Incubo di cyber-spionaggio

Su una parete di fronte a dozzine di cubicoli nell'ufficio dell'FBI a Pittsburgh, cinque ragazzi di Shanghai fissano i poster di Wanted. Wang Dong, Sun Kailiang, Wen Xinyu, Huang Zhenyu e Gu Chunhui sono, secondo un federale accusa l'anno scorso, gli agenti dell'Unità 61398 dell'Esercito popolare di liberazione cinese, che hanno violato le reti di società americane, statunitensi. Steel, Alcoa, Allegheny Technologies (ATI), Westinghouse, oltre al più grande sindacato industriale del Nord America, United Steelworkers e la filiale statunitense di SolarWorld, un produttore tedesco di pannelli solari. Nel corso di diversi anni, affermano i pubblici ministeri, gli agenti hanno rubato migliaia di e-mail sulla strategia aziendale, documenti su casi di commercio sleale che alcune società statunitensi avevano presentato contro la Cina e persino progetti di tubazioni per centrali nucleari, tutti presumibilmente a beneficio delle aziende cinesi .

È il primo caso intentato dagli Stati Uniti contro gli autori di presunto spionaggio informatico sponsorizzato dallo stato e ha rivelato falle nella sicurezza informatica che le aziende raramente riconoscono in pubblico. Sebbene gli aggressori abbiano apparentemente indirizzato le loro attività attraverso i computer di persone innocenti e fatto altri sforzi per mascherarsi, i pubblici ministeri hanno rintracciato le intrusioni in un edificio di 12 piani a Shanghai e hanno denunciato singoli agenti dell'intelligence. Ci sono poche possibilità che vengano effettuati arresti, dal momento che gli Stati Uniti non hanno accordi di estradizione con la Cina, ma il governo degli Stati Uniti a quanto pare spera che nominare agenti reali - e dimostrare che è possibile rintracciare gli attacchi - metterà in imbarazzo la Cina e avviserà le altre nazioni, inibire il futuro spionaggio economico.

Questa storia faceva parte del nostro numero di luglio 2015

• Vedi il resto del problema
• sottoscrivi

Potrebbe non essere realistico. Le società di sicurezza affermano che tale attività sta continuando e la Cina definisce le accuse puramente infondate e assurde. Ma c'è un'altra lezione dall'accusa: ora è improbabile che le aziende mantengano al sicuro le informazioni preziose online. Qualunque cosa stiano facendo, non stanno al passo con le minacce. Chiaramente la situazione è peggiorata, non migliorata, afferma Virgil Gligor, che co-dirige il centro di ricerca sulla sicurezza informatica della Carnegie Mellon University, noto come CyLab. Abbiamo reso l'accesso ai servizi, alle banche dati e alla connettività così conveniente da essere conveniente anche per i nostri avversari. Una volta che le aziende lo accettano, afferma Gligor, la risposta più ovvia è drastica: scollegare.

Fracking e hacking

Seduto a un piccolo tavolo da conferenza nel suo ufficio nel tribunale federale di Pittsburgh, David Hickton, procuratore degli Stati Uniti per la Pennsylvania occidentale, ha aperto un contenitore di plastica che aveva portato da casa, ha rimosso e sbucciato un uovo sodo per pranzo. Sebbene stessimo discutendo di un'indagine che coinvolge attori globali e tecnologie opache, l'atmosfera familiare del nostro incontro era appropriata: il caso aveva molte radici in circoli economici e politici affiatati a Pittsburgh. Hickton mi ha mostrato una foto incorniciata su uno scaffale. Nella foto, lui e un amico di nome John Surma sono in piedi accanto ai loro figli, i ragazzi che indossano uniformi da hockey, freschi di ghiaccio. Entrambi i padri avevano frequentato la Penn State. Con l'ascesa di Hickton nei ranghi dei pubblici ministeri, Surma è cresciuta nel mondo aziendale, diventando CEO di US Steel. Quando Hickton è diventato il massimo procuratore federale della zona nel 2010, una delle sue colazioni di saluto è stata con Surma e Leo Girard, il capo della United Steelworkers, che rappresenta 1,2 milioni di lavoratori attuali o in pensione in diversi settori. Chiedevo loro, in una questione del tutto indipendente, di far parte di un consiglio per la prevenzione della criminalità giovanile, ricorda Hickton. Dissero: 'Possiamo parlarti di qualcos'altro?'

