Attacco informatico

Un attacco informatico o cyberattacco^[1], nell'ambito della sicurezza informatica, indica una qualunque manovra impiegata da individui od organizzazioni che colpisca sistemi informatici, infrastrutture, reti di calcolatori e/o dispositivi elettronici tramite atti malevoli, finalizzati al furto, alterazione o distruzione di specifici obiettivi violando sistemi suscettibili.

I tipi di attacco spaziano dall'installazione di spyware e di malware su di un PC fino a tentativi di demolizione delle infrastrutture di interi Stati, come avviene nel caso delle guerre cibernetiche.^[2]

Il fenomeno esiste di pari passo alla storia dell'informatica, ma è soprattutto alla fine del XX secolo che hanno cominciato ad incrementarsi, tra gli episodi maggiormente famosi si ricordano nel 1999 un attacco di tipo denial of service rese indisponibile il portale Amazon.com: la società sostenne ingenti perdite a causa della sospensione delle attività commerciali ma soprattutto dalla vasta pubblicizzazione dell'evento, e l'attacco informatico a Twitter del 15 luglio 2020, per promuovere una truffa tramite bitcoin.

Sono tre i fattori che contribuiscono al lancio di un attacco informatico contro uno stato o un individuo: il fattore paura, la spettacolarità e la vulnerabilità:

• Paura: consiste nel disseminare il terrore in individui, gruppi sociali o enti da parte di un malintenzionato;
• Spettacolarità: si intende il clamore e la pubblicità negativa guadagnati tramite i danni effettivi dell'attacco informatico;
• Vulnerabilità: consiste nello sfruttare i punti deboli e la vulnerabilità informatica di un'organizzazione o un istituto governativo per dimostrarne la fragilità dei sistemi informativi piuttosto che causare perdite economiche. In questo senso sono frequentemente utilizzati attacchi DoS oppure il deturpamento delle pagine web.^[3]

Un hacker, sia egli libero professionista o impiegato del governo o facente parte di un corpo militare, è in grado di riconoscere sistemi informatici vulnerabili che mancano delle appropriate misure di sicurezza. Una volta scovata una vulnerabilità, l'hacker può infettare il sistema con codice malevolo ed acquisirne il controllo remoto per poi recuperarne il contenuto o utilizzarlo per danneggiare altri computer. È necessaria la presenza di una falla preesistente, come l'assenza di un antivirus o l'errata configurazione del sistema, per far sì che il codice malevolo funzioni. I cracker ed in generale i terroristi informatici elaborano piani di attacco premeditati e le loro azioni non sono guidate dalla rabbia. Hanno la necessità di disegnare il loro piano passo-passo e di acquisire particolari software per poter eseguire l'attacco. Le loro azioni hanno solitamente fini politici e i loro attacchi mirano verso strutture politiche.^[4] Possono bersagliare anche la popolazione civile, gli interessi della popolazione e le strutture pubbliche causando danni sufficienti a diffondere il terrore.

In dettaglio, esistono una serie di tecniche utilizzate negli attacchi informatici ed una grande varietà di modi di attuazione degli stessi verso individui o, su scala più ampia, verso istituzioni. Si dividono in due grandi categorie: gli attacchi sintattici e gli attacchi semantici: i primi sono diretti e consistono nella diffusione ed utilizzo di malware e di software malevolo in generale come virus, worm o trojan, i secondi invece sono indiretti e consistono nella modifica di informazioni corrette e nella diffusione di informazioni fasulle. La disseminazione di informazioni errate può essere utilizzata per coprire le proprie tracce o per impostare qualcuno nella direzione sbagliata facendogli credere che sia quella giusta.

Altri esempi sono: l'attacco a dizionario e il metodo forza bruta hanno ad oggetto database di informazioni e password, mentre l'attacco man in the middle ha ad oggetto parti interessate nelle telecomunicazioni, mentre l'amplification attack si avvale del denial of service.

I virus sono programmi auto-replicanti che possono legarsi ad altri file o programmi con la finalità di riprodursi. Un virus può nascondersi nelle zone più improbabili della memoria di un computer ed infettare qualunque file che reputi adatto per l'esecuzione del proprio codice. Può inoltre modificare la sua impronta digitale ogni volta che si riproduce rendendolo ancora più difficile da individuare.

