Mercoledì 11 novembre, poco prima delle dieci, una mail ha fatto ciò che in Italia non era mai riuscito a nessun ransomware: ha raggiunto 6.300 scuole statali su 7.476, ha portato centinaia di istituti in cortile e ha convocato un vertice a Palazzo Chigi. Nessun sistema violato, nessun malware, nessun allegato. Solo testo.
Il riflesso immediato è stato chiedere più filtri e più difesa informatica. È una risposta comprensibile e incompleta, per una ragione scomoda: per quanto ricostruito finora, quella mail non ha aggirato i controlli, li ha superati. Era, tecnicamente, una mail in regola.
Nella fiaba serve un bambino per dire che il re è nudo. Qui è bastata la casella di un’ex studentessa taiwanese, che peraltro non ne sapeva nulla.
Indice degli argomenti
Cosa sappiamo, e cosa no
Il messaggio, firmato da un sedicente Mikhail Andropov, annunciava un ordigno nell’edificio. Il conteggio di 6.300 istituti è del ministro dell’Istruzione, che lo ha affidato alla direzione dei servizi informatici del ministero. Secondo il Corriere della Sera sono rimaste fuori scuole paritarie e CPIA. La mail è partita da una casella della Da-Yeh University, ateneo privato di Taiwan, intestata a un’ex studentessa; l’università ha confermato la compromissione dell’account.
Non è stato un fulmine a ciel sereno. Il 19 ottobre le scuole coinvolte erano un centinaio, il 2 novembre almeno 271. Il 12 novembre, il giorno dopo il vertice, è arrivata un’altra ondata: circa 1.800 istituti, stesso testo, stavolta da indirizzi con domini filippini.
Quello che non sappiamo è altrettanto importante. Non è noto chi abbia inviato, né come abbia ottenuto gli indirizzi: ci lavora la Polizia postale. Soprattutto, nessuno ha pubblicato gli header della mail.
Ciò che segue sull’autenticazione è quindi un ragionamento su come funziona la posta quando parte da un account legittimo compromesso, non una perizia.
Di chi sia la mano, qui, non ci occupiamo: è il mestiere di altri, e per difendersi non serve saperlo.
Tre sigle che dicono il vero, ma non quello che serve
SPF, DKIM e DMARC sono i tre controlli con cui un server di posta decide se fidarsi di un mittente. SPF verifica che il server da cui arriva il messaggio sia autorizzato a spedire per quel dominio. DKIM verifica una firma crittografica apposta dal dominio mittente, quindi che il messaggio non sia stato alterato in transito. DMARC controlla che i due esiti siano allineati con l’indirizzo che l’utente legge nel campo “Da”, e dice al destinatario cosa fare se non lo sono.
Sono strumenti nati per fermare lo spoofing: qualcuno che, da un server qualunque, finge di scrivere a nome della vostra banca. Funzionano. Ma se chi attacca entra con le credenziali in una casella vera, il messaggio esce dai server veri di quel dominio, viene firmato con la chiave vera e porta un mittente vero. Sul server di chi riceve, l’esito atteso è questo:
Authentication-Results: mx.destinatario.example;
spf=pass smtp.mailfrom=ateneo.example
dkim=pass header.d=ateneo.example
dmarc=pass header.from=ateneo.example
L’esempio è costruito a scopo illustrativo, non è l’header della mail dell’11 novembre. Il punto è ciò che quelle tre righe certificano: che il messaggio viene davvero da quel dominio. Non dicono chi fosse seduto alla tastiera, né se abbia senso che un ateneo di Taiwan scriva alla segreteria di un comprensivo della Bassa. L’autenticazione risponde alla domanda “chi spedisce”, mai alla domanda “perché proprio a me”.
Chiedere a DMARC di fermare questa mail è come chiedere al controllo passaporti di valutare le intenzioni del passeggero.
L’account zombie e la reputazione ereditata
Il dettaglio più istruttivo della vicenda è l’aggettivo “ex”. Una studentessa finisce gli studi, la casella resta attiva, nessuno la guarda più. Una testata locale riferisce che l’account fosse su Microsoft 365 e violato già da inizio anno: lo riporto con cautela, perché l’ho trovato in una sola fonte. Vero o no nel caso specifico, è lo scenario tipico: un’identità dimenticata, con una password riciclata e senza secondo fattore, è la porta più economica che esista.
Chi la apre non ottiene solo una casella. Eredita la reputazione del dominio: anni di posta legittima, un nome universitario, un provider che i filtri del mondo considerano affidabile per default. I sistemi antispam ragionano in gran parte per reputazione, e la reputazione appartiene al dominio, non alla persona.
