Gli operatori delle stazioni idriche di piccole città nel Midwest si sono trovati impossibilitati ad accedere ai pannelli di controllo.
La compromessione delle reti di due navi cisterna dirette in Texas è avvenuta mentre attraversavano l’Oceano Atlantico.
Centinaia di frigoriferi nei negozi di alimentari europei hanno raggiunto la temperatura torrida di oltre 50 gradi C.
Tre attacchi informatici avvenuti da quest’estate con ripercussioni concrete e un principale sospettato: gli hacker iraniani.
Secondo Alessandro Curioni, fondatore di DI.GI Academy, “il salto di qualità degli attacchi attribuiti all’Iran non sembra riguardare tanto la sofisticazione tecnologica, quanto la scelta dei bersagli. Un acquedotto, una petroliera o un impianto frigorifero possono trasformare un comando informatico in un danno materiale”.
L’Iran è stato a lungo considerato una minaccia informatica di secondo piano, priva della sofisticazione tecnologica e strategica di Cina, Russia e Corea del Nord.
Ora, mentre la guerra degli Usa del presidente Donald Trump contro l’Iran si protrae, Teheran sta dando prova di un nuovo livello di aggressività che induce gli esperti di sicurezza informatica ad avvertire che la Repubblica Islamica è diventata un nemico più pericoloso.
“Quando un attacco informatico altera la temperatura di un frigorifero o interferisce con un impianto idrico, il danno esce dallo schermo ed entra nella vita quotidiana”, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0.
Indice degli argomenti
Cyber attacchi dell’Iran: cosa cambia
Secondo funzionari del settore informatico ed esperti di difesa, Teheran sta ampliando i propri obiettivi e sta passando ad attacchi che causano danni nel mondo reale.
“Il punto è che per produrre effetti concreti non serve necessariamente colpire una grande infrastruttura: possono bastare dispositivi di controllo esposti e poco protetti, distribuiti sul territorio“, spiega Sandro Sana.
Questo cambiamento dimostra sia una maggiore padronanza dei nuovi strumenti, come l’intelligenza artificiale, sia la volontà di utilizzarli contro una gamma più ampia di obiettivi.
«Ciò che l’Iran sta facendo in questo momento è trarre insegnamento dall’ultima guerra», ha dichiarato al Wall Street Journal Yossi Karadi, capo della Direzione nazionale israeliana per la sicurezza informatica. «Parto sempre dal presupposto che il mio nemico nella prossima guerra non sarà lo stesso dell’ultima. Sarà uno più forte».
Ma “non occorre violare il Pentagono quando è possibile compromettere il sistema di controllo di un supermercato di provincia”, evidenzia Curioni: “È l’asimmetria delle guerre diffuse: operazioni relativamente semplici possono produrre conseguenze economiche e sociali sproporzionate”.
La storia cyber dell’Iran
Da quando ha iniziato a sviluppare le proprie capacità informatiche nei primi anni 2000, l’obiettivo principale dell’Iran è stato Israele, dove ha sferrato attacchi continui e messo alla prova le proprie tecniche.
Nel corso degli anni, l’Iran ha ampliato i propri obiettivi ai rivali del Golfo come l’Arabia Saudita e gli Emirati Arabi Uniti, mentre gli attacchi negli Stati Uniti hanno preso di mira dispositivi di fabbricazione israeliana.
Teheran ha dato una forte accelerazione al proprio programma informatico dopo essere stato vittima di un worm chiamato Stuxnet, sviluppato da Stati Uniti e Israele per infiltrarsi nei sistemi di controllo delle centrifughe nucleari iraniane e indurle ad autodistruggersi.
Il worm è stato scoperto nel 2010 e quell’attacco è ampiamente considerato come la prima operazione informatica ad aver causato distruzione fisica.
Con alcune eccezioni – come l’attacco Shamoon sferrato dall’Iran nel 2012, che ha distrutto decine di migliaia di computer appartenenti al gigante petrolifero saudita Aramco – gli attacchi informatici iraniani sono stati per lo più operazioni rudimentali, come campagne di influenza.
