Immagine in evidenza rielaborata con intelligenza artificiale Nella notte tra l’11 e il 12 ottobre 2026, i frigoriferi di centinaia di supermercati francesi hanno cominciato improvvisamente a riscaldarsi. In alcuni casi le temperature hanno raggiunto i 50 gradi, costringendo i responsabili dei punti vendita a gettare grandi quantità di prodotti freschi e surgelati. Non si è trattato però di un guasto tecnico, ma di un attacco informatico. I responsabili sono infatti riusciti a prendere il controllo da remoto dei sistemi di regolazione degli impianti frigoriferi (approfittando della scarsa protezione di sistemi di controllo accessibili direttamente via internet), attivando i cicli di sbrinamento e prolungandone la durata fino a otto ore. Il risultato è stata l’interruzione della catena del freddo in centinaia di supermercati appartenenti a diverse catene della grande distribuzione, con danni economici per milioni di euro. La vicenda rappresenta un recentissimo esempio di un fenomeno sempre più preoccupante: gli attacchi informatici ai sistemi di Operational Technology (OT, le tecnologie che controllano e monitorano impianti e processi fisici), capaci di provocare conseguenze concrete nel mondo materiale. Un fenomeno, come vedremo, in crescita e che negli ultimi mesi ha colpito in Occidente soprattutto gli Stati Uniti. Il 30 luglio 2026, sul sito dell’FBI, è comparso un “avviso pubblico” rivolto ai proprietari e ai gestori di infrastrutture critiche sul territorio statunitense. L’allarme riguardava possibili attacchi a “dispositivi di tecnologia operativa”.  Nell’avviso, il Federal Bureau of Investigation specificava che l’allarme era scattato dopo le segnalazioni da parte di alcune aziende di servizi idrici e trattamento delle acque reflue in sette diversi stati, tutte vittime di cyber attacchi che miravano a interferire con le loro operazioni. Nel solo Minnesota gli attacchi avrebbero interessato 30 impianti, ma nell’arco di un paio di settimane i casi si sarebbero moltiplicati, arrivando a coinvolgere in tutto almeno 12 stati dell’Unione. Secondo alcune fonti investigative citate dalla stampa statunitense, gli attacchi informatici – che in alcuni casi hanno provocato cali di pressione nella rete idrica e allagamenti – potrebbero essere riconducibili a gruppi legati al Corpo delle Guardie della Rivoluzione Islamica iraniano, che avrebbero agito per rappresaglia nei confronti degli attacchi “cinetici” condotti da USA e Israele contro l’Iran. Uno degli episodi più significativi è quello della Clayton County Water Authority, in Georgia, dove il 27 luglio un guasto a una stazione di pompaggio ha provocato interruzioni nell’erogazione dell’acqua e costretto le autorità a raccomandare ai residenti di bollirla prima del consumo. Il servizio è stato ripristinato nel giro di poche ore e le analisi non hanno rilevato contaminazioni, ma l’azienda ha avviato un’indagine per accertare se si trattasse di un attacco informatico. Se la responsabilità iraniana fosse accertata, la vicenda della compromissione degli impianti idrici negli Stati Uniti confermerebbe come questi attacchi siano spesso una componente importante di quella “guerra ibrida” che agita le opinioni pubbliche in Occidente. La vicenda della compromissione degli impianti idrici negli Stati Uniti è però solo un episodio di quello che è diventato un fenomeno piuttosto diffuso. Gli attacchi informatici ai sistemi di Operational Technology (OT, le tecnologie che controllano e monitorano impianti e processi fisici) rappresentano infatti una componente sempre più importante di quella “guerra ibrida” che agita le opinioni pubbliche in Occidente. STUXNET, IL PIÙ CELEBRE ATTACCO OT Gli attacchi segnalati dall’FBI lo scorso luglio hanno interessato i sistemi industriali gestiti attraverso dispositivi della serie Rockwell Automation/Allen-Bradley’s MicroLogix 1100 e 1400, ma già in passato altri sistemi di controllo industriale – tra cui gli SCADA (applicazioni software usate per supervisionare i processi industriali associati) di Siemens, usati anche nel settore energetico – erano stati presi di mira da gruppi legati ad apparati statali, con conseguenze anche sul funzionamento fisico degli impianti. Il caso più clamoroso di attacchi cyber a impianti fisici è infatti quello di Stuxnet, un malware entrato in circolazione attorno al 2007 e tra i primi esempi di come sia possibile provocare gravi danni fisici a un impianto industriale agendo per via informatica. Il malware è stato sviluppato congiuntamente dai servizi segreti statunitensi e israeliani con l’obiettivo di sabotare la centrale di arricchimento dell’uranio di Natanz, in Iran.  L’operazione, battezzata Olympic Games, secondo le fonti di stampa sarebbe stata pianificata dall’amministrazione statunitense come alternativa all’ipotesi di un attacco “fisico” – caldeggiato da Tel Aviv – per rallentare il programma nucleare iraniano ed è stata portata a termine con successo nel 2010. L’obiettivo di Stuxnet, in sintesi, era quello di alterare il funzionamento delle centrifughe fino a renderle inutilizzabili. Stuxnet è stato il primo vero “campanello d’allarme” sul rischio legato ad attacchi cyber in ambito OT con conseguenze potenzialmente catastrofiche a livello fisico. UN FENOMENO IN CRESCITA Da allora, gli episodi di attacchi ai sistemi OT sono cresciuti notevolmente e sono spesso stati condotti sia come strumento di rappresaglia, sia come azione di sabotaggio in sinergia con gli attacchi “fisici”.  Le cronache delle tensioni tra Russia e Ucraina, successivamente sfociate in aperto conflitto, riportano per esempio ben tre episodi di questo tipo. Nel dicembre 2015, un attacco legato al malware BlackEnergy ha provocato un’interruzione dell’energia elettrica che ha coinvolto circa 230mila persone. L’anno successivo, un altro malware, chiamato Industroyer, ha causato un blackout nella capitale Kiev. Il più recente attacco con Industroyer2 dell’aprile 2022 è stato invece pianificato nel pieno delle ostilità con l’obiettivo – fallito – di colpire le sottostazioni elettriche ad alta tensione ucraine. Altri episodi, sempre attribuiti a gruppi legati al governo del Cremlino, hanno coinvolto recentemente alcuni impianti del settore energetico in Polonia, un sistema di teleriscaldamento nella città ucraina di Lviv, per finire con i sistemi di controllo della diga di Bremanger, nella Norvegia occidentale.  Gli impianti industriali rischiano però di finire nel mirino non solo dei cosiddetti “hacker di stato”, ma anche dei cyber criminali specializzati nel ransomware, cioè in attacchi che puntano a compromettere i sistemi informatici delle aziende con lo scopo di estorcere un riscatto.  In quest’ottica, i sistemi OT sono un bersaglio ideale. Se normalmente i pirati informatici puntano al blocco dei sistemi digitali o alla sottrazione di informazioni sensibili, gli attacchi che coinvolgono direttamente o indirettamente i sistemi OT rappresentano un potenziale salto di qualità. Provocando l’interruzione dell’attività produttiva, infatti, i criminali si garantiscono una leva formidabile per indurre la vittima a cedere al ricatto. LA FRAGILITÀ DEL SETTORE OT Il bersaglio privilegiato degli attacchi cyber in ambito industriale sono i Programmable Logic Controller (PLC), cioè i computer industriali che controllano macchinari e processi fisici: pompe, valvole, motori, nastri trasportatori, turbine, sistemi di trattamento dell’acqua e simili. Ciò che rende così vulnerabili i PLC è che, nella maggior parte dei casi, hanno una “età” piuttosto elevata. Gli impianti industriali sono infatti pensati per cicli di sostituzione molto più lunghi (dai 15 ai 30 anni) rispetto a quelli digitali, che invece vanno solitamente incontro all’obsolescenza nel giro di 3-5 anni. Chi ha implementato i PLC per la gestione di impianti industriali nei primi anni 2000 non aveva alcuna dimestichezza con concetti come “security by design” e, soprattutto, non poteva prevedere fino a che punto quei sistemi sarebbero stati interconnessi con l’infrastruttura IT aziendale.  Risultato: oggi ci sono impianti industriali che poggiano le loro fondamenta su sistemi informatici con caratteristiche di sicurezza assolutamente inadeguate ai tempi. Una recente analisi eseguita dall’olandese Modat, per esempio, evidenzia come in Europa ci siano 8.547 sistemi legati alla produzione di energia solare ed eolica esposti su Internet.  Uno dei fattori che incide di più sul livello di sicurezza di questi sistemi è però il fatto che gli impianti industriali “obbligano” a utilizzare sistemi operativi e software non più supportati a livello di aggiornamenti di sicurezza. Stando a una ricerca condotta su 635 sistemi di controllo industriale, risulterebbe che solo il 22,5% dei computer Windows impiegati nei centri di controllo utilizzerebbe versioni aggiornate del sistema operativo. Il 77,5% “gira” invece su versioni legacy, come Windows XP e Windows 7, per le quali non è più disponibile il supporto.  Non si tratta di una forma di incoscienza o sciatteria, ma di un effetto collaterale legato alla compatibilità tra software e dispositivi di controllo. Una ricerca di txOne che ha coinvolto 550 responsabili OT europei segnala che il 54% degli intervistati indica proprio la compatibilità come motivazione per il mantenimento di sistemi vetusti, mentre il 45% giustifica il mantenimento dello status quo con gli elevati costi di aggiornamento degli impianti.  Sotto questo profilo è bene chiarire come non si tratti dei costi per gli aggiornamenti software, ma di quelli che sarebbero necessari per sostituire gli impianti di produzione o aggiornare i sistemi di controllo. In altre parole, per modernizzare il settore digitale di un impianto industriale sarebbe spesso necessario un esborso economico insostenibile. TEMPI LUNGHI PER IL CAMBIAMENTO Il quadro, per lo meno in Europa, è destinato a cambiare. Se la direttiva NIS2 impone già una serie di obblighi a livello di cyber security per chi gestisce servizi critici, il vero cambio di passo è avvenuto con il Cyber Resilience Act (CRA). Il regolamento fissa una serie di requisiti per i dispositivi OT disponibili nel mercato europeo, per garantire un maggior livello di sicurezza. Il problema è che le principali disposizioni del CRA entreranno in vigore a fine 2027, ma non imporranno un adeguamento generalizzato dei sistemi già installati.  Considerando il fatto che i cicli di vita di questi dispositivi sono estremamente lunghi, il vero salto di qualità verso sistemi meno vulnerabili potrebbe richiedere decenni. Fino ad allora, la vera sfida sarà quella di proteggere in maniera efficace un ecosistema industriale che, sotto il profilo della cyber security, rischia di essere un colabrodo. L'articolo Quando l’attacco cyber diventa una minaccia fisica proviene da Guerre di Rete.