Nel frattempo, una dirigente scolastica di Milano ha raccontato di aver controllato l’indirizzo per conto suo e di averlo trovato classificato come spam. In pochi minuti, a mano, ha fatto il triage che al sistema nel suo insieme è mancato. Va detto a suo merito e a demerito di tutto il resto.
Dal bonifico alla bomba: è la stessa truffa
Chi lavora in una PMI questa storia la conosce già, con un altro finale. Il fornitore storico scrive dalla sua casella di sempre, dentro il thread di sempre, e comunica che l’IBAN è cambiato. La mail supera ogni controllo perché è autentica: il fornitore è stato bucato tre settimane prima e qualcuno legge la sua posta in attesa della fattura giusta. In gergo si chiama Business Email Compromise, e nella variante che passa dal fornitore Vendor Email Compromise.
La meccanica dell’11 novembre è identica, cambia solo la scala. Tre ingredienti: un mittente tecnicamente autentico, una richiesta che mette fretta, un’azione che non si può annullare. In azienda l’azione è il bonifico. A scuola è l’evacuazione.
In entrambi i casi il malintenzionato non buca nulla del bersaglio: gli basta che il bersaglio esegua la propria procedura. La vulnerabilità sfruttata non sta nel software, sta nel fatto che una mail da sola sia sufficiente a far partire qualcosa di irreversibile.
Seimila decisioni invece di una
C’era un indizio che da solo bastava a smontare la minaccia: lo stesso testo, nello stesso minuto, a migliaia di destinatari. Nessuno piazza seimila ordigni. Alcuni presidi lo hanno capito e non hanno evacuato, dopo aver scoperto che il messaggio era arrivato ovunque. Ma lo hanno scoperto telefonandosi, o dalle agenzie.
Quell’indizio dal basso non si vede. Il singolo dirigente ha davanti una mail, una scuola piena e una responsabilità penale. Si vede solo dall’alto, da chi gestisce la posta di tutti e può notare in pochi minuti migliaia di messaggi identici da un mittente mai visto prima. Lì la decisione era una sola. È stata invece presa seimila volte, da seimila persone sole.
La sequenza racconta anche un’altra cosa. Cento scuole, poi 271, poi 6.300, poi 1.800 da domini diversi: chi invia sta iterando, e a ogni giro cambia qualcosa. Bloccare il dominio taiwanese sarebbe servito ventiquattr’ore, fino all’arrivo di quelli filippini. Finché la difesa consiste nell’inseguire il mittente, il vantaggio resta a chi ha una scorta di account rubati, cioè a chiunque.
Cosa farne, lunedì mattina
La prima cosa è non buttare via ciò che funziona. SPF, DKIM e DMARC con policy restrittiva restano indispensabili: impediscono che qualcuno spedisca a nome vostro. Semplicemente non coprono questo caso, e chi ve li vende come soluzione a tutto vi sta vendendo un vestito al re.
Il resto si divide in due domande, a seconda di quale lato della mail occupate.
- Se siete il destinatario. Stabilite quali azioni non possono mai partire da una sola mail: cambio IBAN, pagamenti urgenti, invio di credenziali, sgombero di un edificio. Per quelle serve una verifica su un canale diverso, verso un contatto che avevate già. Fate marcare in modo visibile i mittenti esterni e quelli al primo contatto. Se avete più sedi, date a qualcuno il compito e l’autorità di guardare la posta dall’alto e decidere per tutti.
- Se potreste essere il mittente. L’ex studentessa di Taiwan è il vostro ex dipendente, lo stagista di due anni fa, la casella condivisa “info” di cui nessuno ricorda la password. Chiudete le identità che non servono più, mettete il secondo fattore su quelle che restano, spegnete i protocolli di accesso vecchi che lo scavalcano. Impostate limiti e allarmi sull’invio massivo in uscita: è l’unico punto in cui una campagna così si ferma a monte.
Nessuna di queste misure richiede un prodotto nuovo. Richiedono che qualcuno le decida, il che spiega perché sono così rare.
Il re era nudo da un pezzo
L’11 novembre non ha rivelato una falla nuova. Ha mostrato a tutti, nello stesso minuto, una cosa che chi fa questo mestiere ripete da anni: abbiamo costruito un sistema che sa riconoscere con precisione chi ci scrive e non ha la minima idea di cosa farsene quando chi ci scrive mente.
Che un Paese se ne accorga solo quando suonano le campanelle sbagliate è umano. Che se ne accorga alla terza ondata lo è un po’ meno. Resta una domanda, e vale per un ministero come per un’azienda di venti persone.
e domattina arriva, autenticata e perfettamente in regola, la mail che chiede la cosa sbagliata, chi da voi ha il compito e l’autorità di dire no?
Partecipa alla community