«Minacce via mail? Vi spiego io come ci si difende dal mind hacking»

di Vincenzo R. Spagnolo

Gerardo Costabile è l'uomo che, venticinque anni fa, come investigatore della Gdf scovò i primi "scrittori di virus informatici" italiani e i primi autori nostrani di reati sul web. Oggi presiede l'Associazione italiana per le indagini digitali forensi: «Chi minaccia la sicurezza dei nostri figli o dei voli aerei, sfrutta le debolezze umane in caso di paura. Occorrono procedure operative. E sangue freddo»

«Minacce via mail? Vi spiego io come ci si difende dal mind hacking» — Gerardo Costabile, già investigatore informatico della Gdf e oggi presidente dell'Associazione italiana digital forensics/Courtesy of G. Costabile

«Vuol sapere come la penso? Siamo italiani e, perlomeno in certi ambiti, la prevenzione non è tanto nelle nostre corde. Diamo il meglio di noi quando ci troviamo nelle ambasce. Perciò, visto che siamo in emergenza, tiriamo fuori la nostra bravura, no?». Gerardo Costabile presiede l’Associazione italiana digital forensics e siede nel board di Dinova, società del Gruppo Maggioli dedicata all’intelligenza artificiale e alla cybersecurity per le imprese. Ma è stato anche chief security officer in colossi come British Telecom e Fastweb. E i suoi trascorsi come investigatore della Guardia di Finanza (nel 2001 fu tra coloro che scovarono i primi “scrittori di virus” italiani e fra i primissimi a indagare sul phishing e altri reati informatici) ne fanno un analista attento di tutto ciò che di oscuro e pericoloso si muove nei meandri del world wide web.

In venticinque anni siamo passati dagli hacker, che bucavano i sistemi informatici per esibire la propria bravura, alle minacce “ibride”. Chi sono questi nuovi minacciatori da tastiera capaci di bloccare un Paese?

Intanto, diciamo che l’Agenzia per la cybersicurezza nazionale ha censito 3mila “incidenti” nell’ultimo anno, il che posiziona l’Italia tra i primi 20 Paesi al mondo per attacchi informatici. Attacchi condotti da almeno 4 tipi di hacker.

Quali?

C’è chi agisce a scopo dimostrativo, a volte ideologico: attivisti politici, le cui azioni possono avere impatto sociale. Poi ci sono i delinquenti, i maghi del cybercrime, che frodano, svuotano conti correnti, chiedono riscatti alle aziende... Ancora, ci sono attacchi da dentro le organizzazioni: dipendenti infedeli che agiscono per disamore, rivalsa, interesse. Infine, ci sono attacchi State sponsored, come quelli di gruppi filorussi o filoraniani, sponsorizzati da Stati e che sono spesso portatori di minacce ibride. Minacce, non guerra, come leggo sui giornali, perché la guerra è un’altra cosa.

Quanto è difficile risalire all’identità di esecutori e mandanti?

In questo tipo di indagini, la cautela è d’obbligo. Molte operazioni del genere, e forse anche quelle a cui si riferisce, possono essere condotte “sotto falsa bandiera”: chi le compie, cioè, lascia volontariamente un segno, firmando per così dire in modo sbagliato, per depistare.

Mi sta dicendo che non sapremo mai chi sta dietro alle astruse rivendicazioni delle mail inviate a migliaia di scuole o alle compagnie aeree?

Vedremo. Tecnicamente, non serve un genio: si tratta di banali mail inviate a raffica. Ma fa riflettere il ricorso a messaggi che toccano la sfera emozionale di ciascuno di noi, la sicurezza dei passeggeri o dei propri figli...

Possono celarsi degli Stati dietro quelle azioni?

Per quel che sappiamo finora, non paiono collegabili a un soggetto statuale preciso, almeno per i fatti avvenuti in Italia e Regno Unito. Ma non possiamo ignorare la possibilità che a livello internazionale alcuni, chiamiamoli “attori ostili”, possano trarre vantaggio da un tale caos.

Quanto c’è di subdolamente psicologico in quest’offensiva?

C’è chi sferra attacchi tecnici, oggi più temibili perché usano tecnologie invasive basate sull’IA, e chi si avvale del mind hacking, un hackeraggio della mente, che sfrutta le debolezze del nostro cervello in caso di paura.

E come ci si difende dal “mind hacking”?

Con strumenti moderni e protocolli operativi, a livello di enti e istituzioni. E col sangue freddo, non agendo d’impulso, a livello di singoli. Prendiamo le mail scolastiche: il nostro Paese è stato colto di sorpresa da queste nuove modalità e, sull’onda emotiva, il primo giorno si è deciso di evacuare gli edifici. Nel Regno Unito no, perché l’esperienza recente in fatto di eversione e attentati ha aiutato a soppesare le minacce.

I voli aerei, poi le scuole. A cosa potrebbe toccare adesso, agli ospedali?

La Sanità è un settore molto delicato, in cui convivono l’informatica tradizionale (computer, portali web per le prenotazioni) e quella dei macchinari elettromedicali, come le Tac o gli strumenti per la chirurgia. Se qualcuno si infila nella rete, può entrare anche lì. Non è un segreto: due anni fa l’Agenzia per la Cybersicurezza nazionale ha messo nero su bianco un’analisi dei sistemi della sanità “bucabili”.

Se i settori vulnerabili sono noti, allora a suo parere quali contromisure occorrono?

La cyber security si basa su tre pilastri: quello tecnologico, ossia devi avere hardware e software sempre aggiornati; quello procedurale, perché le situazioni si affrontano insieme e con metodo; e quello delle persone. Per garantire la sicurezza, i tre fattori debbono essere in equilibrio.

Già, le persone. Davvero l’Acn è a corto di bravi hacker perché, lamenta il Governo, sono troppo cari?

Non credo sia una questione di soldi, a meno che non si voglia competere coi gruppi criminali: un milione di euro a un mago del web lo paga un narcocartello, non lo Stato. E poi non servono altre assunzioni di super esperti, in realtà li abbiamo già. Bisogna soltanto assumere le misure necessarie. Per anni si è traccheggiato, ora non si può più. Facciamolo.