Immagine in evidenza rielaborata con l’intelligenza artificiale Il 7 ottobre 2026, l’Agenzia Nazionale per la Cybersicurezza (ACN) ha adottato la Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD: Coordinated Vulnerability Disclosure) e ha invitato la comunità digitale italiana a segnalare tutte le vulnerabilità zero-day, quindi ancora sconosciute, scoperte su sistemi di soggetti pubblici e privati. Un passo in avanti, senza dubbio. Peccato che il passo in avanti fosse già previsto per legge dall’articolo 12 della Direttiva NIS2 (la normativa europea che punta rafforzare la sicurezza informatica di aziende, enti pubblici e servizi considerati critici), pubblicata in Gazzetta Ufficiale dell’Unione Europea nel dicembre 2022. Quattro anni di attesa per adempiere a un obbligo già scritto nero su bianco. È probabilmente il ritmo fisiologico della macchina pubblica italiana quando si tratta di tecnologia: la direttiva arriva, viene recepita con il decreto legislativo nel 2024, poi si aspetta un altro anno prima che qualcuno adotti gli strumenti operativi che quella norma richiedeva. Nel frattempo, però, le vulnerabilità informatiche esistono lo stesso. La politica in sé ha una struttura ragionevole: il ricercatore segnala una vulnerabilità al CSIRT Italia (Computer Security Incident Response Team: la squadra nazionale che si occupa di gestire e coordinare la risposta agli incidenti informatici), il CSIRT si coordina con il fabbricante o il gestore del sistema vulnerabile, si trova una patch, poi si divulga.  È possibile segnalare anche in forma anonima tramite una piattaforma dedicata sul sito ACN, che però al momento non risulta ancora essere attiva. Il messaggio pubblico di ACN è persino entusiasta: la community è invitata a collaborare, gli hacker etici sono benvenuti, insieme si costruisce un ecosistema digitale più sicuro. I problemi, come spesso avviene, sono nella nota in calce, quella che nessuno commenta nei comunicati ufficiali. I RISCHI PENALI La Politica CVD di ACN contiene infatti una clausola che vale la pena citare quasi alla lettera: le attività di ricerca delle vulnerabilità vanno condotte nel rispetto della legge e non devono integrare fattispecie di reato. Traduzione: segnalateci pure tutto quello che trovate, ma non aspettarti protezione se hai violato la legge. Il punto è che in Italia la legge in questione è l’articolo 615-ter del Codice Penale, che punisce chiunque acceda abusivamente a un sistema informatico protetto da misure di sicurezza. La norma non distingue tra chi entra per rubare dati e chi entra per trovare una falla e segnalarla. I motivi del ricercatore sono, sul piano tecnico-giuridico, sostanzialmente irrilevanti: lo ha chiarito la Cassazione a Sezioni Unite nel 2012, che ha spostato il focus sulla qualità dell’accesso rispetto all’autorizzazione ricevuta. Chi accede a un sistema informatico protetto senza autorizzazione rischia di commettere un reato, indipendentemente dalle sue intenzioni. ACN non è un’autorità giudiziaria e non può quindi garantire immunità penale a nessuno. Al massimo può impegnarsi a non sporgere querela come soggetto offeso, ma il Pubblico Ministero può comunque procedere d’ufficio. E se il sistema vulnerabile appartiene a un ente terzo, ACN non ha alcun potere su quel soggetto. L’anonimato garantito dalla piattaforma protegge l’identità del segnalante durante il processo, ma non sana retroattivamente l’accesso abusivo che ha permesso di trovare la vulnerabilità. L’unico modo per fare security research su sistemi altrui senza rischiare un procedimento penale resta quello di sempre: farsi dare l’autorizzazione. Che è un penetration test. Non una CVD. COSA SUCCEDE NEL RESTO D’EUROPA Il Belgio ha risolto il problema nel 2022 con una norma specifica e nel 2024 l’ha consolidata nella propria legge di recepimento NIS2: chi rispetta le condizioni del safe harbor – ovvero nessun intento fraudolento, azioni proporzionate, segnalazione tempestiva al CCB (l’autorità belga competente per la cybersicurezza) e al titolare del sistema – non risponde penalmente dei reati informatici commessi nel corso della ricerca. È un’esenzione espressa, scritta nella legge, non una promessa procedurale di qualche autorità. I Paesi Bassi ci sono arrivati in modo diverso, più pragmatico: dal 2013 esiste una direttiva della Procura che orienta l’esercizio dell’azione penale verso la non-perseguibilità dei ricercatori in buona fede. Non è un’immunità formale, ma crea un livello di prevedibilità che in Italia non esiste nemmeno in forma embrionale. La Germania nel 2024 aveva elaborato una bozza di riforma del paragrafo 202a del Codice Penale – il loro equivalente del nostro 615-ter – per escludere dalla fattispecie le attività di ricerca finalizzate alla segnalazione. La bozza è decaduta con la crisi della coalizione. Il contratto di governo CDU/CSU-SPD del 2025 l’ha ripresa con un impegno esplicito a creare certezza giuridica per la ricerca in sicurezza informatica. Non è ancora legge, ma è in agenda. La Francia ha invece una protezione debole e solo procedurale, ma almeno esiste: l’ANSSI (agenzia per la cybersicurezza francese) non è obbligata a denunciare chi segnala in buona fede. L’Italia, con la sua nuova Politica CVD, si colloca nell’unica categoria rimasta: quella dei Paesi che hanno un canale di segnalazione e nessuna tutela sostanziale. SE L’ITALIA INASPRISCE LE PENE Mentre il Belgio costruiva un safe harbor e la Germania ci provava, l’Italia approvava la Legge 90/2024 sulla cybersicurezza nazionale. Non è una legge che protegge i ricercatori: è una legge che alza le pene. Per i sistemi di interesse pubblico – sanitario, militare, di ordine pubblico, infrastrutture critiche – le pene per accesso abusivo sono passate da un massimo di cinque anni a un massimo di dieci, con aggravanti che arrivano a dodici. In questi casi, inoltre, si procede d’ufficio, senza che sia necessaria una querela. Il legislatore ha quindi deciso, nell’anno in cui si recepiva NIS2, di rendere più pericoloso fare security research proprio sui sistemi più critici: quelli dove le vulnerabilità hanno le conseguenze più gravi. Oggi ACN invita la community a segnalare zero-day sui sistemi informatici della pubblica amministrazione o di interesse pubblico. La normativa vigente, però, continua a esporre chi individua queste vulnerabilità attraverso accessi non autorizzati al rischio di procedimenti penali, con pene che, nei casi più gravi, possono arrivare fino a dodici anni. Non c’è nessun safe harbor, nessuna proposta di legge in discussione in Parlamento, nessun indirizzo del Ministero della Giustizia che riduca anche solo l’incertezza. C’è un DDL presentato in Senato nell’aprile 2025 dal senatore Lorenzo Basso che contiene una delega generica per un safe harbor, che però non è mai  stato esaminato in commissione. LE CAUTELE NECESSARIE La Politica CVD di ACN è un passo necessario, ma tardivo. Crea un canale, introduce l’anonimato, formalizza un processo che prima non esisteva. Per chi trova vulnerabilità senza accedere a sistemi altrui – analisi passiva, firmware acquistato, software proprio – è uno strumento utile. Per chi fa ricerca sul campo, su sistemi in produzione, nell’unico modo in cui certi bug si trovano davvero, il quadro giuridico è identico a quello di ieri: un accesso non autorizzato è un accesso non autorizzato, indipendentemente da cosa si fa dopo. A Malta, nel 2022, quattro ricercatori hanno trovato una falla critica in un’app, l’hanno segnalata responsabilmente, e si sono ritrovati imputati. Tre anni di processo, poi la grazia presidenziale. Il premier maltese ha detto che lo Stato deve assumersi la responsabilità quando le leggi non riflettono la realtà tecnologica. In Italia stiamo ancora aspettando che qualcuno arrivi a quella conclusione. Nel frattempo, se trovate qualcosa, la domanda non è se segnalarlo. La domanda è se potete permettervi di averlo trovato. Che cos’è il CSIRT e quali sono le sue funzioni CSIRT è l’acronimo di Computer Security Incident Response Team, ovvero una squadra specializzata nella prevenzione e nella gestione degli incidenti informatici. In Italia, il CSIRT nazionale opera all’interno dell’Agenzia per la Cybersicurezza Nazionale (ACN). Il suo compito è monitorare le minacce informatiche, individuare possibili rischi, raccogliere le segnalazioni degli attacchi e assistere le organizzazioni colpite nella gestione delle emergenze. Il CSIRT diffonde inoltre allerte e informazioni sulle vulnerabilità individuate allo scopo di prevenire nuovi incidenti. Collabora con le autorità e con gli organismi analoghi degli altri Paesi, soprattutto europei, per condividere informazioni e coordinare le risposte alle minacce. Con la nuova politica nazionale di divulgazione coordinata delle vulnerabilità (CVD), il CSIRT Italia svolge anche il ruolo di intermediario tra chi scopre una falla informatica e chi è responsabile del sistema vulnerabile, facilitando la segnalazione e la successiva correzione. L'articolo L’Italia non protegge gli hacker etici proviene da Guerre di Rete.

