Dopo due anni di assenza, nel 2026 è tornata la più nota competizione cinese di hacking: la Tianfu Cup.
La competizione, secondo gli analisti che ne hanno seguito lo svolgimento, è stata organizzata dal Ministero della Pubblica Sicurezza e accompagnata da grande riservatezza sui risultati e sulla sorte delle vulnerabilità scoperte.
Ecco perché c’è il dubbio che più che una gara di hacking, la Tianfu Cup sia uno strumento di Stato.
Indice degli argomenti
Tianfu Cup
La Tianfu Cup nasce nel 2018 come alternativa nazionale ai grandi concorsi internazionali, come la Pwn2Own della Zero Day Initiative, in cui hacker etici e ricercatori di sicurezza si sfidano nel trovare e sfruttare vulnerabilità zero-day.
I vincitori ricevono premi in denaro, mentre i dettagli tecnici delle vulnerabilità individuate sono consegnati ai produttori dei software, che possono così correggere il difetto.
Per anni i ricercatori cinesi sono stati tra i protagonisti di queste competizioni, con premi complessivi per milioni di dollari, ma la situazione è cambiata nel 2017, quando Zhou Hongyi, fondatore dell’azienda di sicurezza Qihoo 360, ha criticato pubblicamente la partecipazione alle gare all’estero, sostenendo che le vulnerabilità mostrate fuori dal Paese non potessero più essere utilizzate e che ricercatori e conoscenze dovessero restare in Cina in ragione del loro valore strategico.
Poco dopo le autorità cinesi hanno vietato ai ricercatori di partecipare alle competizioni straniere e, nel novembre 2018, si è tenuta la prima edizione della Tianfu Cup.
L’origine dei sospetti
Proprio la prima edizione è all’origine dei sospetti che da allora accompagnano la gara.
Il premio principale, pari a 200.000 dollari, è andato a un ricercatore di Qihoo 360 che aveva dimostrato una catena di exploit, battezzata Chaos, capace di prendere il controllo di un iPhone aggiornato attraverso la semplice visita a una pagina web.
Apple ha chiuso le falle segnalate dal ricercatore con l’aggiornamento iOS 12.1.3, distribuito il 22 gennaio 2019.
Secondo la ricostruzione pubblicata da MIT Technology Review, che richiama le valutazioni dell’intelligence statunitense e le analisi di Google e della stessa Apple, nei circa due mesi trascorsi tra la gara e la correzione lo stesso exploit sarebbe stato impiegato in una campagna di sorveglianza ai danni della minoranza uigura.
Apple ha confermato che gli attacchi, condotti attraverso meno di una dozzina di siti con contenuti legati alla comunità uigura, sono rimasti attivi per circa due mesi.
Il ricercatore ha negato ogni coinvolgimento e, come precisa la stessa testata, nulla indica che abbia avuto un ruolo in ciò che è accaduto al codice dopo la competizione, mentre gli organizzatori non hanno risposto alle richieste di commento.
Il quadro normativo
A questo quadro si è aggiunto, nel settembre 2021, un elemento normativo. Un regolamento cinese sulla gestione delle vulnerabilità impone di segnalarle al Ministero dell’Industria e della Tecnologia dell’Informazione entro quarantotto ore dalla scoperta e ne limita la divulgazione prima che sia disponibile una correzione.
Uno studio dell’Atlantic Council osserva che in questo modo le segnalazioni raggiungono l’autorità pubblica prima che esista una patch e che il ministero le condivide con il Ministero della Pubblica Sicurezza e con il centro nazionale di risposta alle emergenze informatiche, alla cui banca dati ha accesso anche un ufficio del Ministero della Sicurezza di Stato, il principale servizio di intelligence civile del Paese.
L’anno successivo Microsoft ha osservato che la raccolta di vulnerabilità zero-day da parte della Cina sembra essere aumentata in seguito alla nuova norma, che impone di segnalare le falle al governo prima di condividerle con altri.
I precedenti
Un rapporto del Center for Security Studies del Politecnico federale di Zurigo, pubblicato nel giugno 2024, descrive un ecosistema articolato nel quale le vulnerabilità presentate dai ricercatori civili per partecipare alla Tianfu Cup vengono raccolte dalle agenzie di sicurezza governative, che ottengono così un accesso esclusivo agli zero-day.
Dopo il picco del 2021, quando i partecipanti hanno ottenuto complessivamente circa 1,9 milioni di dollari per exploit contro prodotti come Windows, iOS, Chrome e Microsoft Exchange, la gara, sospesa nel 2022, è ripresa nel 2023 con un’attenzione prevalente ai prodotti di aziende cinesi, per fermarsi nuovamente nel 2024 e nel 2025.
Secondo l’analisi della società di threat intelligence Natto Thoughts, ripresa dalla stampa specializzata, l‘edizione di quest’anno si è svolta il 29 e 30 gennaio sotto l’organizzazione del Ministero della Pubblica Sicurezza.
Montepremi e novità
Il montepremi, indicato in un comunicato dello stesso ministero, è stato di un milione di yuan, circa 140.000 dollari, molto inferiore al passato.
Il sito ufficiale è risultato inaccessibile dall’estero e poi offline al termine dell’evento. L’elenco dei bersagli, recuperato dagli analisti prima della chiusura, comprendeva smartphone, sistemi operativi, browser, piattaforme di virtualizzazione, prodotti di sicurezza, server di posta e applicazioni di comunicazione, tanto occidentali quanto cinesi.
Tra le novità figurano una prova in cui i partecipanti si sono avvalsi di agenti di intelligenza artificiale per individuare le vulnerabilità e un’altra dedicata alla riproduzione di exploit per falle già note.
Per gli stessi analisti, il ruolo centrale del ministero, i precedenti e l’assenza di regole trasparenti di divulgazione coordinata fanno pensare a un sistema orientato a trattenere le vulnerabilità sotto il controllo dello Stato più che a notificarle ai produttori.
L’attenzione ai prodotti nazionali
Una lettura equilibrata richiede tuttavia alcune precisazioni. La prima è che le competizioni svolgono anche una funzione difensiva e formativa. L’attenzione, che il Paese riserva dal 2023 ai prodotti nazionali, può segnalare anche l’interesse a rafforzare la sicurezza della tecnologia cinese, e diverse vulnerabilità presentate alla Tianfu Cup risultano essere state corrette dai produttori, sia pure in alcuni casi a distanza di mesi.
La seconda è che la scelta di trattenere una vulnerabilità per finalità di intelligence non è una prerogativa cinese.
Negli Usa, a regolare la materia è il Vulnerabilities Equities Process, la cui carta, resa pubblica nel 2017, indica come priorità la comunicazione delle falle ai produttori, salvo che prevalga un interesse dimostrabile al loro impiego per scopi di intelligence, di polizia o di sicurezza nazionale.
La differenza, secondo lo studio dell’Atlantic Council, riguarda soprattutto l’impostazione, volontaria e decentrata nel sistema statunitense, centralizzata in quello cinese, dove la segnalazione all’autorità è obbligatoria.
Le conseguenze concrete in Europa
Per chi produce, acquista o gestisce tecnologia, in Europa come altrove, le implicazioni sono concrete.
Se la conoscenza delle falle diventa un bene conteso tra Stati, il tempo che intercorre tra la scoperta di una vulnerabilità e la sua correzione assume un valore strategico, e ridurlo diventa una priorità tanto per i produttori quanto per le organizzazioni che devono applicare gli aggiornamenti.
Acquistano inoltre rilievo le politiche di divulgazione coordinata e i programmi che incentivano i ricercatori a segnalare le falle ai produttori, perché ogni vulnerabilità corretta è sottratta a qualunque arsenale.
L’evoluzione della Tianfu Cup, da vetrina pubblica a evento riservato gestito da un ministero, suggerisce infine che le informazioni disponibili su queste attività sono destinate a diminuire.
È un motivo in più per non fare affidamento sulla trasparenza altrui e per investire nella capacità di individuare e correggere per tempo i punti deboli dei propri sistemi.
Partecipa alla community