Cyberattacchi ai frigo, NoName e Z-Peintest rivendicano: ma il video non chiude il caso
Cyberattacchi ai frigo, NoName e Z-Peintest rivendicano: ma il video non chiude il caso. In Francia possibile un’altra matrice statuale
Le autorità analizzano il video arrivato oltre tre settimane dopo i primi attacchi. Sotto esame tempi, canali e attendibilità della rivendicazione: non si escludono un’azione intestata da altri, un video-esca o una diversa matrice, anche statuale, per gli episodi francesi
Il video c’è. La firma pure. Ma arriva oltre tre settimane dopo il primo attacco. Ed è proprio questo, adesso, uno dei punti che più interessano chi indaga. Nelle verifiche sui cyberattacchi che hanno mandato in tilt i frigoriferi dei supermercati di diversi Paesi europei è comparsa questa mattina una rivendicazione: NoName057(16), collettivo hacker filorusso, sostiene di aver condotto l’operazione insieme a Z-Peintest. La Polizia Postale ha intercettato il materiale e lo sta passando al setaccio. Perché potrebbe essere la traccia che mancava. Oppure una traccia costruita perché qualcuno la seguisse.
Gli elementi raccolti finora orientano gli investigatori verso NoName e Z-Peintest. Ma nel dominio cyber una firma non è una prova. Nemmeno quando arriva accompagnata da un video. E attorno alla rivendicazione restano anomalie sui tempi, sul canale utilizzato e sulle modalità con cui è emersa. Con un interrogativo ulteriore: se tutti gli attacchi finiti sotto la stessa lente abbiano davvero un’unica matrice.
L’offensiva europea comincia a manifestarsi il 12 ottobre in Francia. Poi gli episodi si allargano: Italia, Olanda, Belgio, Svezia, Finlandia, Irlanda, Portogallo, Lussemburgo, Estonia.
Il bersaglio iniziale sarebbe stato Danfoss, gruppo danese che realizza anche infrastrutture digitali per i sistemi di refrigerazione. Attraverso le chiavi di accesso sottratte all’azienda, gli attaccanti sarebbero riusciti a entrare nei sistemi non aggiornati dei frigoriferi senza violare direttamente le reti delle catene. Da lì l’alterazione dei parametri: temperature fino a 50 gradi, alimenti deteriorati, merce da buttare e un danno economico ancora da quantificare.
Ma è soprattutto il primo tratto della sequenza, quello francese, a essere riletto con maggiore cautela. Non si esclude che quegli attacchi possano avere una matrice diversa rispetto agli episodi successivi. Un punto ancora aperto, sufficiente però a impedire di considerare acquisita l’esistenza di un’unica operazione europea.
Due firme, due capacità diverse
NoName057(16) e Z-Peintest, per gli investigatori, non giocano sullo stesso terreno. NoName ha costruito gran parte della propria notorietà attraverso campagne Ddos: operazioni rumorose e visibili, ma non necessariamente sofisticate. Z-Peintest, invece, viene accreditato di capacità tecniche ben più elevate. Secondo la ricostruzione investigativa, entrambi gravitano nell’orbita del Gru, il servizio segreto militare russo.
La differenza conta. Entrare in sistemi di refrigerazione distribuiti in più Paesi richiede capacità diverse rispetto a un classico bombardamento Ddos. Ed è anche per questo che gli investigatori cercano di separare ciò che i due gruppi dichiarano di aver fatto da ciò che è possibile dimostrare abbiano realmente fatto.
In Italia il dossier è seguito dall’Agenzia per la cybersicurezza nazionale, diretta da Andrea Quacivi. In campo ci sono anche l’Aisi diretta da Bruno Valensise e l’Aise guidata da Giovanni Caravelli, coordinate dal Dipartimento delle informazioni per la sicurezza diretto dal prefetto Vittorio Rizzi. Il coordinamento politico è dell’Autorità delegata alla sicurezza della Repubblica, Alfredo Mantovano, che ieri ha riunito gli apparati per fare il punto.
