Guerre di Rete - Ecco la nuova cyber diplomazia Usa

E poi vaccini e Facebook; spyware e giornalisti; trojan italiani e leggi; Tinder e controlli; Big Tech e i lavoratori del settore.

Guerre di Rete - una newsletter di notizie cyber
a cura di Carola Frediani
N.100 - 21 marzo 2021

Oggi si parla di:
- la nuova cyber politica americana: una analisi
- vaccini e social
- sorveglianza e spyware- trojan e intercettazioni in Italia
- tech e lavoratori
- Tinder e precedenti per violenza
- e altro

Ehi, è il centesimo numero della newsletter!! (vedi sopra N.100…. )

ANALISI
I due attacchi che spingono la nuova cyber politica americana
Due gravi incidenti di cybersicurezza stanno plasmando la politica estera americana della nuova amministrazione Biden, forse come mai prima era successo. E ora si attende una reazione statunitense, che sarà articolata probabilmente su diversi piani e tempistiche. Ma soprattutto questi incidenti stanno rilanciando la cyber diplomazia americana, cambiandone però la fisionomia, rendendola più “proattiva” e ancorata alla necessità non più tanto di espandere la democrazia, secondo l’ideologia dominante anni fa, in era pre-Trump, al dipartimento di Stato Usa, ma di difenderla da una serie di minacce e dall’autoritarismo digitale di altri Paesi.

Ma c’è molto da decomprimere e spacchettare in questo primo paragrafo, per cui andiamo con ordine.

I due cyber incidenti
A segnare i primi 50 giorni della presidenza Biden sono stati due pesantissimi attacchi/incidenti informatici, che in realtà hanno una scala globale (e anche questo sarà rilevante ai fini della nuova cyber diplomazia americana).
- 1. Solarwinds
Il primo è il Solarwinds hack (di cui qua ho scritto più volte): in sintesi un attacco che ha compromesso gli aggiornamenti del software di Solarwinds, fornitore globale di soluzioni per il monitoraggio dell’infrastruttura IT, arrivando così comodamente in casa di migliaia di suoi clienti nel mondo, tra cui buona parte del governo americano. Di questo attacco le cose rilevanti da mettere da parte ora sono che: l’intelligence americana (per altro criticata per non averlo intercettato) l’ha attribuito ai russi (anche se non in maniera ufficiale); l’attacco è stato in realtà molto mirato, ignorando gran parte dei clienti Solarwinds, e andando dritto alla meta (governo Usa ma anche altri soggetti di interesse); non è stato distruttivo, è un classico esempio, da manuale, di cyberspionaggio; ha mostrato la fragilità della supply chain, la catena di fornitura, in questo caso del software, rispetto a minacce di sicurezza.
- 2. Microsoft Exchange Server
Il secondo è l’attacco ai server Exchange di Microsoft, mosso in questo caso attraverso una serie di vulnerabilità che permettono la compromissione della posta e delle reti interne di intere organizzazioni. In pratica dopo una serie di avvisaglie già a gennaio, a inizio marzo Microsoft ha annunciato che un attore statale cinese, che chiama Hafnium, stava lanciando attacchi contro i server Exchange. A essere interessate decine di migliaia di aziende e organizzazioni in tutto il mondo. Microsoft ha poi rilasciato delle patch, delle correzioni che chiudono le vulnerabilità, ma il problema è che in molti casi queste non bastano. Perché chi aveva già sfruttato quelle vulnerabilità aveva anche installato delle webshell, in pratica delle vie di accesso, che dunque vanno attivamente cercate ed eliminate dalle organizzazioni colpite. Altrimenti quegli stessi intrusi iniziali, ma anche altri, possono usarle per incursioni e attacchi di vario genere, pure distruttivi, ad esempio per diffondere ransomware, software malevoli che cifrano e chiedono un riscatto (spesso dopo aver comunque copiato i dati presenti). E infatti secondi vari ricercatori ci sono già diversi gruppi che stanno muovendo attacchi di questo tipo. Ho un po’ semplificato ai fini della comprensione perché la vicenda presenta molti dettagli e complessità ma il punto qui è: attribuzione di Microsoft ai cinesi; estensione dell’incidente e il suo essere indiscriminato; il fatto che apra la porta ad attacchi strettamente criminali.