Immagine in evidenza da Unsplash Nel breve lasso di tempo tra la strisciata di una carta di credito – oggi, più frequentemente, un tap – e l’approvazione di ogni pagamento, che si tratti di un caffè o di un’automobile, accadono molte cose, tutte piuttosto complesse. In un istante le informazioni viaggiano tra il POS, la banca e i circuiti di pagamento. I dati provenienti dalle carte vengono sottoposti a controlli incrociati, geolocalizzazione, analisi dei profili di rischio, rilevazione di eventuali blocchi.  Frodi, truffe, ingegneria sociale: il menù delle minacce è ricco. E se una volta i cracker erano semplicemente un prodotto da forno, oggi il termine fa riferimento anche agli hacker malevoli, che si annidano ovunque. E di cui l’intelligenza artificiale ha moltiplicato i mezzi.  La sede di Mastercard in Europa si trova a Waterloo, periferia verde di Bruxelles. Quando chi scrive l’ha visitata, nel marzo scorso, è bastata una manciata di minuti per rendersi conto che una parola sola domina le menti e le giornate di chi ci lavora: cybersecurity. Un’ossessione così pervasiva che, quando ci avviciniamo al tavolo in cui lavorano, i dipendenti si affrettano ad applicare una pellicola di sicurezza sugli schermi dei propri computer, di quelle che consentono di leggere solo a chi si trova in asse col monitor. Non si sa mai. Anche fare foto non è particolarmente apprezzato nella centrale di comando della sicurezza informatica della società americana, dove un grande schermo mostra il planisfero illuminato da LED che si accendono e spengono. Rossi, verdi, blu: il pericolo può arrivare da uno qualsiasi dei Paesi del globo.  “Alla fine, quello che cerchiamo di fare è rendere l’ecosistema in cui operiamo sicuro e degno di fiducia”, spiegava ai cronisti il vicepresidente per le soluzioni di cybersecurity della Mastercard Rigo van den Broek. E con 174 miliardi di transazioni gestite nel 2025, lo sguardo della società, il cui quartier generale è a Purchase (nomen omen) nello stato di New York, deve per forza di cose mantenersi su scala mondiale. Per questo, aggiunge van den Broek, alcuni dei migliori crittografi del mondo lavorano nel quartier generale europeo, che si trova nella città dove fu sconfitto Napoleone. COSA ACCADE QUANDO SI FA UN ACQUISTO CON CARTA Ma cosa accade quando si fa un acquisto con  una carta di credito? Tutto accade nel giro di un paio di secondi. Ma lo scambio di informazioni collega tra di loro data center che si trovano a migliaia di chilometri di distanza.  Quando l’esercente ha finito di digitare l’importo sul terminale e il cliente avvicina la carta al lettore, in quel momento si avvia un processo di comunicazione che trova origine nella tecnologia bellica: come tante innovazioni, infatti, anche quella che sta alla base del contactless è nata in ambito militare.  Siamo negli anni che precedono la Seconda guerra mondiale. Il radar era già stato sviluppato negli anni Trenta dallo scozzese R.A. Watson-Watt, ma il dispositivo risolveva il problema dell’avvistamento e non quello dell’identificazione. Gli operatori a terra avevano però la necessità di capire se i velivoli che apparivano sullo schermo erano nemici o colleghi di rientro da una missione, differenza che il radar non era in grado di cogliere. Così, alla fine degli anni Trenta, i britannici svilupparono un dispositivo di identificazione automatica chiamato IFF (Identification friend or foe, identificazione amici o nemici). Fu uno degli antecedenti delle successive tecnologie di identificazione a radiofrequenza, che poi – una volta perfezionate – diedero vita a innumerevoli altre applicazioni, spesso molto distanti dall’ambito bellico. Tra queste, le linguette antitaccheggio dei grandi magazzini e, molto più tardi, l’NFC (Near-field communication, comunicazione a breve distanza), cioè la tecnologia che comunemente utilizziamo con le carte contactless, nata nei primi anni Duemila. Semplificando, ecco quindi ciò che avviene ogni volta che facciamo un acquisto. Una volta arrivati alla cassa e inserita la cifra sul terminale, il dispositivo POS (Point of sale, punto vendita) dell’esercente emette un segnale a radiofrequenza, e il campo elettromagnetico attiva il chip presente sulla vostra carta una volta che questa entra nel suo raggio d’azione. È come se la tessera si svegliasse grazie a questa energia, e iniziasse a comunicare e scambiare i dati necessari a identificare la carta e autorizzare la transazione. Può essere pensato come un badge di ingresso nell’area protetta di un edificio. Le informazioni sono, ovviamente, protette da sistemi crittografici, per evitare che malintenzionati dotati di strumenti relativamente semplici possano intercettarle e riutilizzarle. A questo punto, acquisiti i dati necessari, il POS comunica con la banca acquirente, cioè l’istituto che gestisce i pagamenti dell’esercente nel cui negozio vi trovate. La banca acquirente inoltra una richiesta al circuito di pagamento, per esempio Visa, Mastercard o American Express, che, a propria volta, la inoltra all’istituto che ha emesso la carta, cioè il vostro: sarà quest’ultimo a verificare, tra le altre cose, che ci siano fondi o credito disponibili e, alla fine del processo, ad addebitare l’acquisto. È in questa fase che avvengono le verifiche: si controlla innanzitutto che la carta sia autentica, ma anche che ci siano fondi o credito disponibili e che non siano presenti blocchi o restrizioni. Tra queste ultime possono rientrare anche quelle dovute ai regimi sanzionatori internazionali. A questo proposito, è noto (e triste) il caso della relatrice speciale dell’ONU Francesca Albanese, colpita dagli effetti delle sanzioni imposte dall’amministrazione statunitense di Donald Trump. Albanese si è così trovata esclusa da numerosi servizi finanziari e digitali forniti da società statunitensi: la giurista è tornata giocoforza all’era del contante e non può semplicemente rivolgersi a un altro grande operatore americano per aggirare il problema. Sulla base delle sanzioni statunitensi, infatti, una società americana che le fornisse determinati servizi rischierebbe a propria volta conseguenze. Da qui il cortocircuito. Lo stesso meccanismo ha colpito, tra gli altri, Karim Khan, già procuratore capo della Corte penale internazionale, e numerosi giudici e funzionari della Corte. Al di là di questi casi particolari, i controlli comprendono il riconoscimento di pattern noti, cioè delle abitudini personali del titolare della carta. I sistemi usano sofisticati modelli che studiano la storia del cliente e la confrontano con la transazione effettuata al momento, a partire dalla posizione geografica in cui l’acquisto avviene (ed è per questo che ancora oggi è a volte richiesto di comunicare alla banca quando ci si trova all’estero), ma il sistema può essere allertato anche da transazioni che avvengono in negozi fisici molto distanti fra loro in un lasso di tempo giudicato troppo breve. Per transazioni di una certa entità viene inoltre chiesto un codice PIN (personal identification number, ennesimo acronimo), mentre anche per acquisti di piccolo importo può essere periodicamente richiesta una nuova autenticazione del titolare. Se i controlli vanno a buon fine, l’autorizzazione torna indietro risalendo lo stesso percorso, fino al POS del negozio in cui state effettuando l’acquisto. In realtà il denaro non è ancora stato trasferito, ma si è avviato un processo che condurrà, nei giorni successivi, al pagamento.  “La sicurezza del processo è garantita da uno standard chiamato PCI/DSS, creato dall’organizzazione omonima fondata nel 2006 dai principali circuiti internazionali: Mastercard, Visa, American Express, Discover Global Network, JCB”, spiega a Guerre di Rete Alessio Pennasilico, membro del comitato scientifico della Clusit, una delle principali associazioni italiane che si occupano di sicurezza informatica.  Questi circuiti internazionali impongono ai soggetti che elaborano, trasmettono e gestiscono dati relativi alle carte di pagamento l’aderenza a una serie di requisiti di sicurezza. “Esistono figure che si occupano periodicamente di controllare il rispetto dei requisiti”, prosegue Pennasilico. In questo modo viene rafforzata la sicurezza del sistema, da cui dipende direttamente il grado di fiducia, essenziale per mantenere legati i clienti. COSA SUCCEDE SE LA TRANSAZIONE È RIFIUTATA? I sistemi di rilevamento delle frodi hanno l’obiettivo di bloccare la transazione prima che venga completata e diventi difficile – quasi impossibile, se finisce in certe giurisdizioni – recuperarla. Ma cosa succede se la transazione viene rifiutata? Va ricordata innanzitutto una cosa: declined è un semplice messaggio, e non costituisce una spiegazione.  Ci possono essere almeno quattro ordini di motivi per cui l’acquisto viene rifiutato: il primo riguarda il vostro conto corrente (per esempio, la mancanza di fondi, ma anche un conto non più attivo); il secondo ha a che fare con i fattori di rischio (il sistema pensa di riconoscere una frode in atto); il terzo riguarda le credenziali (un problema fisico con la carta, che non riesce a fornire le informazioni necessarie per l’identificazione); il quarto motivo potrebbe risiedere in un problema di rete.  Nell’ultimo caso, ripetendo l’operazione è possibile che il problema si risolva, e che la luce verde, finalmente, appaia. Negli altri, la questione è più complicata ed è peggiorata dal fatto che non c’è modo di sapere, seduta stante, quale sia il problema. Un’incognita motivata con la privacy: si vuole infatti evitare che il commerciante venga a conoscenza di informazioni personali. A questo punto è necessario mettersi in contatto con la società che ha emesso la carta di credito. E non è sempre agevole, soprattutto quando ci si trova all’estero o si ha fretta. Per questo è importantissimo ridurre il numero di “falsi positivi”.  Non tutto si può fare internamente. Mastercard, per esempio, si è assicurata una società specializzata, Recorded Future, nel dicembre 2024. Acquistata per la cifra considerevole di 2,65 miliardi di dollari, Recorded Future è specializzata in threat intelligence: cerca – cioè – segnali provenienti da fonti aperte, dark web e ambienti ad alta criticità (anche criminali) per anticipare le minacce. A Waterloo assicurano che le informazioni individuate sono condivise anche con la concorrenza, con l’obiettivo di mantenere alta la fiducia generale nel sistema.  “L’esposizione dei dati è il carburante che alimenta le frodi su larga scala”, scrive Recorded Future nel rapporto Annual payment fraud intelligence report uscito nel 2025. Solo in quell’anno, i dati di 142 milioni di carte di credito sono stati postati nel dark web (34 milioni meno che nel 2019, -19%). “Ma non tutti i dati esposti presentano lo stesso livello di rischio”. Tra le frodi principali che gli esperti di cybersicurezza tengono d’occhio troviamo le cosiddette MageCart (crasi tra il  nome del sistema di content management per negozi online Magento, e cart, la parola inglese che sta per “carrello”): si tratta di script difficili da rilevare che rubano i dati dei clienti mentre fanno acquisti online. Recorded Future si spinge a parlare di “malware as-a-service”, per spiegare quanto sia facile oggi per gli attori malevoli procurarsi a pagamento i ferri del mestiere.  Anche per questo gli investimenti in tecnologia e sicurezza sono molto alti, nell’ordine di miliardi di dollari. “D’altra parte, sono successe più cose negli ultimi cinque che nei precedenti cinquanta”, chiosava a marzo scorso Luca Gagliardi, a capo della sezione consulting & analytics per Visa in Italia. “L’innovazione nei pagamenti è stata velocissima, ma ancora di più lo è stata l’innovazione nelle frodi, che sono globali”. L'articolo Chi protegge i nostri pagamenti? proviene da Guerre di Rete.