I gruppi di hacktivisti legati all’Iran erano noti per condurre attacchi di tipo «hack and leak», rubando dati personali e rendendoli pubblici per screditare personaggi pubblici e istituzioni. Più recentemente, hanno preso di mira le telecamere di sorveglianza connesse a Internet.
Il salto di qualità dei cyber attacchi dell’Iran
Negli ultimi anni, secondo funzionari statunitensi e israeliani, l’Iran ha spostato la propria attenzione su due tattiche che possono essere utilizzate insieme per massimizzare i danni nel mondo reale.
La prima è la cancellazione dei dati, che distrugge i file necessari al funzionamento dei computer. La seconda consiste nell’hacking dei controllori logici programmabili, o PLC, dispositivi sempre più utilizzati per automatizzare ogni tipo di attività industriale, dai trasporti alla produzione e alla logistica.
Questi PLC sono integrati nei sistemi di tecnologia operativa (OT), il tessuto connettivo tra i comandi virtuali e gli oggetti fisici.
Si trovano nei semafori, nelle pompe fognarie e nelle reti elettriche, intrecciati in tutte le infrastrutture critiche di ogni paese. Stuxnet è stato un attacco ai PLC.
I PLC nel mirino degli attori iraniani
Nicholas Andersen, direttore ad interim della Cybersecurity and Infrastructure Security Agency (CISA) statunitense, ha dichiarato al Journal che questi dispositivi sono un “elemento della nostra infrastruttura che, a mio avviso, risulta minacciato in particolare da attori iraniani”.
Secondo Sergey Shykevich, direttore del reparto di intelligence sulle minacce presso la società israeliana di sicurezza informatica Check Point, questo tipo di attacchi è diventato più frequente alcuni anni fa ed è quasi sempre perpetrato da un gruppo denominato CyberAv3ngers.
Il gruppo è noto anche come Shahid Kaveh, un’unità del comando informatico iraniano sotto la cui egida opera.
Cyber attacchi, le indagini sul coinvolgimento dell’Iran
Alla fine del 2023, la CISA ha affermato che CyberAv3ngers era responsabile di un attacco ai sistemi Unitronics di fabbricazione israeliana, utilizzati nella gestione delle risorse idriche negli Stati Uniti.
L’agenzia ha pubblicato un avviso all’inizio di quest’anno in cui metteva in guardia da ulteriori attacchi iraniani, aggiornato pochi giorni prima che i sistemi idrici subissero violazioni in almeno sette stati.
A settembre, funzionari statunitensi hanno dichiarato di stare indagando sul possibile coinvolgimento dell’Iran in attacchi informatici contro due petroliere dirette in Texas.
I sospetti francesi
Funzionari statunitensi e francesi sospettano che gli hacker iraniani siano anche responsabili dei recenti attacchi in Europa, che hanno colpito i magazzini della catena del freddo in Francia e altrove, provocando incendi e il deterioramento degli alimenti quando le temperature sono state aumentate da remoto durante la notte.
Molti degli obiettivi erano supermercati situati in centri rurali, che, secondo gli esperti, possono essere più facili da attaccare rispetto alle città.
«È un buon esempio per far capire alla gente quale potrebbe essere l’impatto sulla loro vita quotidiana», ha affermato Andersen a margine della onferenza Cyber Week a Tel Aviv.
L’Iran, a sua volta ripetutamente bersaglio di attacchi informatici, ha negato di aver compiuto attacchi all’estero.
L’ambasciatore iraniano in Francia, Mohammad Amin-Nejad, ha dichiarato al Journal che se Teheran avesse le capacità necessarie non le userebbe contro l’Europa, ma colpirebbe invece gli Stati Uniti o Israele, suggerendo che la responsabilità ricada su un altro Paese.
“Naturalmente, le attribuzioni all’Iran restano da distinguere dalle responsabilità effettivamente dimostrate”, sottolinea Curioni.
