All’inizio di aprile, mentre le sirene antimissile risuonavano in tutto Israele, migliaia di israeliani hanno ricevuto messaggi di testo che dicevano di provenire dal loro esercito. Tali SMS li invitavano a scaricare un’app fittizia per la gestione dei rifugi.
In realtà, il software malevolo aveva come obiettivo quello di rubare i dati personali delle ignare vittime, facendo leva sul senso di urgenza e sul più che comprensibile caos del momento. Altri hanno ricevuto un messaggio che annunciava la morte di Netanyahu, lasciando intendere un’imminente caduta di Israele sotto i missili iraniani.
Secondo gli esperti di cybersecurity, questi messaggi rappresentano l’estremità più visibile di una vasta guerra combattuta nelle profondità remote di Internet tra Iran, Israele e Stati Uniti. Ma va anche aggiunto che questo scenario non è una novità dell’ultima ora.
Da anni, gli hacker iraniani sono attivi contro i due paesi appena citati anche se, secondo Chris Krebs, ex direttore della Cybersecurity and Infrastructure Security Agency (CISA), nell’ultimo periodo il ritmo degli attacchi è aumentato ulteriormente.
L’esercito cibernetico dell’Iran
Gli obiettivi degli hacker sono diversi e, a seconda della campagna portata avanti, possono spaziare dal provocare caos al raccogliere dati utili poi all’intelligence per delineare bersagli bellici.
Nel mondo torbido della guerra cibernetica, risulta difficile determinare chi detenga il vantaggio. Tuttavia, prevalere in questo contesto è essenziale per plasmare le percezioni dei comuni cittadini e danneggiare il morale del nemico.
L’Iran dispone di tre livelli distinti di operatori cyber, i cui confini appaiono spesso sfumati, come indicato da analisti ed ex funzionari. I più esperti sono gestiti direttamente dal Corpo delle Guardie della Rivoluzione Islamica e dal Ministero dell’Intelligence iraniano.
Questi gestiscono un’ampia e complessa rete di organizzazioni di facciata, sfruttate per garantire copertura rispetto all’attribuzione degli attacchi. Inoltre, l’Iran sfrutta anche proxy di hacking semi-autonomi, e contractor esterni. Infine, non vanno sottovalutati i gruppi di hacktivisti volontari che si mobilitano a sostegno di Teheran sia nel paese che all’estero.
Gli hacker filo iraniani sono ritenuti da vari governi ed esperti cyber di aver doxxato dipendenti israeliani di un grande contractor di difesa statunitense, aver hackerato le email di politici in Albania (che ospita un gruppo di opposizione iraniano) e aver infiltrato un centro di ricerca nucleare polacco. Gran parte della sua attività di spionaggio più sensibile è probabilmente rimasta non riportata.
L’attacco più distruttivo attribuito loro ha colpito Stryker, un’azienda americana di tecnologia medica dal valore di miliardi di dollari i cui clienti includono il National Health Service (NHS) del Regno Unito. Il tutto con un risultato che si è concretizzato con l’interruzione di forniture e dell’utilizzo di attrezzature critiche, con ritardi per quanto concerne gli interventi chirurgici.
Handala, un fronte di hacking ritenuto dai ricercatori e dal governo statunitense legato all’intelligence iraniana, ha rivendicato di aver ottenuto accesso a circa 200.000 dispositivi (server, workstation, laptop e smartphone), cancellando tutti i dati presenti su di essi. Krebs ha definito tale attacco cyber bellico più massiccio mai eseguito contro gli Stati Uniti.
Il collettivo di hacker ha anche rivendicato di aver violato un account email personale appartenente a Kash Patel, direttore dell’FBI, pubblicando fotografie personali. L’agenzia americana ha confermato che la sua posta elettronica è stata presa di mira da “attori malevoli”, ma ha precisato che le informazioni contenute nei messaggi interessati non erano di vitale importanza per le operazioni dell’FBI.
Seedworm, un gruppo ritenuto parte integrante dell’intelligence iraniana, è stato individuato mentre tentava di entrare in reti statunitensi fin dall’inizio dello scorso febbraio, secondo la società di cybersecurity Symantec. E quanto appena illustrato rappresenta solo le operazioni clamorose finora emerse.