I worm non necessitano di altri file o programmi per replicarsi; sono programmi ad esecuzione autonoma. I worm si riproducono attraverso le reti utilizzandone i relativi protocolli. Le ultime versioni di worm fanno utilizzo delle vulnerabilità note dei sistemi per penetrarli, eseguire il loro codice, e replicarsi negli altri sistemi, come accadde per il worm Code Red II che infettò più di 259000 sistemi in meno di 14 ore.^[5] Su scala più ampia, i worm possono essere progettati per finalità di spionaggio industriale in modo che analizzino e conservino le attività dei sistemi informativi e il traffico per poi ritrasmettere questi dati al loro creatore.

Un Trojan (o Trojan Horse, cavallo di Troia) è progettato per eseguire azioni legittime ma anche azioni sconosciute all'utente e indesiderate. Può essere la base dell'installazione di molti virus e worm come keyloggers o backdoors. In ambito commerciale, i Trojan possono essere integrati nelle versioni di prove dei software e possono raccogliere informazioni senza che l'utente se ne accorga. In tutti questi casi il fine comune è in genere l'attacco ad un individuo o istituzione attraverso messaggi di posta elettronica, browser web, software per chat, software per il controllo remoto e aggiornamenti.

Una volta iniziato un attacco informatico, ci sono alcuni tipi particolari di bersagli che se attaccati possono paralizzare il nemico. Certe infrastrutture sono evidenziate come bersagli critici che in caso di conflitto possono seriamente compromettere una nazione. Sistemi di controllo, risorse energetiche, finanza, telecomunicazioni, trasporti e impianti idrici sono identificati come obiettivi critici durante i conflitti. Un rapporto sui problemi di sicurezza informatica in ambito industriale, redatto dal British Columbia Institute of Technology e dal PA Consulting Group riferisce di come, a partire dal 2000, si sia riscontrato un aumento di 10 volte nel numero dei successi di attacchi informatici alle infrastrutture con sistemi di controllo SCADA (Supervisory Control And Data Acquisition).^[3] Gli attacchi informatici che hanno effetti fisici negativi sono conosciuti anche come attacchi informatico-fisici.^[6]

Gli impianti idrici sono tra le infrastrutture più critiche in ambito di attacchi. Tra tutti i sistemi di controllo informatizzati, gli impianti idrici sono visti come i più rischiosi in termini di sicurezza, perché detengono il potenziale di rilasciare enormi quantità d'acqua su zone non protette che potrebbero portare danni gravissimi e perdita di vite umane. Gli attacchi inoltre potrebbero bersagliare non solo le fonti di approvvigionamento idrico ma anche il sistema fognario. Non esiste una valutazione precisa del costo dei potenziali danni di tali attacchi, ma negli Stati Uniti si stimano intorno alle centinaia di miliardi di dollari.^[7] La maggior parte di questa categoria di infrastrutture sono ben sviluppate, rendendo difficile che gli attacchi informatici provochino danni significativi, al più, si possono riscontrare danni nella componentistica che possono portare a brevi interruzioni di corrente elettrica.

I sistemi di fornitura energetica sono visti come il secondo tipo di infrastruttura attaccabile. Si divide in due categorie, elettricità e gas naturale. La rete elettrica alimenta regioni, città e abitazioni. Prendendo come esempio gli Stati Uniti, in un conflitto i cyberterroristi possono accedere liberamente ai dati del Daily Report of System Status che mostra i flussi di potenza attraverso il sistema e individuare le sezioni più impegnate della rete. Forzando l'arresto delle sezioni con maggior consumo possono causare isteria di massa, un aumento di domanda energetica e creare il caos; si possono anche individuare le aree critiche al funzionamento della rete per attacchi più diretti. I cyberterroristi possono inoltre accedere online alle istruzioni su come connettersi alla rete elettrica della Bonneville Power Administration. Questo è un grande vantaggio che può essere sfruttato in caso di attacco informatico perché un attaccante straniero può colpire con la massima precisione senza avere la minima conoscenza pregressa del sistema e senza imprevisti. Gli attacchi informatici agli impianti di gas naturale funzionano grossomodo alla stessa maniera. Gli attaccanti possono forzare la chiusura degli impianti fermando il flusso di gas oppure possono ridirezionarlo in altre sezioni controllate da loro alleati. Ci fu un caso in Russia nel quale l'azienda fornitrice di gas Gazprom perse il controllo del loro centralino principale che regola il flusso di gas dopo che un operatore interno bypassò la sicurezza dell'impianto tramite un Trojan horse.^[7]

