Non era un gesto dimostrativo. Ma un attacco terroristico finalizzato a rubare dati sensibili all’Italia. L’attacco cibernetico subito l’11 maggio scorso, e continuato poi per giorni, da decine di siti istituzionali del nostro Paese era molto più importante di quello che in un primo momento si era immaginato. La cyber gang russa Killnet – insieme probabilmente con altri gruppi organizzati – ha provato a entrare nelle reti dei nostri ministeri per rubare dati. E non soltanto, come in un primo momento si era immaginato, per renderli inaccessibili e bloccarne l’operatività. In alcuni casi il tentativo di intrusione è sicuramente fallito: i server della Polizia, per esempio, hanno retto e respinto l’aggressione. In altri casi, invece, sono ancora in corso le verifiche: non è ancora chiaro, per esempio, se l’assalto sferrato al Ministero degli Interni sia andato in porto. Lo stanno valutando in queste ore i nostri migliori investigatori in un’indagine, in cui si ipotizza appunto l’attacco di matrice terroristico, condotta dalla procura di Roma e coordinata da due dei pm italiani più esperti in questo tipo di reati: Eugenio Albamonte, che da anni si occupa di cyber, e Gianfederica Dito, che ha in piedi l’inchiesta sull’attacco alla regione Lazio.

Il precedente ha fatto dunque alzare, ulteriormente, l’allarme nel pomeriggio di ieri quando è arrivato il messaggio di un nuovo assalto per oggi: “Stiamo per sferrare un colpo irreparabile all’Italia” hanno scritto in uno dei soliti messaggi su Telegram quelli di Killnet. L’Agenzia per la Cybersicurezza che ha immediatamente diramato un alert, chiedendo di innalzare il livello di sicurezza, e raccomandando pubblico e privato di “implementare con effetto immediato” le “azioni per mitigare le vulnerabilità” e “mantenere un attento controllo sulle infrastrutture”.

In attesa di capire cosa accadrà oggi, si sta provando a mettere in ordine il puzzle di quanto accaduto in queste tre settimane. Come sempre accade in casi di questo genere, è complesso effettuare una ricostruzione precisa. Ma qualcosa da cui partire c’è. Innanzitutto la matrice: il collettivo Killnet è sulla carta autonomo. Ma, soprattutto da quando il conflitto in Ucraina è cominciato, si è mosso parallelamente con la propaganda di Putin per colpire chiunque esprimesse sostegno a favore dell’Ucraina. Dunque: matrice politica. Fino a questo momento le modalità di intervento di Killnet erano state quelle del Ddos (Distributed denial of service): mandare, cioè, in tilt i siti scaricando loro contro un’improvvisa mole di “traffico stazzatura”. In Italia è accaduto anche altro: alcuni server sono hanno subito un attacco diverso e raffinato. Ecco perché i nostri investigatori si sono convinti che l’attacco di Ddos fosse in realtà una maniera per distogliere l’attenzione dai reali obiettivi. Non a caso l’assalto è partito l’11 ma, come in guerra, gli attacchi sono proseguiti fino al 20, ogni volta con un obiettivo diverso. E che quelli più delicati sono arrivati nei giorni successivi quando tutti i nostri sistema di difesa erano concentrati alla conta dei danni. Almeno due assalti sono stati poi diversi dagli altri, perché in grado di esfiltrare dati: quello alla Polizia dove però i sistemi di difesa, nonostante un assalto durato più di 30 ore, hanno retto. E dunque certamente gli hacker russi non sono riusciti a sfondare. E quello al Viminale dove invece non è chiaro ancora cosa sia accaduto. Un terzo attacco, quello alle Ferrovie dello Stato, avvenuto nei giorni immediatamente precedenti, era sembrato tra quelli “a fine estorsivo” – «ti paralizzo l’attività e pubblicizzo i dati che ti ho rubato se non mi paghi il riscatti» – ma vista la delicatezza del momento e l’oggetto dell’attacco (le biglietterie non hanno funzionato per ore) sono in corso approfondimenti: potrebbe essere letto sotto la stessa regia.

“30 maggio ore 05:00 il punto d’incontro è l’Italia!” hanno scritto ieri i russi. “Dal momento che faremo un colpo irreparabile in Italia a causa della guerra con Anonymous. Saremo almeno ricordati nella nostra terra natale?”