Lo stile d’attacco distingue gli attaccanti Nation-State
Ciascuno dei principali aggressori informatici del mondo – Cina, Russia, Iran e Corea del Nord – ha tradizionalmente uno stile di attacco caratteristico.
La Cina tende ad agire in modo occulto, concentrandosi sullo spionaggio e sull’inserimento di agenti all’interno di sistemi critici per prepararsi a futuri conflitti.
Invece, la Russia mira in genere a provocare caos e disagi fisici, a complemento della guerra cinetica. La Corea del Nord utilizza gli attacchi informatici per trarne profitto attraverso furti ed estorsioni.
«L’Iran è un caso davvero bizzarro sotto questo aspetto, perché fa semplicemente tutto ciò che può», ha affermato Shalev Hulio, amministratore delegato della società israeliana di sicurezza informatica Dream.
Tali capacità sembrano essere in espansione. Hulio ha spiegato che, con la proliferazione dei modelli di intelligenza artificiale, l’Iran sta scoprendo come utilizzarli per sferrare attacchi più vasti e rapidi.
Mentre un tempo utilizzava l’intelligenza artificiale per potenziare il social engineering, ha aggiunto, ora l’Iran la impiega per analizzare il codice alla ricerca di vulnerabilità zero-day e per decodificare le patch, consentendo agli aggressori di individuare le falle prima che gli utenti possano risolverle.
“L’intelligenza artificiale può accelerare queste attività, ma spesso basta sfruttare tecnologie obsolete, accessi remoti insicuri e manutenzione insufficiente”, avverte Curioni.
«Stanno cercando di affermarsi come attore di minaccia a livello globale», ha affermato.
La volontà dell’Iran di seminare il caos
Gli esperti di sicurezza informatica sostengono che le capacità dell’Iran siano ancora inferiori a quelle degli altri, ma la sua pura e semplice volontà di provocare il caos lo rendono una forza da non sottovalutare.
«Ora abbiamo un altro Paese di cui preoccuparci, un altro avversario che rappresenta una minaccia», ha dichiarato Mark Montgomery, contrammiraglio in pensione ed esperto di minacce informatiche presso la Foundation for Defense of Democracies, un think tank di Washington da tempo critico nei confronti dell’Iran.
«Gli attacchi informatici stanno assumendo ora una gravità che probabilmente non abbiamo mai visto in passato», ha affermato. «Un codice informatico dannoso può avere lo stesso effetto distruttivo di un ordigno esplosivo».
Shykevich, di Check Point, ha affermato che l’Iran potrebbe stare spostando i propri obiettivi da Israele agli Stati Uniti e all’Europa, poiché lì l’impatto è maggiore e le difese sono più deboli.
«Dal punto di vista tecnologico non sono certamente al livello della Russia o della Cina», ha detto. «Sono semplicemente più aggressivi e diretti».
La lezione iraniana
Al di là dell’attribuzione degli attacchi cyber, è evidente che gli aggressori abbiano sfruttato un controllore raggiungibile da chiunque, frequentemente, con credenziali che nessuno aveva modificato.
“La lezione per le aziende è chiara: conoscere i propri sistemi OT, controllare gli accessi remoti e prevedere come mantenere operative le attività anche quando l’automazione viene meno”, conclude Sandro Sana: “La sicurezza digitale si misura anche nella capacità di proteggere ciò che accade nel mondo fisico“.
Per l’Europa la risposta non può limitarsi alla cybersecurity tradizionale. Infatti, secondo Alessandro Curioni, autore di “Guerre diffuse, “occorre mettere in sicurezza il patrimonio industriale e le sue dipendenze tecnologiche. Serve una difesa in profondità, sotto regia pubblica, che parta dalle grandi infrastrutture strategiche e raggiunga le filiere, spesso costituite da migliaia di PMI che sono il vero ‘ventre molle’ dell’intero sistema“.
Partecipa alla community