Cyberattacchi ai frigo, NoName e Z-Peintest rivendicano: ma il video non chiude il caso

La differenza conta. Entrare in sistemi di refrigerazione distribuiti in più Paesi richiede capacità diverse rispetto a un classico bombardamento Ddos. Ed è anche per questo che gli investigatori cercano di separare ciò che i due gruppi dichiarano di aver fatto da ciò che è possibile dimostrare abbiano realmente fatto.

In Italia il dossier è seguito dall’Agenzia per la cybersicurezza nazionale, diretta da Andrea Quacivi. In campo ci sono anche l’Aisi diretta da Bruno Valensise e l’Aise guidata da Giovanni Caravelli, coordinate dal Dipartimento delle informazioni per la sicurezza diretto dal prefetto Vittorio Rizzi. Il coordinamento politico è dell’Autorità delegata alla sicurezza della Repubblica, Alfredo Mantovano, che ieri ha riunito gli apparati per fare il punto.

È qui che la storia cambia. Perché NoName, quando compie un’operazione, rivendica. E solitamente lo fa in fretta: colpisce, pubblica, amplifica. L’attacco diventa propaganda.
Questa volta no. Il primo attacco in Francia risale al 12 ottobre. La rivendicazione dei frigoriferi compare soltanto adesso. Un ritardo di oltre tre settimane che non dimostra nulla, ma che gli investigatori considerano un’anomalia da spiegare. Perché aspettare tanto? E che cosa sta esattamente rivendicando NoName: l’intera sequenza europea oppure soltanto una parte?

C’è poi il problema del canale. Sul Telegram di NoName, almeno nella sequenza pubblicamente visibile, non compare alcun messaggio che attribuisca esplicitamente al gruppo gli attacchi ai frigoriferi.

C’è però un dettaglio che merita di essere riletto. L’operazione sui frigo, come detto più in alto, sarebbe nata proprio dalla compromissione di Danfoss: da lì sarebbero state sottratte le chiavi utilizzate per entrare nei sistemi di refrigerazione e da lì sarebbe partito il primo attacco francese del 12 ottobre. Più di tre settimane dopo, il 3 novembre, NoName torna a colpire la stessa Danfoss. Ma questa volta lo fa con un Ddos: un’azione rumorosa e frontale, pienamente dentro il suo repertorio abituale. E quella la rivendica immediatamente.

È qui che emergono due anomalie. La prima: se NoName e Z-Peintest avessero già avuto accesso alle credenziali sottratte a Danfoss e le avessero utilizzate per l’operazione sui frigoriferi, perché tornare settimane dopo a colpire la stessa azienda con un Ddos? La seconda, ancora più significativa: perché rivendicare subito il Ddos del 3 novembre e tacere, per oltre tre settimane, sull’operazione molto più sofisticata partita proprio dalla compromissione di Danfoss?

Il Ddos potrebbe naturalmente avere avuto un obiettivo diverso - fare danno, creare disservizi, produrre propaganda - e quindi non dimostra che dietro le due operazioni ci siano mani differenti. Ma rende la sequenza meno lineare.

C’è poi un’altra questione. L’ultima rivendicazione sul loro canale Telegram - fatta oggi 4 novembre - riguarda una operazione Ddos verso aeroporti in Germania.

È dentro questo spazio, tra ciò che sembra e ciò che può essere provato, che si muovono adesso gli apparati.
La prima ipotesi è la più lineare: NoName e Z-Peintest hanno realmente condotto l’operazione e, per ragioni ancora da chiarire, hanno deciso di rivendicarla soltanto ora.
La seconda è che i due collettivi siano arrivati dopo e si siano intestati un’azione compiuta da altri. Una rivendicazione opportunistica, utile ad accreditare capacità operative superiori a quelle realmente possedute. In questo scenario il video non sarebbe necessariamente falso nei contenuti: sarebbe falsa la firma apposta sull’operazione.
Ma nelle valutazioni investigative compare anche una terza ipotesi. La più delicata. Che il video non sia stato prodotto né dagli autori dell’attacco né da chi vuole appropriarsene, ma da un organismo estraneo all’operazione con uno scopo preciso: provocare una reazione. Gettare un’esca nel circuito cyber e osservare chi risponde, chi corregge dettagli, chi rivendica, chi finisce per rivelare qualcosa che prima non era emerso.

In altre parole: usare una falsa traccia per costringere il vero autore a lasciarne un’autentica.

Perché c’è un quarto livello di analisi: gli attacchi potrebbero non avere tutti lo stesso autore. Gli episodi francesi, in particolare, potrebbero appartenere a una matrice diversa, potenzialmente anche statuale, mentre altri passaggi della campagna potrebbero essere riconducibili a soggetti differenti.
Ciò che finora è apparso come un’unica offensiva europea potrebbe dunque essere, almeno in parte, una sovrapposizione di operazioni diverse, accomunate dallo stesso bersaglio tecnologico.

È soltanto una valutazione. Come lo sono, allo stato, gli altri scenari. Ed è proprio questo il punto: più emergono elementi, meno l’attribuzione diventa lineare.