Le contromosse di Stati Uniti e Israele
Detto ciò, va comunque considerato che Stati Uniti e Israele possiedono capacità offensive formidabili e tendono a infliggere colpi strategici più ampi rispetto all’Iran. Gli USA hanno lanciato cyberattacchi subito prima degli iniziali bombardamenti aerei sull’Iran il mese scorso, andando a intaccare i sistemi di comunicazione degli avversari.
Israele ha impiegato la sua cyber-intelligence per uno dei colpi più grandi della guerra: anni fa, ha hackerato quasi tutte le telecamere stradali a Teheran, parte di un’estesa operazione di raccolta dati in preparazione dell’eliminazione del leader supremo ayatollah Ali Khamenei. Sempre Israele ha sfruttato una popolare app di preghiere per inviare notifiche a milioni di persone incoraggiando rivolte, stando a quanto riportato dai media occidentali.
Sebbene il paese asiatico sia considerato meno competente a livello tecnico rispetto a Russia o Cina, quando si parla di phishing e attacchi malware basici risulta comunque efficace.
Nonostante ciò, pare che gli hacker più temibili al servizio del paese siano per ora ancora poco coinvolti nel conflitto, rimanendo in una sorta di stasi tutt’altro che confortante.
Gli hacker iraniani non hanno ancora mostrato i muscoli
Secondo Leslie, questi esperti si sono per ora limitati a cercare eventuali vulnerabilità, esplorando potenziali punti di ingresso e selezionando bersagli per futuri attacchi. Per l’analista, sebbene queste attività siano poco visibili, sono più che temibili.
Nonostante tutte le operazioni già ricondotte all’Iran, alcuni esperti di cybersecurity rimangono sorpresi che Teheran non abbia colpito (o almeno tentato di colpire) bersagli strategici decisivi. In passato, si sono infatti verificate azioni ostili a infrastrutture critiche americane e israeliane, inclusi impianti di trattamento dell’acqua. Operazioni che, almeno finora, non si sono verificate nel corso del conflitto.
Esistono poche possibili spiegazioni: alcune iniziative preventive israeliane potrebbero aver indebolito le capacità iraniane oppure Teheran potrebbe aver ostacolato i propri hacker limitando Internet con il suo stesso blocco sul territorio nazionale A ciò, va aggiunto anche un fattore non trascurabile: per creare malware adatto ad attacchi su vasta scala vi sono tempistiche da rispettare.
Gli hacker più abili potrebbero già essersi infiltrati in posizioni vantaggiose, tenendo sotto tiro bersagli economici o militari sensibili, raccogliendo informazioni con discrezione in una strategia ragionata sul lungo termine.
Secondo Andy Piazza, Senior Director of Threat Intelligence alla divisione Unit 42 di Palo Alto Networks, i cybercriminali sarebbero in attesa. Nonostante ciò, l’esperto ha lanciato l’allarme, segnalando come siano necessarie operazioni preventive per evitare operazioni che, se portate a termine, potrebbero avere esiti catastrofici.
Perché gli Stati Uniti sono potenzialmente vulnerabili?
A rendere la situazione potenzialmente problematica vi è una gestione eterogenea della cybersecurity tra Israele e Stati Uniti. Nel primo caso si parla di infrastrutture gestite dallo stato in modo diretto. Gli USA, così come avviene in Europa, la difesa viene delegata al settore privato, con gli stati che si limitano a intervenire solo dopo gli attacchi.
Non solo: l’America soffre di alcune debolezze da non sottovalutare. L’adozione decentralizzata e precoce di Internet, oltre alle dimensioni del paese e alla sua infrastruttura dispersa, sono potenziali crepe nella strategia difensiva nazionale. In questo contesto, gli attriti tra l’amministrazione Trump e la CISA, l’agenzia incaricata di proteggere le infrastrutture critiche, hanno reso la situazione ancora più delicata.
La CISA non ha un direttore permanente dal gennaio 2025 e opera con circa 1/3 del suo personale standard. Una situazione che, di certo, non è passata inosservata agli hacker iraniani: una situazione che potrebbe rivelarsi una debolezza fatale per gli States.