L'attacco informatico delle infrastrutture per le telecomunicazioni ha risultati immediati. L'integrazione in ogni ambito delle telecomunicazioni è diventata pratica comune e sistemi come la telefonia e il protocollo IP si stanno fondendo. Il tutto è gestito tramite internet, poiché le velocità di trasmissione e le capacità di archiviazione sono pressoché infinite. Come accennato in precedenza gli attacchi con maggiore probabilità di successo vanno dai semplici denial-of-service ad attacchi più complessi effettuati sui protocolli di routing BGP o sulle infrastrutture DNS. È sempre meno probabile che gli attacchi siano destinati a compromettere la rete telefonica tradizionale che utilizza i protocolli SS7, o siano destinati a danneggiare gli apparati fisici come i ripetitori o gli impianti satellitari perché in questi ambiti è facile ridirezionare il traffico per aggirare le parti danneggiate in tempi relativamente brevi. L'idea alla base di questo tipo di attacchi è di isolare le persone l'un l'altra, di interrompere le comunicazioni, e così facendo, impedire che le informazioni critiche vengano inviate e ricevute. In una guerra informatica, è il modo più facile di ottenere il sopravvento. Controllando il flusso delle informazioni e delle comunicazioni, una nazione è in grado di pianificare attacchi più precisi e prendere misure difensive più efficaci.

L'infrastruttura dei trasporti rispecchia quella delle telecomunicazioni; impedendo gli spostamenti in città o regioni, l'economia si degraderebbe progressivamente nel tempo. Un attacco informatico andato a buon fine può impattare la logistica e l'accessibilità, danneggiando la catena economica ed impedendo il trasporto di merci da un luogo all'altro. Nel gennaio del 2003 durante l'attacco del virus "slammer", la compagnia Continental Airlines fu costretta ad annullare i propri voli per problemi ai sistemi informatici.^[7] I cyberterroristi possono bersagliare le ferrovie danneggiando i cambi, gli aerei attaccando i software di volo, e le strade per impedire i trasporti convenzionali. Nel maggio del 2015, un consulente informatico, Chris Roberts, rivelò all'FBI che tra il 2011 e il 2014 era stato in grado di hackerare ripetutamente i controlli di volo di Boeing ed Airbus tramite il sistema di intrattenimento di bordo, e sostenne inoltre di essere riuscito almeno una volta a cambiare l'altitudine del velivolo. Dopo averlo preso in custodia nell'aprile del 2015, l'FBI lo interrogò circa queste accuse.^[8]

I sistemi di controllo sono responsabili dell'attivazione e del monitoraggio industriale o dei controlli meccanici. Molti dispositivi sono integrati da piattaforme informatiche che controllano valvole o porte di certe infrastrutture. I sistemi di controllo sono progettati solitamente per fornire telemetria remota di dispositivi dotati di connessione direttamente a internet o tramite modem. Nella gestione di questi dispositivi i livelli di sicurezza offerti sono bassi, consentendo ad hacker e cyber terroristi la possibilità di ricercare vulnerabilità. Un esempio emblematico è fornito da Paul Blomgren, direttore del reparto di ingegneria delle vendite in una società di sicurezza informatica. Blomgren spiega come i suoi dipendenti arrivati ad una sottostazione elettrica, senza nemmeno uscire dal loro veicolo, si fossero collegati alla rete WLAN dell'impianto tramite le loro schede wireless ed i loro computer portatili, in quanto non protetta da password. "Nel giro di 10 minuti avevano mappato ogni singolo componente utilizzato nell'impianto" dice Blomgren. "Nel giro di 15 minuti avevano mappato ogni singolo componente della rete di controllo operativo. In 20 minuti, stavano comunicando tramite la rete aziendale ed avevano estratto diversi rapporti di lavoro."^[7]

Le istituzioni finanziarie possono essere colpite duramente dagli attacchi informatici. In queste istituzioni c'è un costante movimento di denaro e se un cyber criminale decidesse di attaccare deviando le transazioni e rubando quindi grandi somme l'industria finanziaria collasserebbe a danno dei civili che si ritroverebbero senza sicurezza e lavoro. Solo negli Stati Uniti, il volume medio di transazioni giornaliere tocca i 3000 miliardi di dollari, dei quali il 99% è in formato elettronico.^[7] Essere in grado di interrompere un tale flusso di denaro in un giorno o per alcuni giorni causerebbe danni permanenti all'economia costringendo gli investitori a tirarsi fuori dai fondi di investimento ed erodendo la fiducia del pubblico.

