Supply-chain su tre telco europee: come un software di gestione è diventato la porta sui router di dorsale

Tre operatori di telecomunicazioni che lavorano in Europa sono stati colpiti da un'intrusione informatica. Secondo l'analisi di più aziende di sicurezza, dietro l'attacco ci sarebbe un gruppo legato a uno Stato: non criminali che vogliono soldi, ma spie digitali che vogliono informazioni.

La cosa interessante — e preoccupante — non è tanto chi ha colpito, ma come. Gli aggressori non hanno attaccato direttamente le reti dei tre operatori. Hanno colpito un fornitore comune: l'azienda che vende a tutti e tre il software usato per controllare gli apparati di rete. Compromesso quel software, hanno avuto una chiave d'ingresso valida verso i clienti che lo usano.

È quello che in gergo si chiama attacco alla catena di fornitura (in inglese supply-chain attack). L'idea è semplice: invece di sfondare il muro di ogni singola vittima, colpisci qualcosa di cui tutte si fidano. Un aggiornamento software, un fornitore, uno strumento di amministrazione. Da lì l'accesso si propaga a cascata.

Dal software di gestione ai router

Il primo bersaglio sarebbe stato un prodotto di network management, cioè il programma con cui gli amministratori configurano e sorvegliano i dispositivi di rete. Ottenuto il controllo di quel programma, gli aggressori hanno potuto muoversi verso i router di dorsale: le grandi macchine che smistano il traffico Internet di milioni di persone.

Perché prendere di mira proprio i router? Perché chi li controlla può osservare da dove a dove viaggiano le comunicazioni, e in certi casi deviarle. Per una spia è una posizione d'ascolto ideale: non serve rompere la crittografia dei singoli messaggi, basta sapere chi parla con chi, quando e quanto.

Gli analisti hanno classificato le mosse degli aggressori usando MITRE ATT&CK, che è semplicemente un catalogo pubblico e condiviso delle tecniche d'attacco: un vocabolario comune che permette a difensori di tutto il mondo di parlare la stessa lingua. Ecco le tecniche riconosciute in questo caso:

L'obiettivo non sembra distruggere, ma ascoltare: mettersi dove passa il traffico e restarci il più a lungo possibile, senza farsi notare.

Silenziosi apposta

Un dettaglio racconta la natura dell'operazione: gli aggressori hanno usato componenti con una firma digitale valida. La firma digitale è come un sigillo che certifica che un programma viene da una fonte fidata; i sistemi di sicurezza tendono a lasciar passare ciò che è firmato. Abusando di firme legittime, gli intrusi hanno fatto passare la loro attività per normale amministrazione. È una tecnica che rende l'attacco molto difficile da distinguere dal lavoro quotidiano di un tecnico.

Perché ci riguarda tutti

La lezione va oltre i tre operatori colpiti. Dice una cosa scomoda: proteggere bene la propria rete non basta più, se poi un fornitore con accesso ai tuoi sistemi viene bucato. Oggi la superficie d'attacco di un'azienda include chiunque abbia le chiavi di casa: i fornitori, i software di terze parti, gli strumenti di amministrazione remota.

La difesa pratica, per gli operatori, è ingrata ma chiara: rivedere a ritroso tutta la filiera dei fornitori che hanno accesso remoto, limitare quei permessi al minimo indispensabile, e sorvegliare con attenzione chi entra nei sistemi di gestione — perché è esattamente da lì che è passato questo attacco.