Quel ritardo che apre il caso
È qui che la storia cambia. Perché NoName, quando compie un’operazione, rivendica. E solitamente lo fa in fretta: colpisce, pubblica, amplifica. L’attacco diventa propaganda.
Questa volta no. Il primo attacco in Francia risale al 12 ottobre. La rivendicazione dei frigoriferi compare soltanto adesso. Un ritardo di oltre tre settimane che non dimostra nulla, ma che gli investigatori considerano un’anomalia da spiegare. Perché aspettare tanto? E che cosa sta esattamente rivendicando NoName: l’intera sequenza europea oppure soltanto una parte?
C’è poi il problema del canale. Sul Telegram di NoName, almeno nella sequenza pubblicamente visibile, non compare alcun messaggio che attribuisca esplicitamente al gruppo gli attacchi ai frigoriferi.
C’è però un dettaglio che merita di essere riletto. Il 3 novembre NoName annuncia un massiccio attacco Ddos contro i server di Danfoss e richiama gli «attacchi informatici alle infrastrutture critiche» che «stanno già imperversando in almeno 20 paesi (la maggior parte dei quali sono membri della Nato). Nell’area colpita: sistemi di approvvigionamento idrico, centrali elettriche, impianti industriali, aziende vinicole e magazzini alimentari».
Un riferimento molto vicino al perimetro dell’operazione. Ma nessuna rivendicazione esplicita dei frigoriferi. L’intrusione nei sistemi di refrigerazione dei supermercati, infatti, sarebbe passata dalle chiavi di accesso sottratte a Danfoss. Il 3 novembre NoName colpisce invece la stessa azienda con un Ddos: un’azione di forza bruta, rumorosa e frontale, pienamente dentro il suo repertorio abituale. E quella la rivendica subito.
Il punto è proprio questo: chi dispone già delle chiavi per entrare nei sistemi non ha bisogno, per accedervi, di prendere a spallate la porta.
La firma può essere vera. O servire a nascondere altro
È dentro questo spazio, tra ciò che sembra e ciò che può essere provato, che si muovono adesso gli apparati.
La prima ipotesi è la più lineare: NoName e Z-Peintest hanno realmente condotto l’operazione e, per ragioni ancora da chiarire, hanno deciso di rivendicarla soltanto ora.
La seconda è che i due collettivi siano arrivati dopo e si siano intestati un’azione compiuta da altri. Una rivendicazione opportunistica, utile ad accreditare capacità operative superiori a quelle realmente possedute. In questo scenario il video non sarebbe necessariamente falso nei contenuti: sarebbe falsa la firma apposta sull’operazione.
Ma nelle valutazioni investigative compare anche una terza ipotesi. La più delicata. Che il video non sia stato prodotto né dagli autori dell’attacco né da chi vuole appropriarsene, ma da un organismo estraneo all’operazione con uno scopo preciso: provocare una reazione. Gettare un’esca nel circuito cyber e osservare chi risponde, chi corregge dettagli, chi rivendica, chi finisce per rivelare qualcosa che prima non era emerso.
In altre parole: usare una falsa traccia per costringere il vero autore a lasciarne un’autentica.
Il puzzle, però, si allarga ancora. Perché c’è un quarto livello di analisi: gli attacchi potrebbero non avere tutti lo stesso autore. Gli episodi francesi, in particolare, potrebbero appartenere a una matrice diversa, potenzialmente anche statuale, mentre altri passaggi della campagna potrebbero essere riconducibili a soggetti differenti.
Ciò che finora è apparso come un’unica offensiva europea potrebbe dunque essere, almeno in parte, una sovrapposizione di operazioni diverse, accomunate dallo stesso bersaglio tecnologico.
È soltanto una valutazione. Come lo sono, allo stato, gli altri scenari. Ed è proprio questo il punto: più emergono elementi, meno l’attribuzione diventa lineare.
Riproduzione riservata
©
Ivan Cimmarustigiornalista
Newsletter
Notizie e approfondimenti sugli avvenimenti politici, economici e finanziari.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.