L’attacco alla DIA che non c’è stato: quando per fare danno basta uno screenshot

In dieci giorni l’Italia ha visto banchi frigo manomessi davvero, i dati di un ministro messi all’asta e un furto di documenti all’Antimafia smentito nel giro di poche ore. Il Viminale ha tirato la riga: il bersaglio è la reputazione.

Per chi governa un’azienda la lezione è scomoda: il primo incidente da gestire, ormai, è la notizia dell’incidente.

Dieci giorni, quattro episodi, un filo conduttore

La sequenza va rimessa in ordine, perché dentro ci sono cose molto diverse tra loro e il trucco sta proprio nel mescolarle.

Il primo episodio è un attacco vero, con merce buttata e un dettaglio da manuale di sicurezza industriale: secondo il direttore generale Giuseppe Spadaro gli intrusi hanno modificato anche le soglie degli allarmi, portandole a 150 gradi.

Non hanno rotto il frigorifero, hanno accecato chi lo sorvegliava.

L’ultimo, quello della DIA, è un attacco che non c’è stato. In mezzo, dati personali di un ministro e, nelle stesse giornate, falsi allarmi bomba sui voli.

Il falso funziona perché arriva subito dopo il vero: dopo i frigoriferi a temperatura ambiente, qualunque screenshot è credibile.

Anatomia di una rivendicazione vuota

La formula usata dalle fonti investigative è “acquisizione del sito internet”. Tradotto dal burocratese: qualcuno ha scaricato in blocco ciò che il sito della DIA pubblica per tutti.

È un’operazione che non richiede di violare nulla, perché un crawler segue i link e salva pagine e allegati come farebbe un visitatore molto paziente.

Non è stato reso noto che cosa contenesse l’archivio, ma il sito della DIA ospita, tra l’altro, le relazioni semestrali al Parlamento, piene di analisi sui gruppi criminali.

È il tipo di materiale che, zippato e ribattezzato con nomi adeguatamente inquietanti, può far diventare duecento mega di PDF pubblici “oltre 300 file riservati”. Costo dell’operazione per chi la mette in piedi: un pomeriggio. Costo per chi deve smentirla: una giornata di lavoro di tecnici e Polizia postale, più il titolo che nel frattempo ha fatto il giro dei social.

Va detto che l’account che ha dato visibilità all’annuncio, Dark Web Informer, lo aveva etichettato come non verificato. L’etichetta si è persa al secondo repost, come sempre.

Distinguere un furto vero da un archivio riconfezionato è un lavoro tecnico preciso, e chi lo sa fare lo chiude in poche ore. Non è stato reso noto quali verifiche siano state svolte in questo caso; quelle che seguono sono la prassi:

1. Si recupera il campione e l’elenco dei file che il venditore espone come prova, e si confrontano nomi, dimensioni e impronte hash con quanto è già pubblico. Se coincidono, metà del lavoro è fatta.
2. Si guardano date e metadati: esiste almeno un documento più recente o diverso da quelli pubblicati? Un vero esfiltrato contiene quasi sempre qualcosa che non doveva uscire, come bozze, posta, export di database.
3. Si interrogano i log del web server e del WAF. Uno scaricamento massivo ha una firma inconfondibile: pochi indirizzi, richieste in sequenza, migliaia di URL in poche ore. È la traccia di una copia, non di un’intrusione.
4. Si controlla l’interno: autenticazioni anomale, alert dell’EDR, volumi di traffico in uscita nel periodo dichiarato.
5. Si verifica se credenziali dell’organizzazione circolano nei log degli infostealer, perché è da lì che partono molte intrusioni autentiche.
6. Si pesa il venditore: storico sul forum, rivendicazioni precedenti, quante si sono rivelate fondate.

Il punto che interessa a chi siede in consiglio è nascosto nei passaggi 3 e 4. Dimostrare che un attacco non c’è stato significa dimostrare un negativo, e un negativo si dimostra solo con i log. Chi conserva sette giorni di tracciati e non ha un inventario di cosa è esposto al pubblico non può smentire: può soltanto sperare.

Perché funziona anche senza breach

Il meccanismo è un’asimmetria, e chi l’ha progettato la conosce benissimo. Rivendicare costa zero e richiede un post. Smentire richiede verifiche tecniche, una catena di comando che funzioni anche di domenica e qualcuno autorizzato a parlare. In mezzo c’è una finestra, e in quella finestra la notizia viaggia da sola.

Il ciclo dell’informazione è più veloce del ciclo della forensics: nessuna redazione aspetta l’esito dell’analisi dei log prima di scrivere che “sono in corso verifiche”.

