Non è una questione di se si sarà attaccati, ma di quando. Un articolo odierno della sezione “News and Views” di Nature ci ricorda una cosa ovvia, cui dovremmo prestare attenzione per tempo: tutte le istituzioni di ricerca, e le università in modo particolare, sono facili bersagli per attacchi ransomware da parte di hacker informatici. Un attacco ransomware, lo ricordo, consiste nell’infiltrare un sistema informatico con un codice maligno, che rende quel sistema inaccessibile salvo a chi ha perpetrato l’attacco stesso, il quale poi chiederà un riscatto per ripristinare la normale operatività – salvo naturalmente vendere ogni informazione di valore ricavabile per incrementare ulteriormente il guadagno.
Negli ultimi anni, ci ricorda Nature, attacchi informatici di questo tipo hanno colpito istituzioni, tra cui la British Library di Londra e l’Università di Manchester nel Regno Unito, la Carnegie Mellon University di Pittsburgh, in Pennsylvania, la Stanford University in California, oltre che (recentemente e a opera di gruppi russi) varie istituzioni tedesche, fra cui il museo di storia naturale di Berlino e l’università di scienze applicate e tecnologie della stessa città.
Le conseguenze, anche nel caso in cui si riesca a ripristinare i sistemi, sono devastanti: in genere, è necessario separare da Internet i sistemi colpiti per procedere alla loro bonifica, il che significa per esempio la perdita almeno temporanea di tutti i servizi telematici di un’istituzione, dalle e-mail universitarie, alle prenotazioni degli esami, all’accesso a ogni banca dati dell’istituzione, fino all’impossibilità di procedere ad acquisti o alla rendicontazione di un progetto di ricerca.
Altri effetti dannosi dipendono dalle circostanze: nella citata università di Berlino, per esempio, circa un centinaio di studenti non hanno potuto completare la procedura di iscrizione telematica, per cui, alla fine, hanno scelto altre università, mentre per esempio, sempre a Berlino, un attacco dello scorso giugno contro il Centro Helmholtz Centre per i Materiali e le Energie ha reso impossibile per mesi l’accesso ai software necessari per le normali attività di ricerca.
Le ragioni che rendono le istituzioni universitarie e di ricerca attraenti per i pirati informatici sono semplici: innanzitutto, sono spesso protette in modo molto debole, perché gli investimenti in sicurezza informatica sono molto limitati e perché la loro struttura intrinsecamente aperta e collaborativa implica uno scarso controllo all’accesso. Inoltre, anche se vi sono poche istituzioni, come è il caso di Stanford, che possiedono bilanci di entità tale da poter chiedere riscatti ricchi, in realtà le stesse informazioni e la proprietà intellettuale potenzialmente depredabile costituiscono un richiamo.
Infine, come sta capitando in Germania, l’infrastruttura universitaria e di ricerca costituisce un bersaglio rilevante anche per la guerra ibrida, dato il caos che è possibile facilmente causare e le conseguenze per un’ampia fetta della popolazione di un paese avversario.
Per queste e altre ragioni, è assolutamente urgente che, anche nel nostro paese, si proceda al più presto con una presa di coscienza della vulnerabilità e della criticità delle infrastrutture informatiche di ricerca, cui deve seguire l’implementazione rapida di una serie di misure anche elementari di protezione.
Gli accessi con doppia verifica, la ridondanza dei sistemi critici con riserva off-line, il monitoraggio e le prove periodiche di intrusione sono tutti esempi di misure ben consolidate e di attuazione relativamente semplice che dovrebbero essere presi al più presto in considerazione; oltre a queste e altre misure immediate, sarebbe bene in un tempo magari un po’ più lungo pensare a uno standard di sicurezza condiviso per tutta la rete universitaria e di ricerca nazionale, in modo da semplificare sia il controllo sia soprattutto da evitare un pericoloso “fai da te” che può portare all’adozione di scelte non ottimali. Gli attacchi al sistema sanitario pubblico e privato del nostro paese sono già cominciati; la campana sta già quindi suonando, vi presteremo attenzione per tempo?