In questo articolo Indice dei contenuti 2 sezioni
Il cyber attacco agli aeroporti britannici ha rimesso al centro una questione che nel settore aeronautico circola da tempo, ovvero quanto valgano davvero i dati dei passeggeri in transito. Nessun conto corrente svuotato, nessuna carta di credito finita in circolazione: dalle prime verifiche non risultano esposti dati bancari o di pagamento. Eppure il problema resta, ed è di natura diversa da quella a cui si pensa di solito quando si parla di violazioni informatiche.
Il punto è che la sicurezza dei voli non è stata compromessa. Nemmeno le operazioni aeroportuali hanno subito conseguenze dirette. Detto così sembrerebbe quasi una buona notizia, e in parte lo è, ma è proprio questo dettaglio a rendere la vicenda interessante per chi si occupa di sicurezza informatica. Perché un attacco che non blocca nulla e non ruba soldi non è necessariamente un attacco fallito. Può essere semplicemente un attacco con un obiettivo diverso.
Perché i dati dei passeggeri in transito valgono più di quanto sembri
Un elenco di persone che passano da uno scalo, con le rispettive informazioni di viaggio, non è un bottino da rivendere in fretta su qualche forum clandestino. È qualcosa di più lento e più prezioso. I dati dei passeggeri raccontano spostamenti, abitudini, frequenze, connessioni tra individui e luoghi. Messi insieme, incrociati con altre fonti, diventano materiale grezzo per costruire profili estremamente accurati.
Chi lavora nell’intelligence lo sa da sempre. Sapere chi si è mosso, quando e verso dove è spesso più utile che conoscere il numero di una carta di credito. Un dirigente d’azienda che vola con una certa regolarità verso una capitale straniera, un funzionario che compare in una lista di transito insieme ad altri nomi ricorrenti, un tecnico che si sposta poco prima di una trattativa industriale: sono informazioni che, prese singolarmente, non dicono granché. Aggregate, invece, disegnano una mappa. Ed è per questo che la violazione dei dati negli aeroporti britannici non va archiviata come episodio minore solo perché nessuno ha perso denaro. Il danno, se c’è, si manifesta più avanti nel tempo e in forme che raramente vengono ricondotte all’attacco originario.
I sistemi periferici sono la vera porta d’ingresso
L’altro insegnamento riguarda l’architettura stessa delle infrastrutture aeroportuali. Quando si immagina un attacco a uno scalo, la mente corre subito alle torri di controllo, ai sistemi di gestione del traffico aereo, ai radar. Sono i bersagli più drammatici e, non a caso, anche i più sorvegliati. Blindati, isolati, monitorati con attenzione. I sistemi periferici, invece, no. Piattaforme di check in, gestionali per il bagaglio, servizi affidati a fornitori esterni, applicativi per la biglietteria e per l’assistenza a terra. Componenti che non hanno alcun impatto sulla sicurezza del volo e che proprio per questo vengono trattati come infrastruttura di serie B, con budget più ridotti e controlli meno stringenti. Solo che dentro ci passa una quantità enorme di informazioni personali.
È la classica asimmetria che gli attaccanti sanno sfruttare bene. Non serve forzare la porta blindata quando la finestra sul retro è accostata. E in un ecosistema come quello aeroportuale, dove decine di soggetti diversi si scambiano dati in continuazione, le finestre accostate sono parecchie. Il vero rischio cyber emerso da questa vicenda, quindi, non riguarda tanto la continuità operativa quanto la capacità di proteggere ciò che circola ai margini del sistema. La catena di fornitura, gli applicativi accessori, i servizi delegati a terzi. Elementi che in fase di risk assessment finiscono spesso in fondo alla lista delle priorità, mentre andrebbero valutati per quello che realmente custodiscono.
