Articolo Pubblicazioni
Estonia 2007: quando un attacco informatico colpì un intero Stato
di Vincenzo Calabrò · Pubblicato l’11 giugno 2007
Abstract
Dal 27 aprile 2007, per circa tre settimane, i siti del governo, del parlamento, dei partiti, dei giornali e delle banche estoni sono stati colpiti da ondate di attacchi di negazione del servizio. Gli attacchi sono iniziati durante le proteste per lo spostamento di un monumento sovietico a Tallinn. L’articolo ricostruisce i fatti, descrive le tecniche usate e la risposta del paese e riflette sulle conseguenze per la sicurezza degli Stati che dipendono dai servizi digitali.
Il contesto
L’Estonia è uno dei paesi europei più avanzati nei servizi digitali. I cittadini usano una carta d’identità elettronica, la quasi totalità delle operazioni bancarie avviene via Internet, la dichiarazione dei redditi si presenta in rete e a marzo di quest’anno, per la prima volta al mondo in elezioni parlamentari nazionali, è stato possibile votare via Internet. Questa dipendenza dalla rete è un vantaggio economico e, come si è visto, un punto di esposizione.
A fine aprile il governo estone ha deciso di spostare dal centro di Tallinn a un cimitero militare il Soldato di bronzo, un monumento ai caduti sovietici della seconda guerra mondiale. La decisione ha provocato proteste e scontri nelle notti del 26 e 27 aprile, con un morto e centinaia di arresti, e una forte reazione diplomatica della Russia. Negli stessi giorni sono iniziati gli attacchi informatici.
Gli attacchi
La prima ondata, dal 27 aprile, ha colpito soprattutto i siti istituzionali, con richieste in massa e messaggi di protesta. In forum e siti in lingua russa sono comparse istruzioni dettagliate su come partecipare, con elenchi di bersagli e comandi da eseguire. Dai primi giorni di maggio gli attacchi sono diventati più organizzati, con l’uso di botnet, reti di computer compromessi in molti paesi, capaci di generare un traffico molto superiore. Il picco è stato raggiunto il 9 maggio, anniversario della vittoria sovietica nella seconda guerra mondiale. Le ultime ondate significative sono state registrate verso la metà di maggio.
I bersagli sono stati scelti con cura:
- i siti della presidenza, del parlamento, del governo e dei ministeri;
- i siti dei partiti politici;
- i principali giornali e portali di informazione;
- le due maggiori banche del paese, i cui servizi online sono stati interrotti o rallentati per periodi significativi;
- alcuni servizi di comunicazione e infrastrutture di rete.
Le tecniche sono state in gran parte note, come inondazioni di pacchetti ICMP, richieste SYN che saturano le connessioni, richieste HTTP in massa verso pagine pesanti, oltre a defacement di alcuni siti e invio massiccio di spam. La novità è stata la scala, la durata e la scelta di colpire in modo coordinato le funzioni vitali di un paese.
Gli effetti
Per alcuni giorni molti siti istituzionali sono stati irraggiungibili o raggiungibili solo a tratti. I servizi bancari online, usati dalla grande maggioranza dei cittadini, hanno subito interruzioni, e per proteggerli le banche hanno dovuto limitare l’accesso dall’estero, con disagi per i clienti in viaggio e per le imprese con rapporti internazionali. I giornali online, principale fonte di informazione in un momento di tensione, hanno faticato a pubblicare. Non risultano danni permanenti ai sistemi né furti di dati su larga scala. Il danno è stato soprattutto di disponibilità e di fiducia, ma in un paese che ha scommesso sui servizi digitali anche questo pesa.
La risposta
La gestione tecnica è stata coordinata dal CERT estone insieme ai fornitori di connettività, alle banche e alle amministrazioni. Le misure principali sono state l’aumento della capacità dei server e delle linee, il filtraggio del traffico sospetto e, nei momenti più critici, la limitazione dell’accesso dall’estero ad alcuni servizi, per mantenerli disponibili agli utenti estoni. La collaborazione con i CERT di altri paesi e con gli operatori internazionali è servita a individuare e bloccare il traffico vicino alla sua origine. Esperti di altri paesi della NATO e dell’Unione europea sono arrivati a Tallinn per seguire la situazione.
Chi è stato
Le autorità estoni hanno indicato che parte del traffico proveniva da indirizzi riconducibili a istituzioni russe. La Russia ha respinto ogni responsabilità. Il problema dell’attribuzione si è mostrato in tutta la sua difficoltà. Una botnet è composta da computer compromessi in tutto il mondo, gli indirizzi di origine possono essere falsificati, e la partecipazione di volontari che seguono istruzioni pubblicate in rete rende sfumato il confine tra protesta spontanea e operazione organizzata. Senza una cooperazione giudiziaria internazionale è difficile identificare i responsabili.
Le domande per la difesa
Il caso ha posto alla NATO e all’Unione europea domande nuove. Resta da stabilire se un attacco informatico contro un paese membro possa essere considerato un attacco armato ai sensi dell’articolo 5 del Trattato del Nord Atlantico, e con quali soglie e quali prove. Per ora la risposta è stata prudente, ma il tema è entrato nell’agenda delle riunioni dei ministri. L’Estonia ha rilanciato la proposta di un centro di eccellenza della NATO per la difesa cibernetica a Tallinn.
Le lezioni per le organizzazioni
Anche fuori dalla dimensione politica il caso offre indicazioni pratiche a chi gestisce servizi online:
- un piano contro la negazione del servizio va preparato prima, con contatti già pronti presso i fornitori di connettività e accordi sulle misure di filtraggio;
- i servizi critici dovrebbero avere capacità di riserva e la possibilità di separare il traffico per provenienza;
- i log del traffico e dei server vanno conservati, perché servono a capire l’attacco e a sostenere eventuali denunce;
- la comunicazione verso i clienti è parte della risposta, perché un servizio interrotto senza spiegazioni genera sfiducia;
- la collaborazione con il CERT nazionale e con gli altri operatori del settore accorcia i tempi di reazione.
L’Italia non ha ancora un CERT nazionale con compiti di coordinamento paragonabili a quello estone. Il caso mostra quanto possa essere utile un punto di riferimento capace di riunire in poche ore amministrazioni, operatori e banche.
Vedi anche: l’articolo del 2010 Stuxnet (2010), l’articolo del 2001 La Convenzione di Budapest e l’articolo del 2014 Incident response: le fasi.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn