La polizia tailandese ha ricevuto una visita dei signori di Anonymous che, senza troppa fatica, sono riusciti ad entrare sui loro server usando le canoniche password “12345”. Ciò che dovrebbe incuriosire, tuttavia, sono due elementi…
Il primo è perché proprio la polizia tailandese? Che, con tutto il rispetto è ben poca cosa se paragonata agli uffici governativi statunitensi, francesi, inglesi.
Il secondo aspetto è forse più interessante. Anonymous, con questo piccolo gesto, oltre ad umiliare la polizia thai, ha dimostrato di essere ovunque. Certo, l’azione è comunque grave e da perseguire, quantomeno per il rispetto delle leggi ma oggi vorrei mostrare un altro volto della cyber security.
To prove our point, we are demonstrating the inability of the Thai government to secure even their own police servers,” the message read. “It is pitiful and should worry all of Thailand. Your police are protecting their files with passwords like 12345; it would be funny if it weren’t so sad.
In realtà, in situazioni di scarsa sicurezza, questi dati possono essere prelevati ed utilizzati senza la minima preoccupazione di essere scoperti. L’altro giorno, un ufficio pubblico italiano, i tecnici informatici avevano predisposto una rete wireless senza proteggerla con alcuna password. Vorrei ricordare che questo è un reato. Il motivo? Si lamentavano di dover andare a configurare tutti i computer di quei dipendenti che avrebbero avuto difficoltà. Si tratta chiaramente di un comportamento discutibile che, nei primi 40 minuti, ha prodotto l’accesso illecito di giovani e adulti seduti nella sala d’attesa, alla medesima rete su cui erano attestate unità dati e computer dei dipendenti.
Chi ha avuto modo di analizzare i dati ricavati da Anonymous (inclusi quelli sottratti al Ministero della Difesa Italiana nel maggio 2015), scoprirà che si tratta spesso di documenti di poca rilevanza. Nel caso italiano, ad esempio, erano nominativi con la lista dei partecipanti ad una pubblica conferenza. Niente di segreto o governativo. Questo è dovuto ad un fatto molto semplice: in questi casi è più importante il gesto piuttosto che il risultato finale. Certo, diciamoci la verità, la sensibilità di un dato non la fa solo la classifica di segretezza. Sapere che una persona sarà in un determinato luogo, ad una determinata ora, è un’informazione essenziale per i malintenzionati.
Si potrebbe accusare Anonymous di contribuire a quella logica di terrore diffuso dato dal caos, dalla precarietà, dalla semplicità in cui le cellule terroristiche trascinano la società. Cosa ci ha insegnato il terrorismo moderno? Che nessuno è al sicuro, che ogni persona (straniera o no) è in grado di effettuare un attentato, piccolo o grande che sia. Possiamo parlare degli eventi a San Bernardino o del pazzo che ha tentato di sgozzare un uomo a Londra il giorno dopo. Possiamo contrapporli agli attentati di Parigi e New York. Ci sono effettivamente dei punti in comune. Anonymous incrementa questo senso di precarietà, benchè con dichiarate finalità etiche.
Nessun dato è al sicuro. Nessun dato è protetto. Indirizzi, numeri di carta di credito, informazioni governative.
Vediamo il lato positivo: questi signori deviano dalla legge ma ottengono risultati nella metà del tempo rispetto gli organi governativi (stretti in lacci e lacciuoli talvolta inutili ma necessari per difendere il concetto stesso di democrazia). Quando Anonymous ha dichiarato guerra all’ISIS, alcuni “circoli tecnici” hanno dichiarato che la guerra sarebbe finita a breve. È da vedere…mi sembra un’affermazione un po’ forte ma sicuramente il fatto di viaggiare su canali diversi dalla legge, garantisce ad Anonymous maggiore efficacia.
Vediamo il lato negativo: è l’ennessimo modo disorganizzato di spargere incertezza nella popolazione. L’hacking etico chi lo stabilisce? Chi determina ciò che è etico e ciò che non lo è. Ne abbiamo già parlato ma il problema è il cuore di tutto.
Fatto sta che Anonymous è, come dicevamo nello scorso articolo, più un fenomeno sociale (non a caso è stata scelta la maschera di V. per Vendetta) che un fenomeno tecnologico. Torniamo alla polizia tailandese: ecco la spiegazione di Anonymous.
Any corporations or individuals helping to deploy this single gateway will be targeted by any electronic means. Your government wants you to trust their motives in collecting information on your online activities; they want you to trust that they will be able to secure this data and will only use it for lawful means. They cannot guarantee any of this. If a single gateway for access to the internet outside of Thailand is created, with the inevitable accompanying databases that will contain details of traffic passing through the gateway, it will get hacked.
In molte delel loro frasi c’è un messaggio deciso e fermo che, in questo caso è rappresentato da:
They cannot guarantee any of this
Sulle modalità con cui è avvenuto l’attacco, mi limiterò a dire che sono riusciti ad avere accesso al gateway principale della compagnia dei telefoni e quindi sì, un lavoro di ingegneria sociale “classico”.
Diciamoci la verità: non sono terroristi ma la linea di confine è labile…molto labile.
Una risposta
Ottima analisi, come sempre. Aggiungo anche un ulteriore elemento di valutazione. Di fatto Anonymous contribuisce in maniera cospicua a far si che i Governi siano più attenti alle proprie reti perchè è evidente che i “burocrati” snobbano palesemente il discorso “sicurezza” che li obbligherebbe a ulteriori ritocchi di bilancio di cui sconoscono in maniera assoluta il senso.