Nelle guerre cibernetiche vengono utilizzate tecniche di attacco e difesa di informazioni o reti di calcolatori che popolano il cyberspazio, spesso tramite una serie di attacchi informatici o prolungate campagne cibernetiche. Lo scopo di una guerra cibernetica è quello di negare ad un oppositore la possibilità di effettuare lo stesso tipo di attacchi, impiegando strumenti tecnologici di guerra per neutralizzare i suoi sistemi computerizzati. Il cyberterrorismo è invece "l'uso di strumenti di rete per disabilitare infrastrutture critiche per la nazione (come reti energetiche, trasporti, operazioni governative) o per coercere o minacciare i governi o la popolazione civile".^[9] L'esito dunque di guerre cibernetiche e terrorismo cibernetico è lo stesso, danneggiare infrastrutture critiche e sistemi computerizzati connessi tra loro entro i confini del cyberspazio.

L'Esercito Popolare di Liberazione (People's Liberation Army, PLA) ha sviluppato una strategia chiamata "Integrated Network Electronic Warfare" che guida le operazioni sulle reti di computer e gli strumenti di guerra cibernetica. Questa strategia aiuta ad integrare strumenti di guerra di rete ed armi elettroniche contro sistemi informativi avversari. Il PLA crede inoltre che la base per arrivare al successo in conflitto su ampia scala consista nello stabilire il predominio nel controllo delle informazioni, guadagnando il controllo sul flusso di informazioni avversario. Nei i testi "The Science of Military Strategy" e "The Science of Campaigns", pubblicati dal PLA, viene identificata come obiettivo primario per gli attacchi informatici la rete di sistemi logistici nemici e nella guerra informatica viene identificato il punto di partenza ideale di ogni conflitto, se essa può portare al successo.^[10]

Focalizzandosi sull'attacco delle infrastrutture per disgregare la trasmissione e l'elaborazione delle informazioni cruciali al processo decisionale nemico, il PLA si assicurerebbe il dominio cibernetico sull'avversario. Per ottenere il controllo in un conflitto il PLA utilizzerebbe disturbatori elettronici e tecniche di inganno e soppressione per interrompere i processi di trasferimento delle informazioni. Lancerebbero poi attacchi tramite virus o attuerebbero tecniche di hacking per sabotare i processi informativi con l'intento di neutralizzare le piattaforme e le strutture informative del nemico. In "The Science of Campaigns" il PLA enfatizza il particolare ruolo delle guerre cibernetiche di creare opportunità per le altre forze armate, che possono operare in incognito o con basso rischio di contrattacco sfruttando il periodo di "isolamento" o "paralisi" creato dagli attacchi informatici.^[10] Questo è proprio uno dei punti focali delle guerre cibernetiche, poter indebolire il più possibile il nemico per far in modo che l'offensiva fisica abbia maggiori percentuali di successo.

Il PLA conduce esercitazioni periodiche in una varietà di ambienti enfatizzando l'uso di tattiche di guerra informatica e di tecniche per contrastarle in caso venissero usate contro di loro. La ricerca si è focalizzata su progetti per l'utilizzo e il rilevamento di rootkit per il loro sistema operativo Kylin che contribuiscono a migliorare ulteriormente le tecniche di guerra di questi individui. La Cina considera la guerra informatica come un deterrente all'utilizzo di armi nucleari, fornendo una maggior precisione, causando un minor numero di vittime e consentendo attacchi a lungo raggio.

Nel conflitto tra le Autorità Israeliane e Palestinesi vennero condotti, nell'ottobre del 2000 durante la seconda intifada, attacchi DoS da parte degli hackers israeliani verso i computer delle organizzazioni della resistenza Palestinese (Hamas) e Libanese (Hezbollah). Gli hackers anti-israeliani risposero a loro volta mandando in crash numerosi siti web israeliani sommergendoli di richieste fasulle.

