Chi è stato? Come si dà un nome a un attacco informatico, e perché non è mai una certezza

Dopo ogni grande attacco arriva la domanda inevitabile: chi è stato? Dare una risposta si chiama attribuzione, ed è una delle cose più difficili e delicate della cybersicurezza. Perché a differenza di un'impronta digitale su una scena del crimine, nel mondo digitale le tracce si possono imitare e falsificare.

Gli analisti seri non lavorano con le certezze, ma con le probabilità, e mettono insieme quattro tipi di indizi. Il livello tecnico: il malware usato, i server di appoggio, le tecniche. Il livello operativo: le abitudini e gli errori degli attaccanti. Il livello strategico: a chi conviene quell'attacco. E l'intelligence: informazioni riservate che il pubblico non vede. Nessuno di questi livelli, da solo, basta.

Gli indizi tecnici, uno per uno

Sul piano tecnico, gli analisti cercano schemi che si ripetono. Lo stesso codice riusato in più attacchi suggerisce la stessa «officina». La stessa infrastruttura — indirizzi, domini, certificati di sicurezza — che ricompare collega campagne diverse. Persino l'orario nascosto dentro i file può parlare: i programmi registrano l'ora in cui sono stati compilati, e se cade sempre nello stesso fuso orario, suggerisce dove lavorano gli autori. Anche la lingua della tastiera o i metadati dei documenti lasciano indizi.

Gli aggressori imitano gli strumenti degli altri: l'arma giusta nelle mani sbagliate può essere un depistaggio costruito apposta.

La trappola della falsa bandiera

Qui sta il rischio più grande: la falsa bandiera (in inglese false flag). Un gruppo esperto può riusare di proposito il malware di un altro, o lasciare indizi fuorvianti, per far ricadere la colpa su qualcun altro. Per questo gli analisti non si fidano di un singolo indizio: pesano la coerenza tra tutti i livelli e, alla fine, non dichiarano una certezza ma un livello di confidenza. Lo si può ricostruire in parte anche con dati pubblici:

# Collegare server e certificati nel tempo (intelligence pubblica)
- Passive DNS: quali domini hanno puntato allo stesso indirizzo
- Impronte dei certificati di sicurezza (JA3/JARM) che si ripetono
- Storico delle registrazioni dei domini (WHOIS) e schemi ricorrenti

Perché conta. Leggere un'attribuzione significa leggere la confidenza con cui è data. «Con alta probabilità» non è «con certezza», e la differenza è enorme quando da quell'attribuzione dipendono sanzioni, accuse tra Stati o decisioni politiche. La prudenza, qui, non è debolezza: è rigore.