Articolo Pubblicazioni

Il data breach di Hacking Team (2015): cosa insegna sulla sicurezza dei fornitori

di · Pubblicato il 27 luglio 2015

Abstract

Il 5 luglio 2015 l’account Twitter dell’azienda milanese Hacking Team è stato usato per pubblicare il collegamento a circa 400 gigabyte di dati interni, tra cui posta elettronica, contratti, fatture e il codice sorgente del suo software di intercettazione. Nell’archivio c’erano anche exploit per vulnerabilità non ancora note, entrati in circolazione in poche ore. L’articolo ricostruisce i fatti noti, le conseguenze per i clienti e per gli utenti di Internet e le lezioni per chi affida a un fornitore attività delicate.

Vincenzo Calabrò | Il data breach di Hacking Team (2015): cosa insegna sulla sicurezza dei fornitori
 

L’azienda

Hacking Team è un’azienda con sede a Milano che sviluppa e vende un sistema chiamato Remote Control System, destinato a forze di polizia e servizi governativi. Il prodotto è un software di intercettazione che, installato su computer e smartphone, consente di acquisire comunicazioni, file, schermate, posizione, audio e video. L’azienda ha sempre dichiarato di vendere solo a governi e di valutare i clienti. Organizzazioni per i diritti digitali l’avevano però già accusata di forniture a paesi con una storia di violazioni dei diritti umani.

Che cosa è successo

La sera del 5 luglio 2015 il profilo Twitter dell’azienda è stato modificato e ha iniziato a pubblicare messaggi con i collegamenti a un archivio di circa 400 gigabyte. Il materiale comprende messaggi di posta dei dipendenti, documenti amministrativi, elenchi di clienti e contratti, il codice sorgente dei prodotti, password e documentazione tecnica. Nei giorni successivi l’archivio è stato reso consultabile in rete e analizzato da giornalisti e ricercatori di tutto il mondo.
Non è ancora noto pubblicamente come gli autori siano entrati nella rete aziendale. La Procura di Milano ha avviato un’indagine. Le informazioni circolate nei primi giorni indicano che dall’interno della rete gli attaccanti hanno potuto accedere a gran parte dei sistemi, compresi quelli di sviluppo e la posta di tutti i dipendenti, e che alcune password erano particolarmente deboli.

Gli zero-day in circolazione

La conseguenza più grave per gli utenti di Internet riguarda gli exploit. Nell’archivio c’erano codici pronti per sfruttare vulnerabilità non ancora note ai produttori, usate per installare il software sui dispositivi dei bersagli. Le più rilevanti riguardavano Adobe Flash Player, con almeno tre vulnerabilità corrette d’urgenza tra il 7 e il 14 luglio, e un componente di Windows per la gestione dei caratteri, corretto da Microsoft con un aggiornamento straordinario.
In poche ore dalla pubblicazione alcuni di questi exploit sono stati integrati negli exploit kit usati dai criminali per diffondere malware attraverso siti compromessi e pubblicità malevola. Per alcuni giorni chiunque visitasse il sito sbagliato con Flash non aggiornato rischiava l’infezione. Il caso ha dato nuovo slancio alla richiesta di disattivare Flash nei browser, e alcuni produttori di browser lo hanno bloccato temporaneamente.

Le conseguenze per i clienti

Per i clienti il danno è doppio. La pubblicazione del codice sorgente e della documentazione permette di riconoscere il software sui dispositivi infettati, e quindi può compromettere indagini in corso in diversi paesi. Le informazioni su contratti e licenze rendono pubblici rapporti che i governi preferivano riservati. L’azienda ha comunicato ai clienti di sospendere l’uso del sistema in attesa di una nuova versione. Le autorità di diversi paesi stanno valutando l’impatto sulle proprie attività.

Il problema dei fornitori

Il caso mostra in modo estremo un problema comune. Un’organizzazione che affida a un fornitore un’attività delicata eredita il livello di sicurezza di quel fornitore. Una procura o una polizia possono proteggere con cura i propri sistemi, ma se il fornitore dello strumento di intercettazione viene compromesso, informazioni sulle loro attività finiscono comunque in rete. Lo stesso vale per un’azienda che affida a terzi l’assistenza informatica, la gestione dei dati dei clienti o lo sviluppo di software.
Alcune domande vanno poste a ogni fornitore che tratta dati o strumenti delicati:
  1. quali dati del cliente conserva, dove e per quanto tempo;
  2. chi ha accesso a quei dati all’interno del fornitore;
  3. come sono protetti i sistemi di sviluppo e il codice sorgente;
  4. come gestisce le password e l’autenticazione degli amministratori;
  5. come rileverebbe un’intrusione e in quanto tempo avviserebbe il cliente;
  6. quali verifiche indipendenti sono state svolte sulla sua sicurezza.

Il mercato delle vulnerabilità

Le email pubblicate mostrano anche come funziona l’acquisto di exploit da ricercatori e intermediari, con prezzi che possono raggiungere decine di migliaia di dollari per una singola vulnerabilità. Chi compra una vulnerabilità per uso offensivo ha interesse a non segnalarla al produttore, e la vulnerabilità resta aperta per tutti gli utenti. Il caso Hacking Team ha mostrato che cosa succede quando quel patrimonio esce dal controllo di chi lo possiede. Il dibattito su come regolare questo mercato, anche attraverso i controlli sulle esportazioni previsti dall’Accordo di Wassenaar, ne esce rafforzato.

Gli aspetti forensi

Un archivio sottratto e pubblicato pone problemi specifici a chi deve usarlo come fonte. Prima di tutto la genuinità, perché un archivio diffuso in rete può essere stato alterato o integrato con falsi. Alcuni elementi aiutano a verificarla, come le intestazioni dei messaggi di posta con le firme dei server, la coerenza tra documenti diversi, i metadati dei file. In secondo luogo la provenienza, da documentare con la fonte da cui l’archivio è stato scaricato, la data e il valore di hash dei file. Dall’archivio i ricercatori hanno inoltre ricavato indicatori tecnici che permettono di riconoscere il software di Hacking Team sui dispositivi, utili a chi teme di esserne stato bersaglio.

Per le indagini italiane

In Italia il caso arriva mentre si discute di come regolare l’uso dei captatori informatici nelle indagini penali, oggi privo di una disciplina specifica. Le questioni sollevate sono concrete. Chi controlla il software usato dallo Stato, dove finiscono i dati raccolti, quali garanzie esistono contro abusi e malfunzionamenti, come si verifica che lo strumento faccia solo ciò che è autorizzato. Sono domande che una futura legge dovrà affrontare anche sul piano tecnico.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn