppo prive di controlli e sanzioni”. Corrado Giustozzi è uno dei maggiori esperti di cybersicurezza in Italia. È stato consulente Agid per lo sviluppo del Cert della Pubblica amministrazione e membro per dieci anni dell’Advisory Group dell’Agenzia Ue per la cybersecurity (Enisa). Ci rivolgiamo a lui per fare il punto sull’attacco delle scorse settimane al Centro elaborazione dati della Regione Lazio: un ransomware (un software malevolo che blocca i sistemi informatici cifrandoli e chiedendo un riscatto in bitcoin, 5 milioni in questo caso, per liberarli) ha bloccato il portale Salute Lazio e i sistemi della rete vaccinale. La politica ha parlato di un “attacco potentissimo”, finanche di “terrorismo”…
Giustozzi, invece cos’è stato?
Ciò che accade da anni in tutto il mondo. Un attacco di matrice criminale, come le estorsioni e le richieste di pizzo. Sui dati c’è ormai una economia di scala spaventosa. Li sequestrano come prima si faceva coi bambini. Dietro c’è la stessa filiera del crimine: altro che hacktivisti e ragazzini in felpa, i milioni dei riscatti vanno riciclati…
Che cosa è successo?
C’è stata una intrusione diretta nella rete, utilizzando le credenziali carpite a un dipendente, non si sa come. Una volta dentro, hanno provato a cancellare le copie di backup dei dati e cifrato tutto. A quel punto è stato chiesto il riscatto, ma non è stato pagato.
Non ce n’è stato bisogno?
No, perché le copie di backup non sono state completamente cancellate. Semplificando, possiamo dire che erano su un dispositivo molto valido, da centinaia di migliaia di euro, che emula i vecchi backup a nastro. Quindi le operazioni di cancellazione non sono state fatte a livello fisico ma solo logico. Lavorando sulla struttura, è stato possibile ricostruire i dati.
La Regione ha fatto errori?
Ha tenuto i backup online. Le misure minime per la Pa prevedono che ce ne siano off-line proprio per minimizzare i rischi di intrusione e facilitare il recupero. E ancora: il poter amministrare i sistemi da remoto (da internet, ndr), l’assenza di autenticazione a doppio fattore e la facilità di passaggio da una rete interna all’altra.
Incuria?
Quando ti muovi nel pubblico fare bene le cose è complicato. Qualche tempo fa al Cert-Pa avevamo avvertito di una campagna di malware che sfruttava vulnerabilità di alcuni prodotti Microsoft. Chiedevamo di aggiornare i sistemi con le patch disponibili. La risposta spesso era: non possiamo perché il contratto col fornitore prevede l’aggiornamento ogni sei mesi e quindi dobbiamo aspettarne altri 4. Spesso poi un sindaco preferisce spendere 100mila euro per cambiare tutti gli estintori scaduti o rifare le aiuole, ma non per un sistema di sicurezza di cui magari non capisce l’importanza.
Come arriva un gruppo criminale attivo anche in Sudamerica alla Regione Lazio?
Di solito è una catena. Attaccano una vittima perché la conoscono o per altri motivi. Da lì, prendono informazioni che possono servire anche per nuovi attacchi. È come se un ladro entrasse a casa del mio commercialista. Comunque l’inchiesta è ancora in corso.
E i sistemi violati?
Non tutti i servizi sono sullo stesso sistema, quindi alcuni database non sono stati toccati. Le macchine però sono state compromesse ed è buona norma non fidarsi più perché magari la minaccia è latente altrove. Bisognerebbe buttare tutto e ricominciare.
I dati sono stati copiati? Si parla di vendita sul dark web…
Pare poco probabile. Centinaia di terabyte possono richiedere mesi e – ma ci dovrà essere conferma delle indagini – sembra che l’attacco sia stato molto più breve. Quelli sul dark web sono vecchissimi.
Gli attacchi aumentano?
Crescono in quantità e in qualità. Non più le mail col finto conto in banca, ma attacchi mirati: studiano l’obiettivo, costruiscono malware ad hoc che sfuggono agli antivirus (si comprano anche facilmente sul mercato nero), cercano le vulnerabilità ed entrano da lì.
Perché la sanità è nel mirino?
Il sistema sanitario è la vittima perfetta perché gestisce la vita delle persone e spesso è più vulnerabile. Un ospedale, anche filosoficamente, non si aspetta di essere attaccato ed è più propenso a pagare perché è responsabile della vita delle persone. Legge della natura: il predatore attacca gli esemplari più deboli.