“Nessun sito è inaccessibile basta trovare il punto debole”

Raoul Chiesa, hacker pentito: “Con un pc e una connessione si entra ovunque”

«Non esistono sistemi inaccessibili. Un hacker entra ovunque, Casa Bianca compresa. Nessuno può garantire sicurezza totale contro gli attacchi informatici, si può solo abbassare il livello di rischio». Parola di Raoul “Nobody” Chiesa, uno dei primi hacker italiani, ora consulente per la sicurezza informatica e advisor di Unicri, agenzia Onu con base a Torino che si occupa di criminalità e giustizia. Raoul ha iniziato a 13 anni, nel 1986, per nove anni ha vissuto da pirata informatico fino a quando non è stato arrestato per la violazione, tra le altre cose, del sito della Banca d’Italia nel 1995. Da allora è passato dalla parte di “buoni” e si definisce un ethical hacker.
Si possono violare le Reti più protette del mondo?
«Si può entrare ovunque. Anzi, oggi è molto più facile rispetto agli anni Ottanta. Lo definisco il prêt-à-porter dell’hacking: vai online e trovi tutto».
Cosa serve per iniziare?
«Bastano un computer e una connessione a Internet. In Rete trovi ciò di cui hai bisogno. E sfruttando i social network puoi raccogliere informazioni sull’obiettivo, azienda o persona che sia, e utilizzarle per individuare una password o per spacciarti per qualcuno di cui si fida e mandargli un trojan, un troiano, o un malware, chiamiamoli virus per semplicità. Se il bersaglio abbocca, parte il contagio e l’hacker conquista un punto di accesso interno al sistema. Il bersaglio tipo è un dipendente tonto o poco accorto».
Come funziona?
«L’hacker individua una persona interna a un’azienda, o a un’istituzione governativa, raccoglie informazioni su Facebook o Twitter. Poi gli invia un file con un allegato o un link spacciandosi per collega o amico. Se il dipendente apre l’allegato, il gioco è fatto. Da qualche anno gli attacchi-tipo sono così, utilizzano la vulnerabilità delle persone. Ce ne fu uno clamoroso alla Rsa, società specializzata in chiavi usb: la mail con il virus inviata ai dipendenti si chiamava “stipendi”. E qualcuno la aprì».
Basta così poco?
«Con un accesso non autorizzato al sistema iniziano il contagio e il controllo da remoto del pc “vittima”. A quel punto l’hacker ha un piede in azienda e dall’esterno può operare a suo piacimento. Le difese interne sono solitamente più blande di quelle esterne».
Come si fa a entrare in possesso di un virus?
«I software più semplici si trovano gratis su Internet. Chi ha soldi può acquistare sul mercato nero uno “zero day” (“giorno zero”, il momento in cui viene scoperta una falla e inizia l’attacco), una sorta di passepartout per mettere a segno l’attacco».
Quanto costa uno “zero day”?
«Tra 5mila e 200mila dollari, dipende. Ce ne sono di pubblici, cioè in circolazione da molto, o di privati, i cosiddetti new and fresh, nuovi, i più temibili. Ci sono anche i broker di “zero day”. I cyber-criminali li comprano per attaccare. I governi, i principali acquirenti, come antidoto per creare un vaccino al virus. Oppure come arma elettronica per attaccare altri Paesi, quello che pare stia accadendo tra Cina e America».
Perché si diventa hacker?
«Negli anni Ottanta per sfida e curiosità, era un bel gioco, nei Novanta per gloria. Io ho iniziato a 13 anni, adesso si comincia a 9. Oggi ci sono il cyber-criminale che lo fa per frode e soldi, l’hacker etico che innalza il livello di sicurezza del sistema e l’hactivist, l’hacker attivista con fini ideologici, politici o religiosi. Il cyber-crime ha un fatturato annuo intorno ai 12 miliardi di dollari, un business che si autoalimenta».
Cosa si può fare per difendersi?
«Non aprire mai allegati o link, anche se sembra di conoscere chi li invia. Il buon senso è la prima difesa».