Una mail e una password: così si manda in tilt mezza Europa

Prima i cieli, poi i congelatori. In pochi giorni l’Europa si è ritrovata con i caccia militari che scortano aerei di linea per colpa di una mail e con i banchi frigo dei supermercati portati a temperature da forno. Due storie che sembrano parenti alla lontana, e che invece hanno parecchio in comune. Vediamo cosa si sa, cosa si sospetta e cosa, per ora, resta solo un’ipotesi.

I fatti, senza il rumore

Il 5 novembre sono stati 25 i voli finiti nel mirino di allarmi bomba, tutti rivelatisi falsi. Aerei scortati dai caccia, un Dublino-Roma dirottato su una base militare francese, un Malpensa-Varsavia atterrato a Vienna, scali sotto controllo a Praga, Madrid, Sofia, Varsavia. Per i due voli diretti a Fiumicino è bastata un’unica mail anonima, scritta in italiano, con una promessa di ordigni pronti a esplodere entro un’ora e una chiusura da fumetto: «Oggi il vostro cielo sarà rosso». La firma era quella dei «Combattenti dello Stato Maschile», sigla che rimanda a un movimento russo ultranazionalista e misogino, messo al bando in patria. Di bombe, naturalmente, nemmeno l’ombra.

Sul fronte frigoriferi la storia parte dalla Francia, tra l’11 e il 12 ottobre: centinaia di supermercati con gli impianti di refrigerazione manomessi da remoto, sbrinamento forzato fino a 50 gradi, tonnellate di cibo da buttare. Poi è toccato al resto d’Europa e, alle 4 del mattino del 2 novembre, anche a noi: banchi frigo di supermercati Coop e Decò in Sicilia, casi segnalati in Toscana, Emilia-Romagna, Sardegna e Abruzzo, vertice a Palazzo Chigi. Il 4 novembre due gruppi di hacker filorussi, NoName057(16) e Z-Pentest, hanno rivendicato tutto con un video. I post su Telegram sono stati cancellati poco dopo e chi indaga, a quanto pare, ha parecchi dubbi.

Cosa hanno in comune

Il calendario, per cominciare. Stesse settimane, stesso continente, stessi Paesi colpiti a ondate. A questo si aggiunge il rapporto tra costi e danni. Una mail non costa nulla, eppure fa alzare in volo caccia militari, deviare aerei, evacuare passeggeri e mobilitare artificieri. Una password debole o un pannello lasciato aperto su internet non costano nulla, eppure fanno marcire il contenuto di un supermercato. In entrambi i casi chi attacca spende quasi niente e chi subisce paga parecchio.

Poi c’è l’anonimato. Nessuno firma, oppure firma e cancella. Il ministro Crosetto l’ha detto senza giri di parole: è «guerra sotto soglia», pensata apposta per restare sotto la soglia di attribuzione, così che tu subisca, ti difenda e nessuno possa dimostrare da dove arriva il colpo. Il bersaglio, infine, è lo stesso: le cose che diamo per scontate. Salire su un aereo, aprire un frigorifero. Nessuno dei due attacchi cerca morti, cerca di rovinarci la normalità.

Un dettaglio curioso: le firme cambiano. Misogini russi sugli aerei, hacktivisti filorussi sui frigoriferi, sigle islamiche e frasi in arabo nelle mail alle scuole di due settimane fa. Un legame tra questi episodi non è dimostrato, e lo dico chiaro. Ma quando l’etichetta cambia ogni tre giorni, il sospetto che sia un costume è legittimo.

Perché lo fanno

Qui servono onestà e cautela, perché le certezze non ci sono. Le ipotesi sul tavolo sono queste.

La prima è seminare caos e ansia, ed è quella che mette d’accordo quasi tutti. Se la psicosi è l’obiettivo, ogni falso allarme che funziona è un successo. La seconda è un test: quanto ci mettiamo a reagire, quali protocolli scattano, quali Paesi rispondono meglio, quanti caccia si alzano e con quale rapidità. Una prova generale a costo zero, a spese nostre. La terza è il logoramento, economico e di fiducia: se anche il banco frigo del discount non è più sicuro, qualcosa nella testa delle persone si incrina. La quarta è la visibilità. Gli hacktivisti vivono di rivendicazioni, di video e di canali Telegram, e c’è chi sospetta che si intestino a posteriori attacchi altrui per farsi belli.

Poi c’è la pista russa, evocata da più parti nel quadro della guerra ibrida. I due gruppi che rivendicano i frigoriferi sono già noti alle autorità occidentali, e nel dicembre scorso Stati Uniti e Danimarca hanno indicato legami con lo Stato russo. Per questi attacchi, però, nessuna autorità ha pubblicato prove di una regia statale, e Mosca nega. Un indizio non è una prova. Resta infine l’ipotesi noiosa: vandali, ragazzini, imitatori. Sul volo Pescara-Charleroi la scritta «bomba» è comparsa nel bagno dell’aereo, e non è detto che c’entri con la regia. Quando la macchina della paura è accesa, anche uno scarabocchio basta a farla girare.

Le differenze che contano

Sugli aerei il danno reale è nullo, a parte i costi, i ritardi e lo stress. Il protocollo giusto, rigido, che non rischia mai, è anche il punto debole: chi lo conosce sa che basta una mail per farlo scattare. Sui frigoriferi il danno è vero, e la falla pure. La patch per i controller coinvolti esisteva dal 18 settembre. Il produttore aveva avvertito i clienti già ad agosto. Molti di quegli impianti restano in servizio per vent’anni, con un software che smette di essere aggiornato molto prima.

Il mio punto

Chi giura che dietro c’è Putin ha in mano un sospetto, non una prova. Chi liquida tutto come «ragazzini» ha in mano un’illusione. La verità onesta è che oggi non lo sappiamo, ed è giusto dirlo senza vergogna.

Quello che sappiamo è un’altra cosa: il fiammifero può essere di chiunque, ma la benzina ce l’abbiamo messa noi. Pannelli raggiungibili da internet, password banali, aggiornamenti ignorati per un mese e mezzo. Ai gestori della grande distribuzione e alle ditte di manutenzione non serve un’intelligence, serve qualcuno che stacchi quelle interfacce dalla rete. Costa meno del cibo buttato.

Crosetto dice che dobbiamo abituarci. Ha ragione sulla natura della minaccia, ha torto sul verbo. Abituarsi è la parola dei rassegnati. Si dice attrezzarsi: obblighi di sicurezza per chi gestisce impianti connessi, sanzioni per chi non aggiorna, comunicazione chiara a chi paga il conto. Un anno fa lo stesso ministro lanciava l’allarme sulla guerra ibrida e chiedeva cinquemila hacker per l’Esercito. Un anno dopo la nostra catena del freddo dipende ancora da software che nessuno aggiorna.

Se il piano di chi sta dietro a tutto questo era farci paura, bisogna riconoscergli un primato: è il primo piano di guerra della storia che funziona con una mail anonima e una password scaduta. L’unico modo per non fargli il favore è pretendere dati invece di slogan, e nel frattempo cambiare le password.