Due attacchi diversi
A spiegare le differenze anche di implicazioni politiche fra i due episodi e la necessità di avere risposte diverse per gli stessi è questo articolo di Lawfareblog in cui, in spietata sintesi, gli autori dicono: quello che hanno fatto i russi è spionaggio chirurgico, tanto di cappello, lo facciamo anche noi, per cui rispondiamo ma senza esagerare nella reazione; i cinesi invece sono stati molto più sconsiderati e la loro iniziale campagna di spionaggio è degenerata in un calderone di danni collaterali. Ma, come nota uno dei due autori in questo podcast, la reazione all’attacco russo potrebbe mettere sul piatto della bilancia tutta una serie di altri precedenti (le interferenze, le campagne di troll e disinformazione ecc) in una sorta di pacchetto unico di risposta (che rischia però di fare confusione).

La nuova cyber politica americana
Ciò detto, questi due eventi stanno spingendo Biden a rendere ancora più prioritaria non solo la cybersicurezza, ma anche una politica estera che leghi cybersicurezza e (difesa della) democrazia (americana o comunque nella prospettiva americana).

Nella guida provvisoria alla strategia di sicurezza nazionale presentata da Biden a inizio marzo, si dice che si vuol fare della cybersicurezza una priorità, elevarla a imperativo in tutto il governo, espandere gli investimenti in infrastrutture e persone, e impegnarsi a livello internazionale su questioni cyber, lavorando insieme agli alleati e partner per creare e far rispettare nuove norme globali nel cyberspazio. E di essere pronti a chiedere conto a chi pratichi attività cyber malevole, destabilizzanti, distruttive, rispondendo rapidamente e proporzionalmente, sia sul fronte cyber che su quello non cyber. 

Rilancio del Dipartimento di Stato
Tutto ciò significherà un rilancio anche del Dipartimento di Stato, che aveva avuto un ruolo prominente nel plasmare la politica estera americana sulla Rete in nome della “libertà di internet” e della sua promozione all’estero, a partire dal 2009/2010. Una politica abbandonata o quasi smantellata sotto la presidenza Trump, come avevo scritto qua.

Ora, per espandere il ruolo della cyber diplomazia nel Dipartimento di Stato, i democratici al Congresso Usa chiedono un incremento di 12 miliardi di dollari per la spesa in politica estera. E, come si diceva prima, per arrivare a formulare migliori norme internazionali da applicare a eventi cyber, esigenza emersa anche nelle audizioni sul caso SolarWinds tenutesi alla commissione intelligence del Senato Usa.

America is back, ma più aggressiva sul cyber
In pratica, scrive the Council on Foreign Relations, lo slogan America is back, ovvero il ritorno degli Usa nel mondo, inaugurato dall’era Biden, non significherà un ritorno al “business as usual per la cyber diplomazia”. Ma un suo rilancio più aggressivo. 

Non dimentichiamo che molti si aspettano anche reazioni non evidenti. Reazioni in campo cyber, probabilmente gestite dal Cyber Command, scrive Cybersecurity Intelligence. Secondo fonti della Casa Bianca riportate da giornalisti Usa, una reazione (intesa come controattacco) su SolarWinds è attesa “in settimane, non mesi”.
Come si integreranno le spinte opposte a rispondere in modo ritorsivo sul fronte cyber e a costruire una cyberdiplomazia basata su norme internazionali condivise resta al momento un interrogativo, e un azzardo.
- Leggi anche: Verso una cyber strategia più coercitiva - CSIS (inglese)

VACCINI, SOCIAL, DIRITTI
Giro di vite di Facebook sulla “cattiva informazione” (misinformation) sui vaccini
Facebook ha annunciato nuove misure per ridurre la diffusione di cattiva informazione e disinformazione sui vaccini e COVID-19. Tre queste:
- etichette messe su tutti i post relativi ai vaccini per COVID-19 che indirizzano gli utenti a informazioni ufficiali
- misure temporanee che prevedono la limitazione della diffusione di informazioni potenzialmente pericolose in merito ai vaccini COVID-19 durante la pandemia. In particolare contenuti di utenti che hanno violato le policy del social su questi temi o che hanno postato più volte informazioni bollate come false o alterate dai fact-checker di terze parti; contenuti sui vaccini o il COVID-19 che i fact-checker hanno ritenuto “mancanti di contesto”; richiesta agli admin di gruppi di approvare prima i post quando ci sono state violazioni delle suddette policy.

SORVEGLIANZA E SPYWARE
La mappa degli attacchi contro giornalisti nel mondo
II Committee to Protect Journalists (CPJ) ha creato una mappa con gli attacchi a 38 giornalisti e loro associati individuati nel mondo e condotti per mezzo di spyware, software spia, usati per infettare computer e cellulari e sorvegliare le loro attività. Molti di questi attacchi sono attribuiti a Emirati, Arabia Saudita, Marocco, Etiopia, Messico e India. Quattro le aziende principali individuate in questi attacchi e che producono questi spyware (venduti poi a governi e intelligence). Va detto però che le aziende in questione sono solo una parte, quella più visibile negli ultimi anni (Hacking Team non esiste più come tale, in parte assorbita in Memento Labs). E che soprattutto gli attacchi mappati sono solo la punta dell’iceberg. Come scrive infatti CPJ, la mappa non include gli incidenti in cui il nome del target non era pubblico, o i cui dettagli tecnici non sono del tutto chiari, o in cui la natura statale non è chiara. Insomma, “la mappa cattura solo un sottoinsieme di un potenzialmente vasto numero di giornalisti soggetti a sorveglianza attraverso spyware”.
Un esempio che ne è rimasto fuori è la campagna di spyware condotta contro attivisti in Vietnam individuata e denunciata a fine febbraio da Amnesty Tech, parte di Amnesty International (disclaimer a fini di trasparenza: lavoro nel team security di Amnesty International).

“Questo modello di business è una minaccia alla cyber pace”, ha scritto al riguardo nei giorni scorsi il Cyberpeace Institute. “Dobbiamo avere un maggiore controllo sulle leggi che circondano questa tecnologia e considerare una regolazione più stretta per proteggere le persone”.

TROJAN E ITALIA
Italia, bozza del tariffario sulle intercettazioni, ma rispunta il problema della conservazione dei dati
Nell’ultimo quinquennio in Italia sono stati intercettati circa 130mila bersagli ogni anno. L’85% con intercettazioni telefoniche, il 12% con microspie ambientali e il 3% con sistemi telematici.
Ora il ministero della Giustizia deve rivedere e razionalizzare le spese relative alle intercettazioni ma anche stabilire gli standard di qualità per la conservazione e la gestione di questi dati sensibili da parte dei fornitori.
Tra le altre cose, i fornitori devono assicurare la custodia dei dati con sistemi cifrati, la consegna presso le sale intercettazioni delle Procure (le cosiddette sale Cit), la cancellazione sicura e definitiva dei file. Tuttavia, anche in questo caso, emergono delle incongruenze. “La custodia dei dati non è un dato secondario”, scrive Wired Italia. 

Trojan, perquisizioni e tabulati
Proprio sui trojan potrebbe esserci battaglia in Commissione giustizia nei prossimi giorni, con degli emendamenti più garantisti presentati da Enrico Costa (Azione) che vogliono impedire l’uso del trojan autorizzato a fini di intercettazione per effettuare “perquisizioni illegali permanenti”, prendendo tutto quello che c’è sul telefono, rubrica, foto, video, elenco password, scrive Repubblica. In ballo anche l’uso dei tabulati telefonici e la proposta che la loro acquisizione debba essere autorizzata anche dal gip e non solo dal pm.

