Mappe | Mappe 06 – I dati personali – aprile 2022Dalla guerra ai ricatti, passando per le minacce informatiche via e-mail. Parafrasando Shakespeare, siamo fatti della stessa sostanza... dei nostri dati
L’attacco che la Russia sta conducendo sul campo all’Ucraina non si combatte solo sul campo, con l’esercito, ma si sta combattendo da anni su internet, con armate di hacker, bot e troll. Se è vero che non tutti gli hacker sono russi e non tutti gli attacchi sono direttamente orchestrati dal Cremlino, va però riconosciuto alla Russia di aver raggiunto autentici successi in quella che ha assunto tutte le sembianze di una guerra asimmetrica. Se qualche giorno fa ha fatto notizia la mossa con cui l’Fbi prima e Microsoft poi sono riusciti a bloccare attacchi provenienti da hacker russi all’Ucraina e all’Occidente, così non è successo solo pochi mesi fa quando Kiev fu messa in scacco senza troppe difficoltà. Nel primo trimestre del 2022, infatti, i siti dell’amministrazione ucraina sono stati più volte bersaglio di attacchi volti a limitarne la funzionalità, a cancellarne o a rubare i dati personali degli utenti in possesso degli enti previdenziali, assicurativi e sanitari. «La Russia, anche prima dell’invasione dell’Ucraina – spiega Adolfo Urso, senatore e presidente del Copasir, il Comitato parlamentare per la sicurezza della Repubblica – si era contraddistinta per una postura aggressiva sullo scenario internazionale, caratterizzata da una implementazione del proprio impegno militare, anche in Africa e nel cosiddetto Mediterraneo allargato, e nel perseguimento di una sempre maggiore politica di potenza energetica. Sicuramente, le vicende di queste settimane comportano la necessità di un’attenzione anche maggiore, ma offrono la possibilità di una ulteriore integrazione tra i sistemi di intelligence europei e occidentali, anche in ordine agli investimenti sulla difesa comune europea, che non va solamente letta da un punto di vista militare, ma anche nella prospettiva di un ambito più vasto, che comprenda le diverse voci nelle quali si articola il concetto stesso di sicurezza nazionale».
La sicurezza nazionale non è minacciata solo dai sabotaggi orditi dal Cremlino ma anche, come insegna il caso dell’attacco subito dall’Ulss 6 Euganea alla fine del 2021 – che ne ha paralizzato i sistemi informatici per giorni oltre al furto di migliaia di cartelle cliniche – anche dalle azioni di autentici pirati informatici che agiscono “in proprio”, con l’intento di ottenere il pagamento di un riscatto per ripristinare l’efficienza dei sistemi attaccati.
«Il Comitato ha rilevato in audizione che il 95 per cento della pubblica amministrazione italiana non è ancora in condizione di proteggere adeguatamente i propri dati, come è emerso in modo eclatante in alcuni casi di attacco informatico come quello subito dalla Regione Lazio o quelli subiti da ospedali, Asl e alcune aziende strategiche – continua il presidente Urso – E il caso richiamato delle Ulss venete si inquadra esattamente in questa fattispecie. La realizzazione di un polo strategico nazionale destinato a ospitare dati e servizi digitali strategici del Paese, unitamente al presidio rappresentato dalla neocostituita Agenzia per la cybersicurezza nazionale, rappresentano elementi indispensabili affinché il necessario processo di digitalizzazione del Paese si svolga con la massima tutela della sicurezza nazionale».
Istituita nell’agosto 2021 dal Governo Draghi, l’Agenzia dovrebbe nel tempo assumere un ruolo centrale tanto nell’elaborazione quanto nella verifica delle politiche nazionali di sicurezza informatica. Il condizionale è quasi d’obbligo perché, contattata via posta elettronica, non ha mai dato riscontro. La minaccia da contrastare è peraltro insidiosa proprio quando di mezzo c’è la posta elettronica: se collettivi di hacker come Anonymous hanno impiegato metodi raffinati per attaccare la Russia in risposta a quanto avvenuto in Ucraina, per i privati cittadini spesso i rischi maggiori arrivano dalla propria casella mail. Una comunicazione apparentemente proveniente dalla banca o una semplice richiesta di verificare i propri contatti può compromettere la sicurezza tanto dell’account quanto del dispositivo.
