Nella notte di sabato 31 luglio un attacco informatico ha paralizzato il sistema sanitario della Regione Lazio. Ai microfoni di Radio Popolare Roberto Maggioni intervista Corrado Giustozi, docente, divulgatore scientifico ed esperto di sicurezza informatica. L’intervista integrale può essere riascoltata nel podcast della puntata di Prisma di martedì 3 agosto 2021
Che idea si è fatto di questo attacco hacker alla Regione Lazio?
Non chiamiamolo attacco hacker, perché la gente potrebbe pensare a dei ragazzini con la felpa in stile Hollywood. Questo attacco è un atto della criminalità organizzata. La stessa che spaccia droga e vende armi. Hanno imparato a fare anche questo tipo di reati. Questo è un rapimento a scopo di riscatto. Non viene rapita una persona o qualcosa di fisico, ma viene negata la disponibilità di accesso ai sistemi. È un atto criminale. In questo caso un atto sfacciato, clamoroso, ma perfettamente ingegnerizzato dal punto di vista criminale. Colpisce la vittima più debole, che ha tanto da perdere: la sanità. Sono anni che fenomeni del genere accadono nei confronti di strutture sanitarie.
Già cinque o sei anni fa ci sono stati casi di attacchi a ospedali negli Stati uniti, poi nel Regno Unito, l’anno scorso è successo in Germania e è anche da noi, anche se in misura più ridotta. Gli attacchi interessano la sanità perché è indifesa e ha tanto da perdere. Ovviamente è un atto odioso, ma è nella logica criminale. In questo caso è un attacco estremamente sfacciato, perché colpisce una struttura pubblica importante con ricadute gigantesche. Si può considerare un attacco allo stato. Non è un attacco terroristico o ideologico. È pura criminalità.
Come nasce un attacco di questo tipo?
Con grande pianificazione come nascerebbe un attacco a un caveau di una banca. Purtroppo non è difficile capire com’è fatta la struttura informatica di un ente pubblico, perché sono presenti forniture soggette ad appalti pubblici che descrivono perfettamente le infrastrutture.
Sono stati molto bravi loro o sono i nostri sistemi informatici che fanno acqua?
I nostri sistemi informatici non fanno acqua. Purtroppo qualunque sistema, informatico o no, può essere attaccato da un criminale con tempo, risorse, conoscenza a disposizione.
Quello che è successo non è stata la disattenzione di un impiegato, ma un attacco mirato condotto direttamente. C’è stata un intrusione in un computer da cui si è ottenuto l’accesso ai sistemi che sono stati infettati con un malware. È stato un attacco pianificato condotto da qualcuno che conosceva la struttura informatica della regione.
Serve qualcuno che lavori all’interno della struttura o si può fare tutto dall’esterno?
Non necessariamente. In questo caso tutto è stato fatto dall’esterno. Chiaramente le indagini sono in corso, alcuni aspetti devono essere ancora chiariti, ma per quello che sappiamo questo è stato un attacco esterno. Se ci fosse stata qualche informazione interna avrebbe aiutato, ma probabilmente non ce n’è stato bisogno.
Che ipotesi si fanno sugli autori dell’attacco? Chi è stato?
È troppo presto per poterlo dire. Servono indagini molto accurate. Come sapete sono all’opera la polizia postale e il Dipartimento delle informazioni per la sicurezza.
Quando leggiamo: “Questo è un attacco arrivato dalla Russia o dalla Germania” possiamo fidarci?
Sono affermazioni assolutamente prive di fondamento. È impossibile dirlo adesso. Il fatto che un attacco sia arrivato, ammesso che sia vero, da server che si trovano in Germania non vuol dire che sia stato effettuato da li. È facilissimo smistare le comunicazioni. Io posso stare a Roma e, tramite un server in Germania, attaccare la Regione Lazio. È troppo presto per attribuire l’attacco a qualcuno. Sono affermazioni qualunquiste. Queste informazioni si possono ottenere solo dopo indagini molto lunghe e molto complesse che non c’è stato tempo di condurre.
Questa settimana potrebbe vedere la luce l’Agenzia sulla cyber sicurezza italiana. Che cosa sarà? A cosa servirà?
Non è una cosa nuova, ma l’evoluzione di un processo iniziato nel 2013, quando l’Italia si è dotata di una strategia cyber e di strutture coordinate a livello europeo per il contrasto al crimine informatico. Oggi la regia della sicurezza cibernetica nazionale è affidata al Dipartimento delle informazioni per la sicurezza. Questa nuova Agenzia nasce per accentrare in un unico posto delle competenze che in questo momento sono sparse per vari enti, ministeri e istituzioni. L’Agenzia avrà compiti d’indirizzo, d’impulso e di coordinamento. Purtroppo non potrà pattugliare le reti delle pubbliche amministrazioni o degli enti, ma avrà compiti molto più strategici.
Quanto tempo ci vuole a uscire da una situazione di questo tipo? E in che modo si può fare?
Parlare in termini generali è sempre difficile, ma è ancora più difficile parlare del caso specifico senza avere tutta una seri di informazioni di cui al momento non disponiamo. In termini generali, da un’indisponibilità di dati come questa, si può uscire in un unico modo: con i backup che, per buona pratica, si dovrebbero mantenere proprio per ripristinare le attività in caso di disastro.
Anche nelle strutture più organizzate c’è sempre qualcosa che va male o che può essere migliorato, purtroppo ce ne accorgiamo sempre in caso di emergenza. Bisogna fare tesoro di ciò che è successo per poter migliorare in futuro. Se ci sono stati dei punti deboli o non attentamente progettati sarà importante tenerne conto per ricostruire o migliorare la situazione in futuro. Non ho informazioni specifiche per sapere cosa dovrebbe fare la Regione Lazio. Solo chi conosce dall’interno il sistema può dare una risposta del genere.
FOTO| Il centro vaccinale Anti Covid “La Nuvola” che ha subito l’attacco hacker ai sistemi informatici della Regione Lazio, Roma