DATING
Tinder, in arrivo controllo sui precedenti per violenza (negli Usa)
Match Group, la società americana che possiede varie app di dating, tra cui la nota Tinder, ha stretto una partnership con una no-profit, Garbo, che raccoglie dati pubblici (arresti, ordini restrittivi, accuse di molestie ecc) sui precedenti penali delle persone, soprattutto in relazione a violenza di genere (sono escluse violazioni del codice della strada e i piccoli precedenti per droga, anche perché, nel caso di questi ultimi, negli Usa rischierebbero di discriminare alcune comunità che su questo tema subiscono una disparità di trattamento, sostengono le fondatrici della stessa Garbo - via Il Secolo XIX).
L’idea è in un prossimo futuro di permettere agli utenti Tinder di fare dei controlli attraverso l’app sulla storia giudiziaria di chi si sta per incontrare, usando solo il nome e numero di telefono della persona in questione. Non è chiaro come questo si integrerà in Tinder, e se e quando verrà anche esteso al resto del mondo, oltre agli Usa.
C’è inoltre polemica sul fatto che quella funzione possa essere a pagamento. La mossa di Match Group arriva dopo alcune battaglie legali e pressioni mediatiche, in cui donne che erano state assalite da uomini incontrati con queste app (e che avevano un passato acclarato di molestatori o violenti) avevano chiesto che l’azienda conducesse dei controlli sulla fedina penale degli utenti. Una funzione presente nel servizio a pagamento Match.com ma mai estesa finora alle app gratuite, spiega ProPublica.
Vedi anche The Verge.

TECH E LAVORATORI
Le Big Tech sono troppo potenti e l’AI andrebbe regolata, dicono gli stessi dipendenti di aziende tech americane
Cosa ne pensano i dipendenti dell’industria tecnologica delle questioni tecnopolitiche che investono le stesse aziende per cui lavorano? Hanno opinioni molto forti su alcuni temi, anche se sulle soluzioni sembrano essere meno compatti. Almeno secondo un sondaggio realizzato dalla testata The Protocol fra dipendenti di grandi aziende tecnologiche statunitensi. Il 73 per cento degli intervistati è d’accordo sul fatto che il governo regoli l’intelligenza artificiale. Per il 78 per cento addirittura l’industria tech è troppo potente, incluse ovviamente Facebook, Amazon, Apple e Alphabet (Google). Eppure più del 68 per cento vuole che la propria azienda stringa partnership o sia acquisita da una Big Tech, e tre quarti ritengono che le Big Tech debbano poter comprare altre società. E solo il 40 per cento è a favore di una una decisa azione antimonopolista verso colossi come Facebook, Amazon ecc
Però, più del 40 per cento non vuole lavorare con le forze dell’ordine (è invece d’accordo il 34). Mentre sulla guerra tecnocommerciale con la Cina i dipendenti americani non sembrano seguire l’amministrazione centrale. Ben il 60 per cento vorrebbe che le aziende tech americane collaborassero con quelle cinesi.

Amazon espande la gamification nei centri di distribuzione
Amazon sta espandendo un suo programma volontario- noto come FC Games -  in cui applica la gamification alle mansioni dei lavoratori dei centri di distribuzione per aumentarne la produttività con la competizione in alcuni giochi digitali in 20 Stati negli Usa, riferisce The Information (paywall). Si tratta di rappresentazioni virtuali di quanto velocemente i lavoratori completano un compito. Ad esempio, MissionRacer muove un’auto lungo un percorso in sintonia col lavoratore che divide i prodotti nelle varie scatole, scrive The Verge.

