In questo articolo Indice dei contenuti 2 sezioni
Con un memorandum presidenziale firmato il 12 agosto, gli Stati Uniti hanno dato il via libera alle operazioni di hack back, ovvero contrattacchi informatici condotti da aziende private contro organizzazioni criminali straniere. Il documento porta la firma di Donald Trump e istituisce il primo programma americano che consente a società selezionate di svolgere operazioni cyber offensive, comprese quelle capaci di distruggere dati e sistemi. Non si tratta di semplice difesa, insomma, ma di azioni che vanno a colpire direttamente le infrastrutture usate dai criminali informatici.
Le regole di ingaggio ci sono, e non sono leggere. Ogni impresa che vuole partecipare deve depositare in un conto vincolato almeno 900.000 euro, somma che viene persa in caso di violazione delle norme del programma. Inoltre nessuna operazione può partire senza un’autorizzazione scritta da parte di funzionari del Dipartimento di Giustizia e del Dipartimento per la Sicurezza Interna. Un dettaglio curioso è che pochi mesi prima l’amministrazione aveva escluso pubblicamente proprio questa strada.
Hack back: no ai pirati al programma di operazioni cyber offensive
A marzo, Thomas Lind, all’epoca consigliere senior dell’Office of the National Cyber Director, aveva detto durante una conferenza che non esisteva alcun piano per autorizzare azioni offensive private. La frase usata era stata piuttosto diretta: non c’era interesse a combattere i pirati con altri pirati. Nella stessa settimana il National Cyber Director Sean Cairncross aveva ribadito che le campagne offensive gestite dalle aziende non erano quello che l’amministrazione aveva in mente quando aveva chiesto al settore privato una mano in più.
Il memorandum autorizza due tipologie di attività. Le prime sono le Cyber Surveillance Operations, cioè accessi non autorizzati a sistemi stranieri per raccogliere informazioni restando invisibili. Le seconde sono le Cyber Effects Operations, che comprendono la disattivazione o la distruzione dei sistemi e dei dati contenuti al loro interno. A coordinare il tutto sarà un National Coordination Center, mentre le linee guida operative devono arrivare entro 60 giorni. I criteri di ammissione lasceranno spazio sia ai grandi gruppi sia a realtà più piccole ma specializzate in compiti specifici. Se un’azienda colpisce per errore una persona statunitense o un sistema che si trova sul territorio americano, deve fermare tutto e avvisare immediatamente il governo.
Chi può finire nel mirino del programma di hack back
La definizione di bersaglio legittimo è ampia. Un gruppo straniero rientra tra gli obiettivi validi a meno che non esista un’intelligence chiara che lo colleghi istituzionalmente a un governo estero o dimostri che opera interamente sotto la sua direzione. Tradotto: le bande ransomware che agiscono con la tolleranza di uno Stato ma senza un controllo formale, descrizione che calza su buona parte dell’ecosistema criminale con base in Russia, restano perfettamente dentro il perimetro. I responsabili dei due dipartimenti non possono invece approvare operazioni che rischiano di causare perdite di vite umane o che equivarrebbero a un attacco armato secondo il diritto internazionale.
Il testo però non vieta esplicitamente quel tipo di azioni, e l’autorità per autorizzarle finisce in un allegato classificato. Le aziende coinvolte potranno anche stringere accordi commerciali con altre società private e con agenzie statali e locali, per ricevere dati sulle minacce e proporre operazioni basate su quelle informazioni.
Jake Williams, vicepresidente ricerca e sviluppo della società di cybersicurezza Hunter Strategy, ha osservato che gli americani coinvolti in queste attività potrebbero essere facilmente classificati come combattenti non in uniforme quando si trovano all’estero. Il provvedimento arriva dopo i sospetti attacchi iraniani ai fornitori idrici di 45 comuni statunitensi e dopo un’allerta della CISA su hacker iraniani che prendevano di mira i controllori logici programmabili di aziende dell’acqua e dell’energia, anche se gli hacker guidati direttamente da uno Stato non rientrano nella definizione di bersaglio prevista dal programma. Il Congresso aveva già stanziato circa 900 milioni di euro per le operazioni cyber offensive nella legge di spesa dello scorso anno, e ad agosto Google aveva fatto sapere di prepararsi a partecipare ad azioni di disturbo contro i cybercriminali.