«L’hackeraggio dei dati può avvenire in contesti diversi, e da diversi attori – riflette Adolfo Urso – Le minacce possono essere di natura criminale, terroristica e addirittura statuale. Il tema del singolo individuo che, per cause diverse, decida di recare un attacco al sistema e alla rete è tuttavia sempre possibile.
Emerge quindi con chiarezza che occorre avvalersi di una pluralità di strumenti, che esigono un costante adattamento e aggiornamento per reagire ad attacchi spesso realizzati con modalità e tempistiche imprevedibili. La prevenzione, la repressione e la cooperazione sono le aree in cui occorre agire con interventi efficaci, lungimiranti e integrati». Spesso la prima forma di prevenzione attiene all’educazione dell’operatore – insegnare l’importanza di non aprire messaggi di dubbia provenienza, per cominciare, o connettersi solo a reti sicure – a cui però dev’essere affiancato un software in grado di compensare le minacce “invisibili” che si nascondono soprattutto su internet. Talvolta però è proprio da questi software o dai siti a cui affidiamo la tutela delle nostre informazioni personali che scaturisce la minaccia: anche per l’interessamento del Copasir è stato recentemente bandito dalla pubblica amministrazione l’antivirus di origine russa Kaspersky, perché accusato di veicolare potenziali criticità per la sicurezza nazionale. La facilità con cui abbiamo imparato a usare piattaforme di messaggistica istantanea o i social network tende a farci dimenticare la mole di dati, sensibili e non, che condividiamo in essi: gusti alimentari, preferenze sessuali, orientamento politico e culturale… tutto viene tracciato, salvato, messo a disposizione per campagne pubblicitarie, aumentando lo squilibrio tra ciò che sappiamo e ciò che le piattaforme sanno di noi.
Lo scandalo della società Cambridge Analytica nel 2018 portò alla luce l’uso distorto che si può fare dei nostri dati, arrivando al punto di influenzare le elezioni americane o il referendum per la Brexit. Senza dimenticare poi quanto avvenuto in Cina dove i sistemi di riconoscimento facciale furono usati già nel 2018 per tracciare gli spostamenti della minoranza musulmana degli uiguri. I dati rappresentano però anche una vera moneta di scambio: quando il presidente americano Joe Biden promise alla presidente della commissione europea Ursula von der Leyen l’aumento delle forniture di gas per sopperire in parte alla crisi con la Russia, in cambio si fece garantire una maggiore possibilità di attingere ai dati degli europei. L’apertura «consentirà alla Commissione di autorizzare di nuovo il flusso transatlantico di dati personali che aiuterà a mobilizzare 7.100 miliardi di dollari nelle relazioni degli Usa con l’Ue» dichiarò il presidente americano a margine di un accordo che superava in un colpo solo lustri di incomprensioni.
La società Cambridge Analytica aveva sviluppato un sistema di “microtargeting comportamentale” cioè un tipo di pubblicità altamente personalizzata su ogni singola persona. Per fare questo sono stati utilizzati milioni di dati raccolti via Facebook. Successivamente nel 2018 ne è derivato uno scandalo che portò alla luce l’uso distorto che si può fare dei nostri dati, arrivando al punto di influenzare le elezioni americane o il referendum per la Brexit.
Dove vanno a finire i dati che archiviamo su internet? I servizi cloud (“nuvola” in inglese) fanno riferimento a dei server, magazzini in cui vengono riposti e, si spera, protetti i dati ma che spesso non si trovano in Italia o in Europa. «Risulterà centrale per l’architettura di difesa il cloud nazionale a protezione dei dati della pubblica amministrazione, anche di livello locale» scriveva nella sua relazione il Copasir.
Anno 1983, un giovanissimo Matthew Broderick veste i panni di un adolescente tanto svogliato a scuola quanto appassionato di computer, tanto da usare pionieristici sistemi informatici per falsificare i voti della pagella. Il protagonista poi tenta di hackerare i sistemi di un’azienda produttrice di videogiochi. Purtroppo per lui all’altro capo del filo non c’è la ditta ma il supercomputer che coordina la sicurezza nazionale. Calcolatori vecchia maniera, un giovane hacker e la sempre incombente guerra fredda: cosa potrebbe andare storto?
