In questo articolo Indice dei contenuti 2 sezioni
Un attacco DDoS di grandi dimensioni sta mettendo in difficoltà da lunedì l’infrastruttura digitale condivisa del governo norvegese, con ricadute dirette su servizi usati ogni giorno da cittadini, imprese e pubblica amministrazione. L’offensiva è cominciata alle 03.38 di lunedì e ha preso di mira i sistemi che sostengono le piattaforme gestite dall’Agenzia norvegese per la digitalizzazione, il Digitaliseringsdirektoratet, meglio noto come Digdir, e dal suo fornitore operativo Vivicta.
Parliamo di un pezzo di infrastruttura tutt’altro che marginale. Digdir gestisce le fondamenta digitali dello Stato in Norvegia, quindi i login ai servizi pubblici, le identità elettroniche, le firme digitali, la posta digitale sicura, i moduli governativi, l’accesso ai registri pubblici e lo scambio di dati tra le varie agenzie. Quando quel livello si inceppa, l’effetto domino arriva in fretta un po’ ovunque.
Servizi fuori uso a intermittenza, ID-porten ed eSignering ancora zoppicanti
Nella comunicazione diffusa dall’organizzazione si legge che diversi servizi sono risultati completamente irraggiungibili per brevi periodi. Molti sistemi colpiti sono poi stati stabilizzati, ma alcuni restano solo parzialmente accessibili, tra questi ID-porten ed eSignering, cioè proprio i due mattoni che permettono di autenticarsi e di firmare documenti in digitale. Per gli utenti la traduzione pratica è fatta di connessioni che falliscono, risposte dei server lente e tempi di accesso lunghissimi rispetto al normale. Nulla di misterioso, insomma, ma abbastanza fastidioso da bloccare una pratica o rimandare un adempimento. Chi ha bisogno di sapere in tempo reale come stanno andando le cose può controllare la pagina sullo stato operativo dei servizi e quella dedicata al rapporto sull’incidente, aggiornata dalla Direzione per la digitalizzazione.
Il direttore di Digdir, Frode Danielsen, ha spiegato che le verifiche condotte finora non hanno mostrato alcun segnale di una violazione di sicurezza dei sistemi dell’organizzazione né di una compromissione di dati personali. Un attacco DDoS, del resto, punta a saturare e mettere in ginocchio i servizi, non a rubare informazioni. Danielsen ha anche precisato un dettaglio che pesa parecchio, ovvero che si tratta del terzo episodio di questo tipo contro Digdir in tempi recenti, dopo quello di giugno e un altro del 3 agosto.
Notifiche alle autorità e nessuna attribuzione ufficiale
Sono state informate sia l’Autorità nazionale per la sicurezza norvegese, la NSM, sia l’autorità per la protezione dei dati, Datatilsynet. Al momento non esiste alcuna attribuzione ufficiale dell’attacco, anche se la stampa norvegese ha ipotizzato un possibile coinvolgimento russo. Ipotesi, appunto, senza conferme.
Intanto il contraccolpo si è esteso a servizi che non erano bersagli diretti ma che poggiano su Digdir per funzionare. Altinn, la piattaforma digitale centrale attraverso cui cittadini, aziende e agenzie governative comunicano tra loro, ha pubblicato un avviso su problemi di accesso e disservizi operativi, rimandando alla pagina di stato di Digdir. Stessa storia per Skatteetaten, l’agenzia delle entrate norvegese, che mostra sul proprio sito una segnalazione analoga sulle difficoltà di login e invita gli utenti a riprovare più tardi.
È un meccanismo che racconta bene quanto le architetture digitali pubbliche siano interconnesse, tanto che colpire un singolo snodo di autenticazione basta per far vacillare a catena portali fiscali e servizi amministrativi che, tecnicamente, non hanno subito nessun attacco. La ripetizione degli episodi contro Digdir nel giro di poche settimane, poi, suggerisce che non si tratti di un incidente isolato ma di una pressione continuativa su un obiettivo evidentemente considerato sensibile. Al netto delle stabilizzazioni già ottenute, i tecnici continuano a lavorare per riportare alla piena operatività i servizi rimasti parzialmente irraggiungibili, mentre le pagine di monitoraggio restano il punto di riferimento per verificare quali piattaforme funzionano e quali no.
