Attacco hacker alla pubblica amministrazione: bloccati i servizi di centinaia di enti

 Un attacco hacker ha colpito Westpole, unʼazienda che fornisce infrastruttura cloud certificata per la pubblica amministrazione

Un attacco hacker sferrato prima dellʼalba dellʼ8 dicembre ha messo in crisi lʼerogazione di servizi da parte della pubblica amministrazione. Un gruppo di cyber-criminali molto ben organizzato, ma ancora senza nome, ha colpito Westpole, unʼazienda che fornisce infrastruttura cloud certificata per supportare le attività di comuni e altri enti governativi. La sia azione ha portato al blocco di tutti i server delle sedi di Milano e Roma e allo stop dei servizi connessi.

Colpiti i server che gestiscono i servizi digitali di centinaia di entità pubbliche

Finora potrebbe sembrare un attacco come tanti, ma tra i clienti di Westpole cʼè PA Digitale , lʼazienda che produce il software URBI , una piattaforma di soluzioni applicative gestionali per la Pubblica Amministrazione che viene usata da centinaia tra amministrazioni Comunali, provinciali e centrali, aziende pubbliche locali, utility, gestori di pubblici servizi, enti per lʼedilizia pubblica residenziale, parchi nazionali e regionali e così via. Tramite Urbi si gestiscono servizi di anagrafe, riscossione di tributi, emissioni di certificati... tutte operazioni che sono diventate impossibili in centinaia di sportelli elettronici.

Comunicazione lenta e lacunosa con il pubblico

Per quattro giorni il sito di Westpole è rimasto bloccato su di una pagina che annunciava dei lavori di manutenzione, mentre il loro centralino telefonico era irraggiungibile nelle sedi di Milano e Roma. Abbiamo provato a chiedere maggiori informazioni via mail, ma non abbiamo ancora ricevuto risposta. Alle 19.00 del 12 dicembre è apparsa la prima informativa pubblica in cui il team di Westpole Italia informava dellʼinterruzione dei servizi causata da un incidente di sicurezza, rassicurando gli utenti sul fatto che al momento non ci sono indizi di un possibile furto di dati. Lʼazienda colpita, comprensibilmente impegnata nellʼopera di ripristino dei servizi, ha però comunicato in maniera più ampia con i propri clienti e da una dichiarazione rilasciata da PA Digitale per ottemperare agli obblighi di legge del GDPR veniamo a sapere che lʼattacco ha effettivamente criptato i file di oltre 1500 macchine (virtuali) e che lʼattacco è stato portato a termine da un operatore ostile non meglio identificato.

Stavolta lʼobiettivo non erano i dati

Lʼazione dei criminali sembra esser stata focalizzata sui server dal momento che Westpole ha dichiarato che “per tutti i servizi che prevedevano lʼutilizzo di una componente repository di tipo NAS, i dati non risultano essere compromessi, e, allo stato attuale delle analisi, non risultano accessi dellʼutenza compromessa o di altre utenze sospette”. Secondo quanto dichiarato da Westpole a PA Digitale, la messa fuori linea dei propri sistemi, adottata come prima azione di contenimento, è stata una misura precauzionale e si stanno mettendo in atto le necessarie misure di sicurezza aggiuntive per garantire una ripresa delle operazioni affidabile, chiudendo le eventuali falle che hanno portato alla compromissione dei giorni passati. PA Digitale non sa, al momento del rilascio del documento, se dei dati possano essere andati persi a causa dellʼattacco restando irrimediabilmente cifrati e sembra che la violazione informatica sia comunque rimasta circoscritta allʼinfrastruttura di Westpole, senza colpire quella dei suoi clienti.

In definitiva: un attacco devastante con risvolti ancora da chiarire

Lʼattacco a Westpole, quindi, sembra di tipo DOS, ovvero mirato a bloccarne lʼoperatività per chiedere un riscatto in cambio dei codici necessari a decifrare i file colpiti e permettere il ritorno allʼoperatività. La portata di questa azione è indubbiamente importante e proprio per questo è possibile che i criminali non abbiamo rubato i dati in possesso di Westpole o si siano limitati a esfiltrarne una quantità molto limitata. Dal momento che le macchine coinvolte è ci circa 1.500, infatti, rubare i dati avrebbe comportato un tempo di trasferimento molto lungo, con la possibilità per i criminali di esser scoperti durante lʼoperazione.Questa è una buona notizia, che bisogna verificare, ma che non modifica il quadro di gravità della situazione. Una delle caratteristiche indispensabili che viene richiesta alle aziende moderne è quello della resilienza del business, ovvero la capacità di continuare a operare (seppur a ritmo ridotto) anche in presenza di eventi catastrofici come un attacco informatico di questo tipo. Invece, i servizi alla pubblica amministrazione e ai cittadini sono rimasti bloccati per molti giorni. In queste ore si dovrebbe gradualmente tornare alla normalità, ma anche se sono ormai passati 5 giorni, ancora non è stata comunicata una data precisa per il pieno ripristino.Non è semplice tenere testa ai gruppi di cyber criminali più agguerriti: hanno mezzi notevoli, abilità tecniche di alto livello e una organizzazione tale da rendere i loro attacchi difficilissimi da fermare. Ma anche quando un attacco va a buon fine, lʼorganizzazione interna di aziende di importanza critica come Westpole deve riuscire a contenere i danni e a garantire un ritorno alla piena operatività in tempi brevi e certi.

Riproduzione riservata ©