Riceviamo e pubblichiamo il comunicato stampa di Rifondazione comunista, i cui cosegretari della Federazione di Palermo – che per principi etici, diversamente dalla giunta  – si sono espressi negativamente sulla vicenda della privatizzazione dei servizi di cybersicurezza, richiedendo contestualmente l’immediata attivazione di un “tavolo tecnico” con la Sispi e le altre partecipate, al fine di avviare con urgenza l’iter del procedimento amministrativo d’attuazione che coinvolga direttamente le aziende comunali_ ________________________ Da più di un anno – dichiarano Ramon La Torre e Barbara Evola cosegretari di Rifondazione Comunista Palermo – abbiamo denunciato la nostra preoccupazione per la “Dichiarazione di preliminare interesse pubblico espressa dal Sindaco con D.S. n. 50/1.07.2025” sulla proposta di partenariato pubblico-privato avanzata da una società straniera per la raccolta e gestione dei dati e la vigilanza, investendo di tale problema la stampa locale e tutte le rappresentanze politiche di opposizione. Non vogliamo dimenticare – affermano – le dichiarazioni dell’ambasciatore israeliano rilasciate dopo l’incontro segreto col sindaco Lagalla, nel quale si sarebbe discusso di nuove possibili collaborazioni in diversi settori, innovazione digitale e cybersecurity. Oggi apprendiamo – continuano i cosegretari.- che la Giunta ha “bocciato” questa privatizzazione non per motivi etici, come avrebbe dovuto fare, ma perché – come indicato nella deliberazione – il progetto “non è in linea con le esigenze espresse dagli Uffici competenti dell’Amministrazione Comunale.” Anche questi elementi da noi messi all’evidenza. Prendiamo atto ancora una volta – aggiungono – dell’inadeguatezza di questa amministrazione che affronta le dinamiche e i processi relativi all’innovazione tecnologica e alla cyber security solo come prestazione di servizi e si limita ad agire in funzione di requisiti tecnico-economici. L’innovazione tecnologica e la cyber security – affermano Ramon La Torre e Barbara Evola – sono settori strategici e strumenti di geopolitica, e quindi solo la gestione pubblica può garantirne un uso democratico e rispettoso dei principi costituzionali a garanzia dei cittadini e delle cittadine. Pertanto, superato il pericolo della privatizzazione, invitiamo le forze di opposizione in consiglio comunale ad attivare un percorso istituzionale per garantire l’erogazione di questi servizi tramite la Sispi e le altre società comunali competenti. RAMON LA TORRE E BARBARA EVOLA – COSEGRETARI RIFONDAZIONE COMUNISTA PALERMO Redazione Palermo

Un dossier dell’Osservatorio contro la militarizzazione delle scuole e università ricostruisce la riforma della Difesa: più militari, tre riserve, dominio cyber e ricerca orientata alla guerra. In gioco non c’è …

Immagine in evidenza rielaborata con Intelligenza Artificiale Una nave portacontainer arriva in porto e si ferma sotto una fila di gru portuali alte quanto un palazzo. Le loro braccia si allungano sopra il ponte, agganciano uno dei container impilati a bordo e lo spostano a terra. È una coreografia che si ripete migliaia di volte al giorno in ogni grande porto del mondo, con una precisione crescente e tempi sempre più ridotti. Da operazioni simili dipende buona parte del commercio mondiale e del suo ritmo. A prima vista, una gru portuale (in gergo: ship-to-shore) sembra soprattutto una grande struttura meccanica, quasi un residuato industriale: acciaio, motori, cavi e carrucole costruiti per sollevare decine di tonnellate. La verità è che le gru installate nei grandi porti contemporanei sono ormai inserite all’interno di ecosistemi digitali molto complessi, piene come sono di sensori che controllano posizione, velocità e oscillazione dei container; software che coordinano i movimenti; strumenti per comunicare con gli altri dispositivi del porto e delle navi, ecc. La trasformazione di strumenti meccanici in dispositivi digitali non riguarda peraltro solo le gru, ma i porti nel loro complesso. Negli ultimi decenni i terminal si sono riempiti di sistemi informatici che assegnano gli spazi ai container, coordinano camion e treni, gestiscono gli ingressi in banchina, registrano i movimenti delle merci e stabiliscono in quale ordine una nave debba essere caricata o scaricata. Nei terminal più automatizzati, parte delle operazioni che un tempo richiedevano centinaia di persone viene oggi eseguita o coordinata da software, sensori e veicoli autonomi. E i progressi di intelligenza artificiale – in termini soprattutto di computer vision, IoT/sensori, digital twin e veicoli autonomi – promettono di rendere la tendenza ancora più evidente in futuro. Tanta efficienza è necessaria perché nei porti il tempo costa più che altrove. Una nave ferma anziché in viaggio consuma enormi risorse finanziarie. Una colonna di tir in coda perché c’è stato un errore nell’assegnazione di uno slot di carico è un danno che si ripercuote a cascata su migliaia di altri trasporti. Per questo conoscere con precisione e rapidità dove si trova un container, quanto spazio rimane su un cargo, in quale ordine vanno caricate o scaricate le stive è un fattore fondamentale per ridurre tempi e costi e aumentare l’efficienza logistica. Più efficiente diventa la logistica, più facile ed economico risulta l’organizzazione di catene produttive distribuite su migliaia di chilometri, ovvero la struttura industriale alla base del sistema produttivo contemporaneo. La digitalizzazione dei porti è, in altre parole, uno degli sviluppi tecnologici che hanno permesso alla globalizzazione di funzionare con l’enorme fluidità ed efficienza raggiunta negli ultimi decenni. Questa stessa trasformazione ha però prodotto altre conseguenze: un porto più digitalizzato è efficiente, ma è anche più vulnerabile ad attacchi informatici e ad altri generi di sabotaggio tecnologico. Ed è così che, di recente, anche i macchinari portuali hanno iniziato a diventare una questione cyber e geopolitica. IL PROBLEMATICO DOMINIO DI ZPMC Il caso più evidente è quello delle gru prodotte da Shanghai Zhenhua Heavy Industries Company, meglio nota come ZPMC. L’azienda cinese è diventata negli ultimi trent’anni il principale produttore mondiale di gru portuali e le sue macchine sono oggi presenti nei terminal di decine di paesi. Negli Stati Uniti, in particolare, ZPMC è arrivata a occupare una posizione dominante tra le gru portuali installate nei porti commerciali. Per molto tempo questo dato ha interessato solo gli addetti ai lavori. ZPMC era semplicemente un’azienda che vendeva macchinari grandi, costosi e difficili da produrre a clienti che avevano bisogno di movimentare un numero crescente di carichi nel minor tempo possibile. La sua espansione era, prima di tutto, una storia industriale: quella di un’azienda che, come molte altre realtà cinesi, era riuscita a conquistare un settore altamente specializzato grazie alla capacità produttiva, ai prezzi competitivi e alla possibilità (pure questa logistica) di consegnare in tutto il mondo delle gru già quasi completamente assemblate. Poi sono arrivati gli anni Venti ed è mutato il contesto politico. Negli Stati Uniti del post-Covid la crescente competizione con la Cina ha trasformato progressivamente alcune dipendenze industriali in problemi di sicurezza nazionale. È accaduto con i semiconduttori, con le apparecchiature per le telecomunicazioni, con le batterie, con una lunga serie di tecnologie e materie prime considerate critiche. E alla fine è arrivato anche il turno delle gru. Macchinari