Tra i conflitti tra India e Pakistan iniziati negli anni 1990, sono due i casi che coinvolgono attacchi informatici, i primi dei quali sono divenuti di dominio pubblico nel 1999.^[4] Fino ad allora, India e Pakistan erano impegnate in una lunga disputa sulla regione del Kashmir che si trasferì poi nel cyberspazio. I resoconti storici indicano che gli hacker di entrambe le nazioni furono coinvolti in ripetuti attacchi ai database della nazione opposta. Il numero di attacchi crebbe di anno in anno: 45 nel 1999, 133 nel 2000, 275 alla fine di Agosto del 2001.^[4] Nel 2010, un gruppo di hacker indiani chiamato "Indian Cyber Army" attaccò almeno 36 database di siti web governativi.^[11] Nel 2013, gli hacker indiani attaccarono il database del sito ufficiale della Commissione Elettorale del Pakistan con l'intento di sottrarre informazioni sensibili.^[12] In rappresaglia, gli hacker pakistani chiamati "True Cyber Army" deturparono circa 1059 siti web dei corpi elettorali indiani.^[12]

Secondo la stampa, il Pakistan ha lavorato su di un efficace sistema di Sicurezza informatica, in un programma chiamato "Cyber Secure Pakistan" (CSP).^[13] Il programma è stato lanciato nell'Aprile del 2013 dalla Pakistan Information Security Association ed è stato poi espanso alle università del paese.

Secondo un'analisi della Defense Intelligence Agency statunitense del 2017 le "contromisure informative" (informatsionnoye protivoborstvo) sarebbero "strategicamente decisive e di fondamentale importanza per controllare la popolazione domestica e influenzare gli stati avversari" del governo russo^[14].

È stato anche affermato che i servizi di sicurezza russi^[15] hanno organizzato una serie di attacchi informatici contro altri paesi^[16], come nel 2007 in Estonia e nel 2008 in Russia, Ossezia del Sud, Georgia, e Azerbaigian.

In Russia i gruppi hacker Apt 28 (Fancy Bear) e Apt 29 (Cozy Bear) sono saliti alla ribalta per gli attacchi del 2016 durante le elezioni presidenziali americane che causarono controversie^[17].

Nel Regno Unito le attività di spionaggio vengono condotte dal GCHQ tramite la piattaforma segreta Tempora emersa come la più pervasiva della privacy dalle rivelazioni di Edward Snowden.

La responsabilità per la sicurezza informatica è ripartita tra il Dipartimento della Sicurezza Interna, il Federal Bureau of Investigation (FBI) e il Dipartimento della Difesa. Nel 2009 è stato creato un nuovo dipartimento che gestisse specificatamente le minacce informatiche, chiamato United States Cyber Command. Il Cyber Command è un sottocomando militare dello United States Strategic Command ed è responsabile della gestione di minacce all'infrastruttura informatica militare. Include diversi elementi di servizio come l'Army Cyber Command, il Twenty-Fourth Air Force, il Fleet Cyber Command e il Marine Forces Cyber Command.^[18] Assicura che il Presidente possa controllare il sistema informativo e che abbia anche diverse opzioni militari disponibili quando la difesa della nazione si sposta nel cyberspazio. Gli agenti del Cyber Command devono prestare attenzione agli attori statali e non statali che sviluppano capacità di guerra informatica nella conduzione di spionaggio informatico ed altri attacchi informatici verso la nazione o i suoi alleati. Il Cyber Command vuole essere un deterrente per dissuadere i potenziali avversari dall'attaccare gli Stati Uniti, essendo contemporaneamente un dipartimento poliedrico nella conduzione delle proprie operazioni.

