Sottratti nomi e indirizzi dalle targhe, l’attacco raggiunge anche il Ticino

Anche il Canton Ticino è finito nel mirino dell’attacco informatico che nelle scorse settimane ha interessato i portali della Circolazione di diversi Cantoni svizzeri. A essere sottratti sono stati numeri di targa, nomi e indirizzi dei detentori di veicoli. Nessuna intrusione, però, si è verificata nei sistemi informatici cantonali. Le informazioni erano infatti già pubblicamente consultabili attraverso il servizio online «Elenco targhe Cantone Ticino».

A cambiare la portata dell’episodio è il modo in cui sono state raccolte: automaticamente e su larga scala, aggirando i meccanismi predisposti per limitare il numero di interrogazioni.

La Sezione della circolazione, che già la scorsa settimana aveva preso contatto con il fornitore del servizio e con gli altri Cantoni interessati, ha sporto denuncia penale contro ignoti al Ministero pubblico. Nel frattempo, a titolo precauzionale, la pagina per la ricerca dei detentori è stata disabilitata.

Il quadro giuridico federale consente, partendo da un numero di targa, di consultare nome, cognome e indirizzo del detentore, il quale può, tuttavia, chiedere gratuitamente il blocco della pubblicazione. La sottrazione non riguarda i detentori che avevano già richiesto di non rendere pubbliche le proprie informazioni.

A metà agosto analoghe raccolte automatizzate erano state rilevate sui portali di Argovia, Lucerna, Sciaffusa, Vaud e Zugo. Anche il Vallese ha successivamente comunicato accessi dello stesso tipo, ed ora è toccato anche al Ticino. I meccanismi di protezione dei portali, che limitavano il numero di interrogazioni effettuabili, sono stati intenzionalmente aggirati.

Ed è proprio l’automatizzazione l’elemento centrale della vicenda. Interpellato dal Corriere del Ticino, l’Ufficio federale della cibersicurezza (UFCS) definisce quanto accaduto un caso di «mass scraping», ossia «una raccolta automatizzata di dati su larga scala». Il termine «attacco», precisa l’Ufficio, si riferisce in questo caso «unicamente al fatto che l’autore ha aggirato i meccanismi predisposti per limitare il numero di interrogazioni per utente».

«Questo tipo di attacco è di carattere sistemico», spiega Alessandro Trivilini, esperto di sicurezza informatica e informatica forense. Il principio è quello di effettuare automaticamente richieste attraverso i moduli messi a disposizione degli utenti, riuscendo a simulare il comportamento di una persona reale e rendendo quindi più difficile per i sistemi di sicurezza riconoscere le anomalie.

Uno scenario reso ancora più complesso dall’evoluzione degli algoritmi, capaci di rendere queste operazioni più rapide e sofisticate. «Gli algoritmi oggi, con l’intelligenza artificiale, possono godere di un’automatizzazione, di una velocità e di un’intelligenza comportamentale», osserva Trivilini, riuscendo così a «simulare il comportamento di un reale cittadino» e a «ingannare le regole di difesa». Una dinamica che, secondo l’esperto, richiede «un livello in più di prevenzione»: con strumenti capaci di automatizzare, velocizzare e migliorare costantemente le proprie azioni, «la battaglia avviene tra algoritmo e algoritmo».

Ma se targa, nome e indirizzo erano già consultabili, perché raccoglierli? È qui che la quantità cambia la natura del rischio. Un conto è interrogare un portale per conoscere il detentore di una singola automobile, un altro è poter acquisire automaticamente grandi quantità di associazioni tra targhe, identità e domicili, potenzialmente utilizzabili e incrociabili con altre informazioni.

Secondo l’UFCS, questi dati «potrebbero essere utilizzati in diverse campagne di social engineering a scopo finanziario». Il principio è semplice: «più informazioni un aggressore possiede sulla propria vittima, più è in grado di costruire esche credibili».

«Il rischio, oggi, è alimentare l’economia circolare delle truffe informatiche e del phishing, quindi dell’ingegneria sociale fondata sull’inganno cognitivo», spiega Trivilini. La possibilità di «accedere a dati pubblici a costo praticamente zero» può infatti alimentare quella che l’esperto definisce «una lavanderia dei dati, dalla quale vengono poi estratti gli elementi per costruire quei messaggi» destinati alle potenziali vittime. La novità rispetto al passato, sottolinea, è la possibilità di «avvicinare le persone con dati molto reali, veritieri e accurati».

Il risultato è un phishing sempre meno riconoscibile. Una comunicazione può contenere informazioni autentiche sul destinatario, rendendo più credibile ciò che viene richiesto. «Può arrivare a casa una lettera con un indirizzo reale e delle informazioni reali», osserva Trivilini.

È il motivo per cui il Cantone mette in guardia da lettere, e-mail o SMS inattesi relativi a presunte multe, tasse di circolazione, controlli tecnici o pedaggi esteri, soprattutto quando chiedono pagamenti urgenti oppure informazioni personali e finanziarie. In caso di dubbio, la raccomandazione è di rivolgersi all’autorità attraverso i canali ufficiali, senza utilizzare collegamenti o recapiti contenuti nella comunicazione ricevuta.

L’UFCS, che sta seguendo il caso con un ruolo di coordinamento a livello federale, non dispone al momento di informazioni sul numero complessivo di persone i cui dati potrebbero essere stati raccolti. Ci sono però elementi che fanno pensare a un collegamento tra i diversi episodi registrati. «Possiamo confermare che alcuni Cantoni hanno ricevuto una richiesta di riscatto identica, il che lascia supporre che gli episodi siano collegati», fa sapere l’Ufficio. Come gli altri Cantoni interessati, il Ticino ha già fatto sapere di non voler cedere: pagare, sottolinea il Dipartimento delle istituzioni, non garantirebbe la cancellazione dei dati e contribuirebbe invece a finanziare gli autori dell’attacco e a incentivare ulteriori azioni.

Tra i possibili impieghi delle informazioni raccolte ci sono dunque il phishing e altre forme di social engineering, ma non è ancora possibile sapere quale destinazione avranno effettivamente i dati. Secondo l’UFCS, «sulla base dell’esperienza maturata in casi analoghi, sono ipotizzabili altri impieghi», anche se «al momento non vi sono elementi che possano prevedere con precisione la natura di questi impieghi».