che fino a pochi anni prima venivano raccontati soprattutto come moltiplicatori di efficienza hanno cominciato a essere descritti col vocabolario del rischio. Ci si è iniziati per esempio a domandare come fosse possibile che un componente industriale prodotto da un’azienda cinese, contenente hardware e software provenienti da una filiera internazionale, non solo fosse finito in ogni molo d’America (quelle ZPMC rappresentano quasi l’80% delle gru portuali presenti negli Stati Uniti), ma avesse libero accesso ad alcune delle reti infrastrutturali più importanti dell’economia USA. NORMALI GRU O SPIE CYBER? Nel febbraio del 2024, l’amministrazione Biden è così intervenuta sulla cybersecurity dei porti statunitensi, dedicando particolare attenzione proprio alle gru ship-to-shore prodotte in Cina. Il timore era che sistemi di comunicazione, accessi remoti o altre componenti digitali potessero essere sfruttati per raccogliere informazioni o, in uno scenario più grave, interferire con le operazioni portuali. Nacque così sui media l’espressione “gru-spia”, che evocava l’immagine di queste enormi mantidi d’acciaio cinesi affacciate sui porti americani, le quali, oltre a spostare container, avrebbero potuto rappresentare una specie di cavallo di Troia digitale. Era un’immagine potente, ma anche una semplificazione della realtà politica dietro il fenomeno. Il problema delle gru ZPMC non si limita alla eventuale, presunta, e tutta da dimostrare, volontà cinese di sabotare la logistica americana o mondiale. Il problema delle gru ZPMC ha a che fare con il difficilissimo ripensamento di un sistema industriale internazionale che per decenni ha ricercato l’efficienza estrema, ma che, negli ultimi anni, è diventato politicamente sempre più spaventato da se stesso. E questo genera alcuni paradossi. Il primo paradosso è che una gru ZPMC non è, in realtà, interamente cinese. Come molti oggetti industriali complessi del nostro tempo, è il risultato di una catena di fornitura internazionale. Al suo interno contiene motori, sensori e componenti prodotti da aziende europee, giapponesi o americane, assemblati in Cina e infine installati in un porto dall’altra parte del mondo. Una filiera così stratificata è una caratteristica normale dell’industria contemporanea, ma rende molto difficile stabilire dove cominci e dove finisca il rischio associato a una determinata tecnologia. Eliminare una gru cinese da un porto americano, per esempio, non significa necessariamente eliminare tutti i componenti critici cinesi dall’infrastruttura del porto. Allo stesso modo, sostituire una gru cinese con una macchina europea o giapponese non solo costa di più, ma non garantisce necessariamente che questa non utilizzi a sua volta componenti o subfornitori cinesi in qualche punto della sua supply chain (che è la ragione per cui la burocrazia del protezionismo è una delle questioni tecnicamente più complesse al mondo). Nel caso di una gru portuale, poi, la questione si complica ulteriormente perché il prodotto non termina ai confini della macchina. Una volta installata, la gru viene collegata all’ecosistema digitale del terminal. Deve comunicare con altri sistemi, essere aggiornata, diagnosticata, riparata. Le configurazioni variano da porto a porto e alcune macchine possono essere controllate, programmate o assistite da remoto. Nel corso delle indagini condotte nel 2023 e nel 2024 dal Congresso USA furono trovati modem cellulari installati su alcune gru ZPMC o all’interno delle infrastrutture di rete che le servivano. In alcuni casi, secondo le commissioni parlamentari che condussero l’indagine, quegli apparati non erano esplicitamente previsti dai contratti stipulati dai porti. ZPMC aveva inoltre richiesto in diverse occasioni accesso remoto alle proprie gru, ufficialmente per attività di diagnostica e manutenzione. Nessuna di queste caratteristiche, presa isolatamente, è la cosiddetta “smoking gun”. D’altra parte, un modem può avere una funzione perfettamente legittima e l’accesso da remoto, quando possibile, è comune nella manutenzione delle apparecchiature industriali, visti i grossi risparmi che permette. Il problema è che la stessa funzione che permette a un ingegnere di diagnosticare un guasto a distanza può, se progettata o configurata (magari intenzionalmente) male, trasformarsi in un punto di accesso per qualcun altro. Le indagini statunitensi hanno quindi mostrato vulnerabilità e possibilità di accesso, ma non hanno dimostrato che Pechino abbia effettivamente utilizzato le gru ZPMC per spiare o sabotare i porti statunitensi. Nel rapporto sulle minacce informatiche al sistema marittimo pubblicato nel 2025, la Coast Guard precisava che i propri specialisti non avevano osservato attività malevole sulle o attraverso le gru, pur ritenendo che le vulnerabilità individuate le rendessero possibili. È una distinzione importante: una vulnerabilità informatica può essere una falla tecnica, ma non indica inequivocabilmente la volontà di arrecare un danno. Una backdoor deliberatamente inserita da un produttore è invece qualcosa di diverso, perché implica intenzionalità. Dimostrare infine che l’eventuale backdoor individuata sia stata effettivamente utilizzata da uno Stato per attività di spionaggio richiede un ulteriore salto probatorio. IL PARADOSSO DELLA GLOBALIZZAZIONE Ed è qui che rischio informatico effettivo e percezione del rischio geopolitico (con tutti i pregiudizi che essa comporta) finiscono per sovrapporsi. Un governo che si occupa della sicurezza di infrastrutture essenziali non può soltanto domandarsi se qualcuno abbia già sfruttato una vulnerabilità o se esista per errore o per dolo, ma deve soprattutto chiedersi, e a maggior ragione nel caso di un porto, se qualcuno potrebbe usarla in futuro e con quali effetti. Bloccare un grande terminal significa infatti rallentare l’arrivo di generi alimentari, di farmaci, di componenti industriale e, in caso di conflitti, di materiale destinato alle forze armate. La vulnerabilità di un porto può avere conseguenze che si propagano nell’entroterra per migliaia di chilometri. Ma proprio perché il ragionamento riguarda non ciò che accade o è accaduto ma ciò che potrebbe accadere, diventa difficile stabilire quale sia un livello di rischio accettabile. Se fosse necessario eliminare da qualunque infrastruttura critica ogni tecnologia potenzialmente vulnerabile, o riconducibile a un avversario politico, bisognerebbe ricostruire interamente le catene di fornitura mondiali. Il problema è che le dipendenze tecnologiche – nei porti o nei data center – non nascono per caso e soprattutto non scompaiono rapidamente. ZPMC ha conquistato il mercato perché per decenni ha fatto esattamente ciò che il sistema economico globale chiedeva ai suoi fornitori: produrre su larga scala, contenere i costi, aumentare l’efficienza e consegnare in tutto il mondo. ZPMC ha conquistato e dominato il settore per anni perché era un produttore capace non soltanto di costruire enormi gru, ma anche di assemblarle, trasportarle via mare e installarle direttamente nei terminal, offrendo ai propri clienti un vantaggio economico e di efficienza molto concreto. Per un porto che deve aumentare rapidamente la propria capacità, la provenienza geografica dei macchinari è stata per molto tempo una questione secondaria rispetto al prezzo, ai tempi di consegna e alle prestazioni. Per trent’anni aziende e governi hanno costruito le loro supply chain partendo dall’idea che contasse solo l’efficienza: se un’azienda era in grado di produrre una gru migliore o più economica, aveva senso acquistarla. Se assemblare un prodotto dall’altra parte del mondo consentiva di abbassarne il prezzo, era razionale organizzare la produzione in quel modo. E la possibilità di spostare merci rapidamente, e con costi relativamente bassi, rendeva tutto questo molto conveniente. La posizione di quasi monopolio del settore raggiunta da ZPMC non è dunque un’anomalia della globalizzazione. Al contrario, è la dimostrazione del suo successo. La vicenda delle “gru-spia” cinesi ci mostra quindi cosa succede quando la stessa logica che si è esaltata per anni viene filtrata attraverso un paradigma politico diverso e un clima di scarsa fiducia internazionale.  