Il caso DIA, da questo punto di vista, è andato bene. L’annuncio è circolato l’8 novembre, il 9 mattina gli screenshot erano ovunque e già nel primo pomeriggio le fonti investigative potevano dire che, allo stato delle verifiche, nessun dato protetto era uscito. Meno di una giornata, con un messaggio coerente.

Eppure, nel frattempo sono usciti titoli su “300 file in vendita sul dark web”, e la rettifica, come ogni rettifica, non raggiungerà mai tutti quelli che hanno letto la prima versione.

Il Comitato riunito al Viminale lo ha messo nero su bianco: il tratto comune degli episodi è l’intenzione di destabilizzare e diffondere allarmi poi rivelatisi infondati, incidendo sulla reputazione delle istituzioni prese di mira. Chi attacca, cioè, non ha bisogno di entrare. Gli basta che per qualche ora si creda che sia entrato.

Ora si tolga “istituzioni” e si metta “la vostra azienda”. Uno screenshot con il logo e la scritta “in vendita” produce in sequenza: la telefonata del cliente principale, la mail della banca, il questionario urgente del committente che deve rispondere dei propri fornitori, la domanda del giornalista locale. Tutto questo prima che il responsabile IT abbia finito di leggere i log. Se poi l’azienda è quotata, o sta chiudendo una gara, il danno ha già un prezzo.

La stampa di settore ha una regola che dovrebbe diventare grammatica comune: finché non c’è conferma della vittima o di un’autorità si scrive “il gruppo X rivendica”, non “l’azienda Y è stata colpita”. Vale per chi scrive e vale, a maggior ragione, per chi è chiamato a rispondere.

Il playbook che manca

Quasi tutte le aziende che hanno un piano di risposta agli incidenti lo hanno scritto per l’incidente vero: isolare, contenere, ripristinare. Pochissime hanno una pagina su cosa fare quando l’incidente è solo dichiarato da qualcun altro. È la pagina che oggi serve per prima, e ha poco a che fare con il SOC.

Si parte dai testi. Tre comunicati già scritti e già approvati dal legale, uno per ciascuno stato possibile: rivendicazione non verificata, verifiche in corso, esito confermato o smentito. Il primo deve poter uscire entro un’ora e dice tre cose soltanto: che cosa sappiamo, che cosa stiamo verificando, quando daremo il prossimo aggiornamento. Scriverlo alle due di notte con il telefono che squilla è il modo migliore per sbagliarlo.

Poi le persone. Un nome, non un ruolo generico, per chi decide e per chi parla, con un sostituto e un canale di contatto che non dipenda dalla posta aziendale. Il venerdì sera e il mese di agosto fanno parte del calendario degli attaccanti molto più che di quello dei comitati di crisi.

Poi l’ascolto. Monitorare leak site, forum e social per il proprio marchio serve a una cosa sola: saperlo prima del giornalista. La differenza tra rispondere a una domanda e subirla sta tutta in quelle ore.

Poi le prove, cioè la parte tecnica senza la quale tutto il resto è retorica. Conservazione dei log sufficiente a coprire il periodo che un venditore può dichiarare, inventario di ciò che è pubblicamente esposto, una base di riferimento dei volumi di traffico in uscita. Senza questi tre elementi il comunicato “non ci risultano compromissioni” è un atto di fede, e gli atti di fede invecchiano male.

Infine, gli orologi normativi. Per i soggetti NIS il decreto 138/2024 prevede una pre-notifica allo CSIRT Italia entro 24 ore e una notifica entro 72 dal momento in cui si viene a conoscenza di un incidente significativo; il GDPR ne concede 72 per notificare al Garante una violazione di dati personali, salvo che sia improbabile un rischio per gli interessati.

Una rivendicazione vuota non fa scattare né l’uno né l’altro, ma solo se si è in grado di documentare perché la si è giudicata vuota. La valutazione va messa per iscritto, con data, ora ed evidenze, e va riaperta se emergono indizi concreti di compromissione.

Due cose da non fare, mai. Smentire prima di aver verificato: negare in dieci minuti ciò che dopo due giorni si rivela vero è l’unico modo certo di trasformare un problema tecnico in un problema di credibilità. E trattare con chi vende: una rivendicazione vuota si alimenta di attenzione, e contattare il venditore è il modo più rapido per confermargli che ha scelto il bersaglio giusto.

Tutto questo si prova, come un’evacuazione antincendio. Un’esercitazione a tavolino di due ore, con uno scenario solo: sabato, ore 23, su X compare uno screenshot con il vostro logo e un prezzo in bitcoin.

Quante ore vi servirebbero per dire con certezza che è falso, e chi, nel frattempo, starebbe parlando al posto vostro?