Umberto Rapetto, Nòva24 7/4/2011, 7 aprile 2011
L’ENIGMA DEI CODICI - È
stato profanato il tempio. Rsa, una sorta di santuario della sicurezza di computer e reti, ha comunicato ai suoi utenti che il proprio network è stato violato. Per di più in questa azione potrebbero anche esser state rubate informazioni capaci di compromettere il livello di guardia offerto dal "token" di autenticazione SecurId, la tradizionale chiavetta generatrice di codici utilizzata per i conti bancari online.
Si è trattato di un attacco rientrante nella tipologia Advanced Persistent Threat (Apt), ovvero una di quelle minacce tecnologicamente avanzate e caratterizzate da una massiccia persistenza. In poche parole una vera e propria aggressione cybernetica che – secondo alcuni esperti – potrebbe trovare origine in Cina. Un assalto speciale, tipico delle operazioni di spionaggio, classico dei blitz a caccia di codici riservati di agenzie governative o multinazionali di spicco: una metodologia che, di norma, fa pensare a complicità interne o che in ogni caso lascia presumere una profonda conoscenza dell’organizzazione che finisce nel mirino. Quando si verificano episodi di questa natura, anche se si vuole escludere l’ipotesi di un "insider" che fa da basista o che comunque tradisce la realtà di appartenenza, viene passata ai raggi X l’intera struttura che è stata vittima dell’incursione: occorre capire chi, come e quando è stato capace di dribblare barriere di protezione fino a quel momento ritenute invalicabili. Ma le procedure di emergenza non si limitano alle fin troppo ovvie finalità investigative: è necessario procedere con rapidità a valutare gli effetti indiretti di una simile disavventura. E così è stato.
Arthur W. Coviello jr., l’executive chairman di Rsa, non ha fatto misteri dell’accaduto e con grande responsabilità ha ammesso l’incidente in una lettera aperta indirizzata alla vastissima platea degli utilizzatori della soluzione SecurId. Non ha minimizzato i rischi e ha subito messo in chiaro che la reazione dell’azienda ha posto come priorità assoluta il ripristino delle condizioni di massima sicurezza per chi ha scelto di servirsi delle soluzioni del gruppo Emc. Nello scusarsi per ogni inconveniente che possa derivare da questo infausto episodio, Coviello ha invitato a prendere immediata visione della «SecurCare Online Note», una serie di consigli pratici suggeriti per ridurre i possibili impatti negativi.
La tecnologia Rsa SecurId continua a essere una efficace soluzione per le procedure di autenticazione: il malloppo di dati "sgraffignati" non è di per sé sufficiente a garantire l’esecuzione di un attacco in danno di chi si serve del prodotto in questione. Il malintenzionato, infatti, deve ottenere anche una serie di informazioni addizionali che sono nella stretta disponibilità di chi adopera i dispositivi SecurId. Ecco perché è fondamentale l’adozione di tutte le cautele che prontamente sono state redatte per fronteggiare la situazione di pericolo.
Il giallo del come sia potuto succedere sarebbe stato chiarito da un ricercatore dell’azienda, il capo delle "New Technologies - Identity Protection" Uri Rivner, che sulla pagina di "Speaking of Security", il blog ufficiale di Rsa, ha fornito la ricostruzione dell’evento. L’aggressore nel giro di due giorni ha inviato due differenti mail di phishing a due piccoli gruppi di impiegati di Rsa non specializzati. Il messaggio aveva per oggetto "2011 Recruitment Plan" e al suo interno era allegato un omonimo file di Excel confenzionato perchè alla sua apertura innescasse una procedura di controllo remoto del pc che ha poi permesso la scorribanda.
Non è dato sapere quali informazioni siano finite in mani improprie e – in assenza di una specificazione in tal senso – non c’è modo di conoscere quale sia la reale portata dei rischi cui va incontro (o di cui sta già inconsapevolmente pagando lo scotto) chi accede a risorse riservate impiegando dispositivi SecurId. L’utente che si fa scippare la manciata di dati mancanti (relativi al numero seriale del token, ad altri codici numerici affidatigli al momento della consegna del dispositivo, alla sintassi di account e parole-chiave in uso presso la propria azienda o ente) è esposto alla micidiale insidia del furto di identità: qualcuno potrebbe agire in nome e per conto del malcapitato persino in contesti fino a oggi ritenuti impenetrabili.