La globalizzazione aveva entusiasticamente costruito la propria efficienza sulla convinzione che l’interdipendenza fosse soprattutto una risorsa. La competizione geopolitica contemporanea dà invece priorità all’ipotesi opposta: che ogni interdipendenza sia anche, almeno potenzialmente, una vulnerabilità. E così facendo non sta mettendo in discussione soltanto gli effetti della globalizzazione (chi dipende da chi, dove vengono prodotti i beni o chi controlla determinate tecnologie), ma anche gli strumenti materiali con cui la globalizzazione stessa funziona. L'articolo Il fronte cyber del porto proviene da Guerre di Rete.

Le riflessioni di «La Terra Trema» e un appuntamento ad Abbiategrasso (Milano). IL VOLTO REALE DELL’INTELLIGENZA ARTIFICIALE E LA FINE DELL’INVISIBILITÀ DEL CAPITALISMO CIBERNETICO (1)  di La Terra Trema | Folletto25603 immagini Edoardo Pellegrini Il capitalismo digitale occidentale sta facendo dell’Italia, facile terra di conquista, colonia. Big tech, fondi di investimento e società a vario titolo (per lo più di matrice

Immagine in evidenza rielaborata con ausilio dell’intelligenza artificiale Il 3 aprile 2026, un utente registrato sotto il nome di Nightmare Eclipse pubblica sulla piattaforma GitHub – di proprietà di Microsoft – uno strumento chiamato BlueHammer: un archivio contenente il codice necessario a sfruttare una vulnerabilità di Defender, l’antivirus integrato in Microsoft Windows. Il messaggio di accompagnamento alla pubblicazione di BlueHammer suona come un’accusa alla stessa azienda, che secondo l’autore “avrebbe saputo cosa sarebbe successo”. Nei giorni seguenti, sullo stesso account vengono pubblicate informazioni su due vulnerabilità zero-day che prendono ancora di mira lo stesso antivirus, battezzate RedSun e UnDefend.  Tra il 10 e il 16 aprile 2026, i ricercatori di Huntress hanno osservato l’impiego delle tre vulnerabilità pubblicate da Nightmare Eclipse nel corso di un’intrusione ai danni di un’azienda. RedSun e UnDefend erano inoltre ancora zero-day, perché Microsoft non aveva ancora distribuito la relativa patch. Nessuno dei tre exploit sembra aver avuto successo durante l’attacco: la vicenda ha però riacceso i riflettori sul sistema che regola la pubblicazione delle vulnerabilità nel mondo della cybersecurity. L'incubo zero-day Scoprire una falla di sicurezza ancora sconosciuta rappresenta il Santo Graal dei cyber criminali. Uno zero-day può infatti consentire di colpire anche sistemi ben protetti, sfruttando una vulnerabilità per la quale non esiste ancora una correzione.  Scovare uno zero-day non è però qualcosa alla portata di tutti. E i casi in cui i gruppi criminali sono riusciti a individuare indipendentemente vulnerabilità di questo tipo sono rarissimi. Nelle cronache, l’uso di strumenti di attacco che fanno leva su falle di sicurezza di questo tipo è stato storicamente associato a organizzazioni dotate di risorse notevoli – tra cui i cosiddetti gruppi APT (Advanced Persistent Threat) – e che spesso agiscono direttamente sotto il controllo statale. Normalmente, le nuove vulnerabilità software vengono invece individuate da società di cybersecurity e ricercatori indipendenti, che passano al setaccio il codice dei software più diffusi secondo la logica di “trovare la falla prima che lo facciano i cattivi”. Le scoperte sono gestite in modo che la loro pubblicazione avvenga solo dopo che il problema è già stato segnalato allo sviluppatore, in modo che abbia il tempo di predisporre e distribuire l’aggiornamento che lo corregge e – possibilmente – che la maggior parte degli utenti abbia il tempo di installare l’update. IL DIFFICILE CONCETTO DI “RESPONSIBLE DISCLOSURE” Definire le modalità con cui vengono pubblicati i dettagli delle vulnerabilità individuate dai ricercatori non è semplice come potrebbe sembrare a prima vista. La prassi di segnalare prima la vulnerabilità allo sviluppatore del software e di attendere il rilascio di un aggiornamento prima di renderne pubblici i dettagli – la cosiddetta “responsible disclosure” – si basa infatti su convenzioni, più che su regole vincolanti: norme di buon senso pensate per evitare che una falla di sicurezza venga esposta prima che sia disponibile una correzione, com’è accaduto nel caso delle vulnerabilità pubblicate da Nightmare Eclipse. Se ci si fermasse a questo, però, si correrebbe il rischio che le segnalazioni vengano semplicemente ignorate. Nel corso degli anni, nel settore della cybersecurity si è spesso citata la frase – ormai quasi un clichè e attribuito prevalentemente a Microsoft – “it’s not a bug, it’s a feature” (non è una falla, è una funzionalità), che molti ricercatori avrebbero incassato come risposta per sminuire l’impatto delle vulnerabilità individuate. A complicare ulteriormente le cose c’è l’aspetto economico legato al sistema di segnalazione delle falle di sicurezza. I programmi di bug bounty implementati da tutte le maggiori aziende software prevedono, infatti, ricompense economiche per i ricercatori che segnalano un problema di sicurezza. Insomma: nella gestione del processo pesa anche il rischio che qualcuno possa ignorare la segnalazione per non sborsare il compenso dovuto. Segnalazioni con la scadenza Per evitare che l’inerzia (o la malafede) dello sviluppatore possa lasciare esposti i sistemi dei suoi utenti a una vulnerabilità, è stata introdotta una consuetudine basata sul concetto di scadenza. Ogni team che lavora sulla ricerca di vulnerabilità impone un termine (solitamente 30, 60 o 90 giorni) entro il quale la società deve rilasciare l’aggiornamento che corregge la vulnerabilità. Trascorso il termine, è considerato lecito pubblicare i dettagli del bug per consentire agli utilizzatori di implementare le misure di mitigazione più opportune.  Tutto bene, quindi? Non proprio. Alcune vulnerabilità, infatti, non sono semplicissime da correggere e i casi in cui il mancato rispetto dei termini si è scontrato con una rigida intransigenza da parte di chi li ha segnalati non sono mancati. I più celebri attriti hanno interessato il team Google Project Zero, Microsoft e Apple. In almeno un paio di occasioni (i dettagli qui e qui), infatti, gli esperti di Google hanno rilasciato i dettagli su bug che non erano stati tempestivamente corretti. Quando le regole saltano Il caso di Nightmare Eclipse, che da qualche mese sta appassionando il ristretto settore dei commentatori della cybersecurity, si colloca al di fuori di quanto finora illustrato. Dopo le prime tre vulnerabilità, il fantomatico ricercatore di sicurezza ha infatti sparato a raffica una serie di ulteriori bug. Alla fine, l’elenco completo comprende: YellowKey, GreenPlasma, MiniPlasma, GreenPlanet, GreatXML, LegacyHive e ShieldBreak. In tutto, Nightmare Eclipse ha pubblicato i dettagli di ben dieci vulnerabilità che interessano diversi prodotti Microsoft. Non solo: la scelta dei tempi di pubblicazione sembra essere stata accuratamente pianificata per rendere particolarmente difficile a Microsoft distribuire con puntualità gli aggiornamenti di sicurezza ai propri clienti. Per Windows, infatti, l’azienda di Satya Nadella concentra normalmente il rilascio degli aggiornamenti di sicurezza nel secondo martedì di ogni mese, il cosiddetto Patch Tuesday. Una modalità che consente di raggruppare le correzioni e che, soprattutto per le aziende, offre il vantaggio di poter pianificare gli aggiornamenti con un certo grado di prevedibilità. Tra aprile e agosto, Nightmare Eclipse ha pubblicato le vulnerabilità con una tempistica apparentemente studiata per mettere Microsoft in difficoltà: almeno quattro sono state rese pubbliche il giorno stesso o immediatamente dopo il Patch Tuesday. In questo modo, se Microsoft avesse mantenuto la normale cadenza mensile degli aggiornamenti, i sistemi Windows sarebbero potuti rimanere esposti per quasi un mese. Un modus operandi diabolico, orientato a provocare il massimo disagio possibile e che, in alcuni casi, ha spinto Microsoft a distribuire correzioni al di fuori del normale ciclo mensile. A contribuire a massimizzare il danno reputazionale subito dall’azienda, per la verità, ha contribuito anche la sorte. La pubblicazione di BlueHammer, la prima vulnerabilità di Windows Defender, è quasi coincisa con l’improvvida pubblicazione di un articolo sul sito ufficiale di Microsoft (poi apparentemente rimosso) che promuoveva il suo antivirus dicendo esplicitamente che per la maggior parte degli utenti “non serve un antivirus di terze parti”, pubblicizzandone quindi l’affidabilità proprio mentre finiva nel mirino di Nightmare Eclipse. L’ingestibile vendetta dell’ex Il vero problema nell’intera vicenda di Nigthmare Eclipse è che Microsoft si è scoperta estremamente vulnerabile nei confronti di quella che potrebbe essere stata soltanto la vendetta di un ex collaboratore che non ha gradito il trattamento che ha ricevuto da parte dell’azienda. Una ricostruzione puntuale e verificabile di quanto sia accaduto precedentemente alle comunicazioni pubbliche è pressoché impossibile. Anche perché il protagonista della vicenda ha dimostrato più volte di essere piuttosto  “ondivago”, inviando messaggi contraddittori sui suoi canali social. Le rivendicazioni più esplicite riguardano il fatto che Microsoft avrebbe cancellato il suo account sul Microsoft Security Response Center (MSRC), il portale che permette ai ricercatori di sottoporre le segnalazioni di nuove vulnerabilità e attiva i processi di bug bounty.   Nel corso di una conversazione su Discord riportata da uno dei partecipanti, Nightmare Eclipse avrebbe affermato di essere addirittura un ex dipendente della filiale tedesca di Microsoft. Un’ipotesi che era già circolata nel settore, ma che l’azienda non ha mai confermato.  Una certa familiarità con i processi di sicurezza adottati da Microsoft e l’evidente buona conoscenza dell’antivirus di Windows (la metà delle vulnerabilità pubblicate interessavano proprio Defender) sono indizi che confermerebbero questa pista. Tanto più che, in alcuni casi, Nightmare Eclipse ha dimostrato una discreta abilità nell’aggirare gli aggiornamenti messi a punto da Microsoft per mitigare le falle di sicurezza. Insomma, il ricercatore aderisce piuttosto bene al profilo di un “insider” che sta sfruttando tutte le sue conoscenze per massimizzare il danno. Botta e risposta Le reazioni di Microsoft non contribuiscono particolarmente a fare chiarezza sulla vicenda. Il 23 maggio ha sospeso l’account di Nightmare Eclipse su GitHub rimuovendo in seguito i contenuti. In un comunicato ufficiale del 27 maggio, l’azienda ha poi usato toni piuttosto duri, criticando senza mezzi termini il rilascio “non coordinato” delle vulnerabilità, pur senza minacciare direttamente azioni legali contro il ricercatore.  Le contromisure adottate da Microsoft non hanno portato a grandi risultati. Nightmare Eclipse ha infatti prima aperto un repository autogestito per continuare la sua opera di pubblicazione e poi – a metà giugno, quando ormai la vicenda stava facendo parecchio rumore nell’ambiente – ha abbandonato il suo blog ufficiale su Blogspot, sostenendo che Google, proprietaria della piattaforma, avrebbe censurato ingiustamente i suoi contenuti e creandone uno nuovo sulla sua piattaforma personale. Al di là delle speculazioni su come si sia arrivati a questa sorta di “duello rusticano” e a quali siano i reali retroscena di tutta la vicenda Nightmare Eclipse, quello che emerge è il quadro terribilmente fragile di un sistema pieno di contraddizioni. Il comportamento dell’ormai famigerato ricercatore di sicurezza, infatti, non viola direttamente nessuna legge.  Il concetto di responsible disclosure è basato su consuetudini e le normative presenti negli Stati Uniti e in Europa, pur avendo progressivamente introdotto regole e procedure per la divulgazione coordinata delle vulnerabilità, non disciplinano in maniera puntuale tutti gli aspetti del rapporto tra ricercatori e aziende. Una parte importante del sistema continua quindi a fare riferimento alle “buone pratiche” sviluppatesi negli anni sulla base dei principi dell’hacking etico e a una visione un po’ romantica di una community che collabora per un bene comune superiore.  Insomma: tutto il sistema si basa sostanzialmente su un rapporto basato su fiducia, etica e correttezza di tutte le parti coinvolte. In un settore in cui si intrecciano giganteschi interessi economici, crescenti tensioni geopolitiche e la variabile impazzita rappresentata dall’impatto dell’intelligenza artificiale, gli scricchiolii sono sempre più evidenti. P.S: Nel corso della stesura di questo articolo, sul repository di Nightmare Eclipse sono state rilasciate nuove vulnerabilità zero-day. L’elenco delle “vittime” comprende anche Nvidia, Kaspersky, Crowdstrike e Avast. La sequenza delle vulnerabilità di Nightmare Eclipse ad oggi #DataExploitBersaglioImpatto13 aprileBlueHammerMicrosoft DefenderOttenimento di privilegi di amministratore sul sistema212 aprileRedSunMicrosoft DefenderOttenimento di privilegi di amministratore sul sistema315 aprileUnDefendMicrosoft DefenderDisabilitazione/blocco degli aggiornamenti Defender412 maggioYellowKeyBitLocker / WinREAccesso a dati cifrati con Bitlocker512 mag.GreenPlasmaCTFMON / CTFOttenimento di privilegi di amministratore sul sistema615 mag.MiniPlasmaCloud Files Mini Filter DriverOttenimento di privilegi di amministratore sul sistema79 giugnoRoguePlanetMicrosoft DefenderOttenimento di privilegi di amministratore sul sistema810 giugnoGreatXMLBitLocker / WinREAccesso a dati cifrati con Bitlocker914 luglioLegacyHiveWindows User Profile ServiceLPE / manipolazione degli hive di altri utenti1011 agostoShieldBreakMicrosoft DefenderBypass della patch di RoguePlanet. Ottenimento di privilegi di amministratore sul sistema1126 agostoHardBreacherKaspersky Endpoint SecurityOttenimento di privilegi di amministratore sul sistema1230 agostoGreenSectionNVIDIA Vulkan driverCrash1330 agostoPrettyPragueAVAST AntivirusOttenimento di privilegi di amministratore sul sistema143 settembreFalconFlankCrowdstrike Falcon EDROttenimento di privilegi di amministratore sul sistema159 settembreShieldCrashMicrosoft DefenderBypass della patch di ShieldBreak. Ottenimento di privilegi di amministratore sul sistema L'articolo Il fragile patto di fiducia della cybersecurity proviene da Guerre di Rete.

