Altro che misteriosi hacker russi nascosti in qualche bunker di Mosca. A mandare temporaneamente fuori uso i siti di ministeri, aeroporti e banche italiane contribuiscono, secondo gli investigatori, anche ragazzi cresciuti nel nostro Paese, spesso giovanissimi e senza particolari competenze informatiche. Per partecipare agli attacchi non devono violare sofisticati sistemi di sicurezza: entrano in una chat Telegram, scaricano un programma e mettono il proprio computer a disposizione di un’organizzazione che sceglie gli obiettivi.
È il sistema utilizzato da NoName057(16), collettivo filorusso che da anni prende di mira infrastrutture e istituzioni occidentali. A ricostruire il ruolo dei suoi presunti fiancheggiatori italiani è un’indagine della Procura di Roma e della Polizia postale, arrivata alla fase conclusiva e sviluppata nell’ambito di una vasta cooperazione internazionale.
Ragazzini italiani arruolati su Telegram: come funziona la rete di NoName
Il profilo dei presunti partecipanti italiani ha sorpreso gli investigatori. Non emergono soltanto esperti di informatica, ma giovani con competenze comuni, alcuni figli di immigrati cresciuti in Italia, che frequentano ambienti digitali filorussi. Il reclutamento avviene soprattutto attraverso Telegram, dove gli utenti entrano in contatto con il collettivo e ricevono indicazioni sulle campagne informatiche.
Le motivazioni cambiano da persona a persona. Alcuni condividono le posizioni politiche del gruppo, altri cercano un senso di appartenenza, altri ancora partecipano per divertimento o per sentirsi protagonisti di un’operazione più grande. NoName prevede anche ricompense in criptovalute, talvolta di poche decine di euro. Gli investigatori, però, non hanno individuato pagamenti di questo tipo destinati agli italiani coinvolti nell’inchiesta.
DDosia, il programma che trasforma un computer in uno strumento di attacco
Il meccanismo utilizzato dal collettivo si chiama DDosia. Si tratta di una piattaforma che permette di coordinare attacchi informatici sfruttando la capacità di elaborazione e la connessione dei dispositivi messi a disposizione dagli aderenti.
Gli attacchi appartengono alla categoria DDoS, acronimo di Distributed Denial of Service. Il loro scopo non è necessariamente sottrarre informazioni o entrare nei database riservati, ma sovraccaricare i servizi online con un’enorme quantità di richieste simultanee.
Quando il traffico supera la capacità di risposta dei sistemi, gli utenti legittimi possono incontrare difficoltà ad accedere ai siti, che in alcuni casi diventano irraggiungibili per ore.
La forza dell’operazione dipende quindi dal numero dei dispositivi coinvolti. Anche un singolo partecipante privo di competenze avanzate può contribuire a un attacco collettivo.
Da Malpensa alla Consob: tutti gli obiettivi nel mirino
L’elenco ricostruito dagli investigatori comprende strutture di primaria importanza per il funzionamento del Paese. Tra i bersagli figurano gli aeroporti di Malpensa e Linate, il ministero degli Esteri, Intesa Sanpaolo, Monte dei Paschi di Siena e la Consob.
Nel mirino sono finiti anche i porti di Taranto e Trieste, oltre a siti riconducibili ai Carabinieri, alla Marina e all’Aeronautica. Gli attacchi hanno interessato inoltre il settore del trasporto pubblico locale, con obiettivi come l’Atac di Roma, l’Amat di Palermo e l’Amt di Genova.
La presenza di queste organizzazioni nell’elenco non significa che gli hacker abbiano compromesso tutti i loro sistemi interni o interrotto materialmente i servizi. L’obiettivo delle campagne DDoS è soprattutto rendere indisponibili le piattaforme online, provocando disagi e ottenendo visibilità.
Quindici Paesi sulle tracce degli hacker: decisivi i numeri di telefono italiani
Per identificare i presunti fiancheggiatori è servita una collaborazione tra quindici Paesi, con il coordinamento di Eurojust e il contributo di Europol, Interpol e FBI.
L’inchiesta italiana coinvolge la Procura di Roma e la Polizia postale, con il coordinamento della Procura nazionale antiterrorismo guidata da Giovanni Melillo e il lavoro del sostituto Eugenio Albamonte. Un passaggio importante è arrivato dall’analisi di un database della rete localizzato in Russia, condiviso dagli investigatori svizzeri.
Durante l’operazione internazionale Eastwood, gli accertamenti della polizia spagnola hanno consentito di associare nove account Telegram ad altrettanti numeri telefonici italiani. Dalla Francia sono arrivati elementi relativi ad altri nove account, mentre gli Stati Uniti hanno fornito informazioni su ulteriori tre soggetti.
Gli investigatori hanno incrociato identità digitali, indirizzi IP e utenze telefoniche per risalire alle persone che avrebbero partecipato alle campagne informatiche.
Gli avvisi di conclusione delle indagini e il rischio processo
L’attività investigativa ha già prodotto conseguenze giudiziarie. Alcuni presunti partecipanti italiani hanno ricevuto gli avvisi di conclusione delle indagini e potrebbero affrontare un processo. Per altre posizioni, invece, gli inquirenti hanno disposto l’archiviazione.
L’inchiesta ha anche attirato l’attenzione della propaganda russa sul procuratore capo di Roma Franco Lo Voi e sul dirigente della Polizia postale Ivano Gabrielli.
Il quadro emerso racconta un fenomeno nel quale la minaccia informatica non dipende esclusivamente da professionisti altamente specializzati. Le organizzazioni possono sfruttare reti di sostenitori comuni, distribuiti in Paesi diversi, per moltiplicare gli attacchi contro obiettivi istituzionali ed economici.
E per alcuni giovani italiani che pensavano di partecipare a una battaglia digitale dalla propria cameretta, l’ultima comunicazione potrebbe arrivare non da una chat Telegram, ma dalla magistratura.