Salario minimo, ferie e contributi per i conducenti Uber in UK
In Gran Bretagna dal 17 marzo Uber garantirà ai conducenti alcuni diritti come il minimo salariale, le ferie pagate e i contributi pensionistici. Una decisione innescata dalla sentenza della Corte Suprema del Regno Unito che un mese fa aveva stabilito che un gruppo di ex conducenti della società avessero diritto a questi benefici.
“Il Regno Unito sarà il primo paese in cui i conducenti di Uber otterranno tutte queste garanzie, e la decisione potrebbe avere implicazioni nel paese anche per altri lavoratori della cosiddetta “gig economy””, scrive Il Post, sottolineando però alcuni problemi. “I conducenti si sono lamentati del fatto che Uber abbia deciso il salario minimo senza la stipulazione di un contratto collettivo, e che l’orario di lavoro venga calcolato dal momento in cui viene accettato un viaggio, invece che dal momento in cui un conducente accede all’app”.

CYBERCRIME
Colpevole il russo arrestato per tentato cyberattacco a Tesla (dall’interno)
Si è dichiarato colpevole il russo di 26 anni che era stato arrestato negli Usa dopo aver tentato di corrompere un dipendente di Tesla, la nota azienda di auto elettriche fondata e guidata da Elon Musk, offrendogli un milione di dollari affinché installasse un malware, un software malevolo, nei sistemi interni della gigafactory, della fabbrica dell’azienda, in Nevada. Il russo faceva parte di una gang di cybercriminali russi che usavano questa tecnica per sottrarre dati sensibili e ricattare poi le aziende. Ma il dipendente che era stato avvicinato aveva denunciato tutto all’Fbi e poi si era presentato microfonato al colloquio col russo. Il quale era stato arrestato all’aeroporto mentre tentava di lasciare il Paese dopo aver capito di essere sotto indagine. Il 26enne incriminato ora rischia una pena molto più lieve, si parla di qualche mese di prigione. The Record
La vicenda apre uno squarcio inquietante su una possibilità di attacco informatico spesso sottovalutata, quella cioè che arriva dall’interno.

CYBERSICUREZZA
Data breach al MISE
I dipendenti del MISE, il ministero dello Sviluppo economico che presiede al funzionamento delle infrastrutture strategiche del Paese, sono rimasti vittima di un data breach risalente alla fine del 2020, che ora il dicastero di Giorgetti non conferma né smentisce. Le password sottratte erano in chiaro? - Raffaele Angius su Wired Italia

Exchange Italy
Anche molte aziende italiane vittima dell’attacco via Exchange server di cui abbiamo parlato sopra, scrive Repubblica.

APPROFONDIMENTI

COMUNICAZIONE E SCIENZA
Scienza, comunicazione, politica e media: cosa ci insegna il caso AstraZeneca - Valigia Blu

INTERNET E MODERAZIONE
Aziende di infrastrutture (della Rete) hanno bisogno di un diverso approccio alla moderazione (dei contenuti) che si concentri su neutralità e giusto processo - un ragionamento ad alto livello sul tema moderazione dei contenuti, ban da parte delle piattaforme e fornitori di servizi internet - Ben Thompson su Stratechery

—> SOCIAL E PODCAST DI GUERRE DI RETE
Guerre di Rete ora ha anche un sito, una pagina Facebook e un profilo Twitter. Seguiteli!
I podcast della newsletter (che escono il lunedì in genere) li trovate sulle principali piattaforme (Apple Podcasts; Spotify; Google Podcast; Anchor.fm). Ogni due settimane circa esce anche Chat di Rete, podcast di interviste condotto assieme a Vincenzo Tiani.

Ti è piaciuta la newsletter? Inoltrala a chi potrebbe essere interessato! O diventa un suo sostenitore facendo una donazione. E’ in corso una campagna per raccogliere fondi. La newsletter resta gratuita, indipendente, senza sponsor, mandanti o agende altrui, e si diffonde col passaparola dei suoi stessi utenti.