A quel tempo, il boom del fracking americano era in pieno svolgimento, con tassi di interesse ultra bassi che erano stati fissati per stimolare l'economia, lubrificando anche l'attività di estrazione di gas naturale e petrolio precedentemente difficili da raggiungere. US Steel aveva una fiorente attività di vendita di tubi appositamente progettati per il processo di estrazione. Tra le altre caratteristiche, i tubi non hanno cuciture verticali, quindi reggeranno mentre vengono speronati per migliaia di piedi nella terra e tuttavia si piegano per trasportare petrolio e gas senza rompersi.

Dobbiamo pagare il costo della sicurezza, che è il disagio.

Ma anche la US Steel ha notato due sviluppi inquietanti. In primo luogo, le società statali cinesi esportavano lotti di tubi simili negli Stati Uniti a prezzi bassi. Quindi US Steel ha presentato denunce al Dipartimento del Commercio degli Stati Uniti e alla Commissione per il commercio internazionale degli Stati Uniti, accusando la Cina di sovvenzionare le sue industrie; i casi risultanti alla fine hanno portato a sanzioni contro la Cina. In secondo luogo, sia l'azienda che il sindacato erano consapevoli dell'arrivo di e-mail sospette. Ma non era chiaro chi ci fosse dietro o se si stessero verificando danni. C'era una consapevolezza generale delle intrusioni, ma non del 'quando, dove, come' e della portata, dice Hickton.

Le e-mail sono state progettate in modo intelligente. Pretendevano di provenire da colleghi o membri del consiglio, con argomenti relativi all'ordine del giorno di riunioni o ricerche di mercato, ma fornivano malware tramite allegati o collegamenti. Ad esempio, l'accusa afferma che l'8 febbraio 2010, due settimane prima di una pronuncia pregiudiziale del Dipartimento del Commercio, gli hacker hanno inviato un'e-mail a diversi dipendenti della US Steel. Sembrava provenire dal CEO, ma includeva un collegamento a un sito Web che conteneva malware. Alcuni dipendenti hanno fatto clic e i loro computer sono stati presto infettati. Il risultato: gli hacker hanno rubato i nomi host di 1.700 server che controllavano l'accesso alle strutture e alle reti dell'azienda. L'accusa afferma che Wang ha quindi cercato di sfruttare tale accesso, ma non specifica quali informazioni sono state esposte.

Debbie Shon, vicepresidente per il commercio di US Steel, mi ha detto che le informazioni includevano preziose informazioni aziendali. Non erano design high-tech, dice. Erano le cose altrettanto importanti: le strategie aziendali, i prezzi, gli importi di produzione, i tempi e il contenuto di eventuali reclami commerciali che US Steel, in quanto una delle più grandi aziende in questo settore, potrebbe esplorare.

L'accusa descrive in dettaglio diversi attacchi simili. Tra il 2007 e il 2013, Westinghouse stava negoziando i dettagli di un contratto con una società cinese per la costruzione di quattro reattori nucleari. Dal 2010 al 2012, uno degli imputati avrebbe rubato almeno 1,4 gigabyte di dati, circa 700.000 pagine di e-mail e allegati, dai computer di Westinghouse. I file includevano progetti di tubazioni e comunicazioni in cui Westinghouse rivelava preoccupazioni per la concorrenza cinese. In ATI, gli hacker avrebbero rubato le password di 7.000 dipendenti mentre l'azienda era impegnata in una disputa commerciale incentrata sulle sue vendite in Cina. Ad Alcoa, secondo i pubblici ministeri, gli hacker hanno rubato 2.900 e-mail con più di 860 allegati nel periodo in cui la società stava negoziando accordi con le imprese cinesi. (Alcoa, Westinghouse e ATI hanno rifiutato di commentare questa storia.) E nel 2012, dopo che il sindacato dei lavoratori siderurgici ha iniziato a parlare contro le politiche industriali cinesi, Wen ha rubato e-mail contenenti discussioni tra i leader sindacali, afferma l'accusa.

Nel frattempo, SolarWorld aveva portato casi commerciali accusando le aziende cinesi di vendere pannelli solari sottocosto, decimando i loro rivali. Un giorno, nel 2012, un telefono squillò nei suoi uffici di Camarillo, in California. È stata l'FBI a chiamare, dicendo che gli agenti avevano scoperto e-mail rubate dalla società, afferma Ben Santarris, il suo portavoce degli Stati Uniti. In un segno di quanto sia pessima la sicurezza informatica, non c'era alcun sentore che stesse succedendo fino a quando non abbiamo ricevuto la telefonata, dice. Solo quando l'atto d'accusa è stato aperto nel maggio 2014 la società ha appreso l'intera portata del presunto furto. C'era accesso alla strategia del caso commerciale, ai dati finanziari dell'azienda, ai costi, alle dichiarazioni di profitti e perdite, alle road map tecnologiche, alla ricerca e allo sviluppo e così via, afferma Santarris. Alla fine l'azienda ha vinto le sue cause, assicurandosi dazi sulle importazioni di apparecchiature solari dalla Cina. Durante la disputa commerciale, stavamo osservando controlli molto severi su chi può vedere quali informazioni, dice. Nel momento in cui lo stavamo facendo, secondo l'FBI, l'esercito cinese stava entrando dalla porta sul retro.

Mettilo giù per iscritto

Il fallimento delle presunte tecnologie di sicurezza delle aziende è stato stupefacente. Lance Wyatt, il direttore IT del sindacato dei lavoratori siderurgici, pensava di gestire una nave ristretta. Un audit IT nel 2010 non ha riscontrato gravi carenze. Il suo server di posta elettronica ha controllato tutti i messaggi in arrivo per gli allegati che contenevano codice eseguibile. Aveva l'ultimo software antivirus. La sua rete ha controllato gli indirizzi IP per evitare i siti che contenevano malware. Eppure Wyatt e l'FBI alla fine hanno trovato computer infetti, uno dei quali utilizzato dal travel manager del sindacato. Nessuna di quelle macchine era sul nostro radar come infetta o sospetta, dice.

Secondo l'accusa, gli hacker avevano vari mezzi di travestimento. Per prima cosa, avrebbero inviato e-mail dannose alle aziende e al sindacato da punti di passaggio: computer intermedi, incluso uno in Kansas, che erano sotto il loro controllo. In secondo luogo, hanno abilmente manipolato il sistema di Internet per la denominazione degli indirizzi dei computer. Gli hacker hanno impostato nomi di dominio come arrowservice.net e purpledaily.com e hanno programmato malware sui computer delle vittime aziendali per contattarli. Quindi le spie potrebbero cambiare continuamente gli indirizzi dei computer a cui si collegavano i nomi di dominio. Quando era giorno a Shanghai e notte a Pittsburgh, afferma l'accusa, avrebbero impostato un nome di dominio per connettersi a computer hop-point e condurre attività di spionaggio. Al termine della giornata lavorativa di Shanghai, gli hacker avrebbero impostato l'indirizzo per connettersi a siti innocui come le pagine di Yahoo.

Non sorprende che tali sistemi siano relativamente facili da cooptare per scopi nefasti. Le idee per rendere Internet più sicuro esistono da decenni e laboratori accademici e governativi hanno sfornato proposte interessanti. Eppure pochissime di queste idee sono state implementate; richiedono un'adozione su vasta scala e possibilmente compromessi nelle prestazioni della rete. Non si sente più parlare di ricostruire Internet, afferma Greg Shannon, scienziato capo presso la divisione CERT del Software Engineering Institute di Carnegie Mellon.

Cosa deve fare un'azienda? Wyatt ha inasprito le cose alla United Steelworkers; tra le altre cose, ora concede a meno dipendenti i cosiddetti privilegi amministrativi sui loro computer e cerca nella rete i segnali rivelatori delle comunicazioni da parte di malware. Ma niente di tutto questo avrebbe impedito le intrusioni. Wyatt dice che potrebbe averli rallentati.

L'opzione migliore, quindi, potrebbe essere quella di eliminare completamente i dati sensibili da Internet. Ci sono aspetti negativi: se la posta elettronica non viene utilizzata liberamente o se un database è offline, tenersi al passo con le ultime versioni di report o altri dati potrebbe richiedere più tempo. Ma come dice Gligor: dobbiamo pagare il costo della sicurezza, che è il disagio. Dobbiamo aggiungere un piccolo inconveniente per rendere le cose molto più difficili per l'attaccante remoto. Il modo per farlo è, come dovrei metterlo?, occasionalmente andare offline.

Dopotutto, si verificano ancora altri attacchi come quelli di Pittsburgh. Questa accusa, dice Hickton, non rappresenta il numero completo di hacker, il numero completo delle vittime o il numero completo degli imputati.

— David Talbot

nascondere