‘Cibersicurezza, la Confederazione ha un problema’

A fine maggio pirati informatici del gruppo ‘Play’ hanno attaccato la società bernese Xplain, sottraendo i dati dell’Amministrazione federale che vi erano immagazzinati. Pochi giorni dopo hanno pubblicato sul darknet dati dell’Ufficio federale di polizia (Fedpol) e dell’Ufficio federale della dogana e della sicurezza dei confini (Udsc). Altri dati operativi ‘hackerati’ dell’Amministrazione federale sono stati pubblicati a metà giugno. Tra questi – hanno rivelato domenica la ‘Nzz am Sonntag’ e il ‘SonntagsBlick’ – quelli che figurano in un documento del 2018 di Fedpol, che elenca le misure di sicurezza per i diplomatici e le ambasciate straniere, nonché per le persone e gli oggetti protetti dalla Confederazione. Sul darknet sono finiti pure gli indirizzi dei consiglieri federali e le residenze degli alti dirigenti dell’Amministrazione federale sotto protezione. E gli hacker avrebbero anche messo le mani sui mandati di arresto e di estradizione dell’Interpol e sugli avvisi di ricerca di presunti criminali. Per finire, potrebbero essere stati pubblicati anche i dati di accesso (login) di diversi uffici federali. Domenica il Centro nazionale per la cibersicurezza (Ncsc) ha affermato che alcuni documenti pubblicati sul darknet erano stati rimossi. Ma stando ad alcuni esperti, i file erano spariti solo temporaneamente e sarebbero dunque ancora accessibili e reperibili nel ‘web oscuro’.

Le domande di fondo

La serie di attacchi informatici – nonché la massa enorme di dati rubati (si parla di milioni di documenti) e il carattere altamente confidenziale di molti di essi – inquieta le autorità. «Dobbiamo fare in modo che questa fuga di dati non continui e che una cosa del genere non sia possibile in futuro», ha dichiarato mercoledì scorso la ministra delle Finanze Karin Keller-Sutter, definendo quanto successo «preoccupante». Il Consiglio federale ha istituito uno Stato maggiore di crisi, ha elaborato un mandato per un’indagine amministrativa e ha deciso di far verificare i contratti in essere con i fornitori di servizi informatici dell’Amministrazione federale per garantire maggior sicurezza. Fedpol e Udsc hanno sporto denuncia contro ignoti. Il Ministero pubblico della Confederazione (Mpc) ha aperto un procedimento. Idem la Procura cantonale bernese. Al lavoro si sono messi anche gli organi di vigilanza parlamentare.

Finora non vi è alcuna indicazione che qualcuno abbia cercato di utilizzare le informazioni per ottenere l’accesso a un sistema informatico federale, rassicura l’Ncsc. Ma le domande di fondo restano: com’è possibile che un fornitore di servizi privato custodisse (illegalmente?) sui suoi server dati pubblici così sensibili, per giunta in parte non criptati? O, come ha fatto notare il ‘Tages-Anzeiger’, perché la sicurezza di importanti uffici federali e autorità cantonali è stata affidata a una piccola società di Interlaken? I committenti (la Confederazione in particolare) hanno svolto le verifiche necessarie sulla sicurezza dei servizi prestati da XPlain?

‘Problema con i fornitori esterni’

Anche Franz Grüter è preoccupato. Imprenditore di successo nel settore della tecnologia dell’informazione, il consigliere nazionale dell’Udc è presidente del Consiglio d’amministrazione di Green.ch, una delle principali società svizzere attive nell’hosting su internet, i servizi di allacciamento Dsl e centrali di dati. «Quel che è successo negli ultimi tempi è inquietante», dichiara il lucernese a ‘laRegione’. «L’attacco a XPlain purtroppo non è un caso isolato. Ciò a cui assistiamo è una forte intensificazione degli attacchi informatici. E adesso anche dati altamente sensibili sono finiti sul darknet. La Confederazione ha davvero un problema nel modo in cui collabora con i fornitori esterni di servizi informatici. Occorre agire con urgenza».

Grüter non arriva al punto di dire che l’ente pubblico dovrebbe cessare di appaltare a terzi simili servizi. Tuttavia, vanno definiti con chiarezza «i criteri di sicurezza ai quali le aziende esterne devono sottostare e i processi attraverso i quali la sicurezza dei dati dev’essere garantita». Perché è «naturalmente pericoloso se dati così sensibili diventano di dominio pubblico». L’esperto «non capisce» come un’enorme quantità di informazioni altamente confidenziali possa essere stata immagazzinata – almeno in parte non criptata – sui server della società XPlain. «Sono dati provenienti da Fedpol, molto sensibili. La Confederazione deve porsi la domanda: ha senso immagazzinare dati del genere sui server di società esterne? Ho i miei dubbi sulla professionalità» di una tale prassi.

‘Chiarire i fatti’

Intanto il consigliere nazionale Alfred Heer (Udc/Zh), presidente della sottocommissione ‘Dipartimento giustizia e polizia’ della Commissione della gestione del Consiglio nazionale, chiede “un chiarimento rapido e senza lacune” del ciberattacco a XPlain. “Abbiamo a che fare con un fallimento della Confederazione, che interessa il nucleo più interno della sicurezza, per cui conseguenze personali sono inevitabili”, ha affermato lo zurighese al ‘SonntagsBlick’. Il collega di partito Franz Grüter condivide: «Heer ha ragione. Spero che le Commissioni della gestione indaghino su quanto accaduto. E se dovessero emergere gravi negligenze, credo sia giusto che vi siano conseguenze personali. Ma prima di tutto è importante che i fatti siano chiariti in modo serio».