Sono tre gli eventi che potrebbero aver fatto da catalizzatori nella creazione del Cyber Command^{[senza fonte]}. Il primo fu un grave guasto di infrastrutture critiche segnalato dalla CIA, causato da atti dolosi verso i sistemi informativi che compromisero la rete elettrica d'oltreoceano. Ciò risultò in interruzioni della fornitura di corrente elettrica in diverse città distribuite in diverse regioni. Il secondo evento fu l'exploit di una vulnerabilità nel servizio bancario internazionale. Nel novembre del 2008, uno dei gestori dei pagamenti di una banca internazionale consentì l'esecuzione di transazioni illecite da più di 130 sportelli automatici in 49 città per un periodo di 30 minuti.^[19]

Nell'operazione Stuxnet di attacco al programma nucleare iraniano hanno lavorato a fianco della National Security Agency il Mossad e l'Unit 8200 israeliana. Tzahal con la Direzione C41, Unit 8100 reparto segreto hacker, Shin Bet sono diverse agenzie israeliane che si occupano di azioni difensive-aggressive cibernetiche^[20]. L'ultimo evento fu la perdita di potere economico degli Stati Uniti quando nel 2008 si registrò una perdita di 1000 miliardi di dollari in furti di dati e proprietà intellettuale. Anche se questi eventi rappresentano perlopiù catastrofi interne al paese niente impedisce agli attori statali e non statali di fare lo stesso su scala più ampia. Altre iniziative, come la formazione del Cyber Training Advisory Council, furono indette per migliorare la qualità, l'efficienza e l'adeguatezza della formazione per la difesa delle reti, l'attacco e lo sfruttamento delle operazioni informatiche nemiche.

Il 1 Aprile 2015 il Presidente degli Stati Uniti Obama ha emesso un ordine esecutivo stabilendo le primissime sanzioni economiche per gli attacchi informatici. L'ordine esecutivo colpisce individui o entità responsabili di attacchi che minacciano la sicurezza nazionale, la politica estera, la salute economica o la stabilità finanziaria degli Stati Uniti. Nello specifico, l'ordine autorizza inoltre il Dipartimento del Tesoro degli Stati Uniti d'America a congelare i beni di suddetti individui.^[21]

Akamai Technologies ha riportato che, nel secondo quadrimestre del 2013, l'Indonesia aveva superato la Cina con il 38% degli attacchi informatici, un aumento considerevole rispetto al 21% del quadrimestre precedente. La Cina si è fermata al 33% e gli Stati uniti al 6,9%. Il 79% degli attacchi venne dalla regione dell'Asia Pacifica. L'Indonesia ha inoltre prevalso sugli attacchi alle porte 80 e 443 con circa il 90%.^[22]

Le conseguenze possono includere molti effetti diretti e indiretti. Nel settembre 2020, i media hanno riportato quello che potrebbe essere il primo caso pubblicamente confermato di morti civili come conseguenza quasi diretta di un cyberattacco, dopo che un ransomware ha paralizzato un ospedale in Germania.^[23][24] Un intero settore sta lavorando per ridurre al minimo la probabilità e le conseguenze di un attacco informatico.^[25][26] Gli esperti di sicurezza affermano che il 2023 è stato un anno di attacchi informatici senza precedenti contro aziende e altre istituzioni, rendendo difficile per le aziende ottenere un'assicurazione contro questi incidenti.^[27]

Le azioni, spesso offerte sotto forma di prodotti e servizi, possono essere finalizzate a:^[28][29][30]

• Categorizzazione di tutti i possibili attacchi
• Pubblicazione di libri e articoli sul tema
• Rilevamento delle vulnerabilità
• Valutazione del rischio
• Bonifica delle vulnerabilità
• Invenzione, sviluppo e attuazione di contromisure
• Sviluppare un piano di emergenza per essere pronti a rispondere a circostanze impreviste

Molte organizzazioni cercano di classificare le vulnerabilità e le loro conseguenze. Il database delle vulnerabilità più diffuso è Common Vulnerabilities and Exposures.

Una volta lanciato un attacco informatico, ci sono alcuni obiettivi che devono essere attaccati per disabilitare il nemico. Alcune infrastrutture sono state prese di mira come infrastrutture critiche in tempi di conflitto che potrebbero causare gravi danni alla nazione.^[31] I sistemi di governance, le risorse energetiche, le finanze, le telecomunicazioni, i trasporti e le strutture idriche sono considerati infrastrutture critiche in tempi di conflitto. Gli attacchi informatici che hanno effetti fisici negativi sono noti come attacchi ciberfisici.

• Wikimedia Commons contiene immagini o altri file su attacco informatico

Controllo di autorità	LCCN (EN) sh2013002597