La polizia potrà usare i dati biometrici per identificare chi va in piazza anche nei giorni prima di una manifestazione? Che sia proibito o meno, al Governo importa poco; essi rispetteranno le norme comunitarie, ma nel frattempo stanno spianando la strada a nuove norme repressive. Il casus belli è rappresentato dalle manifestazioni a Bologna e in Val di Susa con incidenti e numerosi feriti. Da tempo Fratelli d’Italia mira a istituire il reato di terrorismo di piazza per dare vita a una lunga sequela di nuove pene, accusando i manifestanti di reati associativi. Il Governo ha fretta di chiudere due capitoli: il primo riguarda l’ordine pubblico, ossessione delle destre al pari dell’immigrazione. Si tratta di inserire tra le priorità dei cittadini la sicurezza e non la salvaguardia della salute e del potere di acquisto. In un colpo solo si allontana l’attenzione mediatica dai problemi reali del Paese, alimentando un clima di insicurezza percepita, che poi sarà utile anche per giustificare l’aumento delle spese militari, i processi di militarizzazione dei territori, la stretta repressiva e l’economia di guerra. Il secondo obiettivo è alzare una cortina di fumo che impedisca di prendere atto del reale stato dell’economia italiana, facendo i conti con le decisioni assunte, come quelle di finanziare con i soldi pubblici gli aumenti contrattuali attraverso la riduzione delle tasse sul lavoro. Si tratta di una decisione infelice che favorisce solo le imprese e al contempo indebolisce il welfare, impoverisce sanità e istruzione. Il riconoscimento facciale presto potrà essere introdotto all’ingresso delle scuole per trasformarle da luoghi della conoscenza a palestre securitarie. Il Governo, insomma, ha bisogno di alimentare paura e allarmismo, di andare in deroga alle norme vigenti per far passare in fretta e furia delle norme care alla maggioranza, ad esempio, l’uso dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità penale e civile. E sempre che non intervenga la UE, il Governo persegue nel frattempo il suo obiettivo ossia consentire il riconoscimento facciale in tempo reale, il trionfo della società della sorveglianza sulla quale tanta ironia è stata spesa, bollando come complottisti chi criticava i sistemi di controllo. Il Governo vuol permettere alla polizia l’uso dei dati biometrici raccolti con l’AI e integrati con i sistemi di videosorveglianza presenti nelle città: basterà una semplice comunicazione, neanche scritta, al Pubblico ministero e, senza autorizzazione del Giudice, potranno ricorrere alla AI per i controlli facciali. Tuttavia, non ci si accontenterà dei controlli in tempo reale: l’uso di questi strumenti deve essere prolungato e preventivo. Ad esempio, si potrà registrare e schedare chiunque sia passato da una piazza nei giorni precedenti ad una manifestazione conclusasi con incidenti. Tutto questo permette delle immani schedature di massa, ledendo le prerogative democratiche fino ad oggi esistenti. L’uso della AI è un argomento di estrema rilevanza avendo impatti sul lavoro e sulla ricerca. In Italia l’approccio alla AI, sul modello israeliano, è funzionale a logiche di ordine pubblico e a costruire un modello sociale dispotico e securitario, un sistema di controllo sociale che militarizza il corpo sociale. Non sfugga che l’uso della AI potrà essere usato per reati di piazza, per oltraggio e resistenza a pubblico ufficiale, per manifestazioni senza preavviso e non autorizzate, per reati ormai considerati di assoluta gravità, addirittura più pericolosi del terrorismo, della mafia e delle azioni portate avanti dalla criminalità organizzata. Ogni intervento legislativo del Governo inizia e finisce con norme securitarie e repressive, la costruzione del nemico rappresentato dai movimenti sociali porta a disegnare un quadro di interventi improntati solo alla repressione (clicca qui). Il riconoscimento facciale basato sull’intelligenza ha permesso ad Israele di realizzare enormi schedature dei civili palestinesi e questo strumento lo ritroviamo particolarmente diffuso, ad esempio, nei controlli agli aeroporti fino a tutti i sistemi della videosorveglianza oggi utilizzati in ambito civile. Il dibattito pubblico sulla AI non si interroga sulla pericolosità sociale e sulla democrazia dei sistemi di sorveglianza con uso della AI e dei dati biometrici. Per chi poi non conoscesse l’argomento sia sufficiente ricordare che una telecamera cattura dei dati e li elabora, tirando fuori una sorta di impronta digitale del volto. La AI è molto più precisa dei primi software. La discussione, dunque, non potrà limitarsi alle obiezioni sulla privacy e sui tempi necessari per il trattenimento dei dati; l’immane schedatura a tutela dell’ordine pubblico rappresenta un salto di qualità nella costruzione di una nuova società dispotica (clicca qui per un saggio di Renata Puleo su Agorasofia). Il regolamento europeo sulla AI permette il riconoscimento facciale a posteriori e solo per ricerche mirate su soggetti già identificati e oggetto di indagini, nulla a che vedere con raccolte di dati preventive e generalizzate. Nel frattempo, il Garante ha invocato il divieto esplicito di utilizzo di banche dati biometriche costituite tramite raccolta di immagini dal web. Ecco che assistiamo, increduli, ad un autentico corto circuito tra la tutela dei diritti fondamentali e le esigenze di ordine pubblico. In Europa esiste maggiore consapevolezza sui rischi della Intelligenza artificiale, specie se utilizzata per l’ordine pubblico, invece in Italia la tentazione di cedere alla AI per una repressione preventiva rappresenta una autentica suggestione e per questo non sorgono dubbi di sorta sull’inaffidabilità tecnica degli algoritmi e sugli utilizzi impropri del sistema di sorveglianza. È bene ricordare che i missili di ultima generazione si avvalgono della AI per individuare e colpire gli obiettivi e lo fanno, tuttavia, con un elevato numero di vittime innocenti, di civili, il cui unico torto è quello di trovarsi nelle vicinanze di un obiettivo militare da colpire e neutralizzare. Federico Giusti, Osservatorio contro la militarizzazione delle scuole e delle università Osservatorio contro la militarizzazione delle scuole e delle università

di Samuele Lucia La nuova frontiera della repressione è invisibile: spyware, intercettazioni digitali e sorveglianza algoritmica permettono di controllare il dissenso prima ancora che si manifesti, ridefinendo il rapporto tra …