L’attacco informatico che ha coinvolto gli aeroporti di Manchester, Londra Stansted ed East Midlands non ha bloccato i voli, compromesso la sicurezza dei passeggeri o mandato in tilt i sistemi aeroportuali. Ha prodotto qualcosa di meno spettacolare e, per certi versi, più difficile da rimediare: la sottrazione dei dati personali riconducibili a circa 8,7 milioni di clienti.
La vicenda riguarda il Manchester Airports Group, gestore dei tre scali britannici, e interessa anche l’Italia. L’Agenzia per la cybersicurezza nazionale ha precisato che, sulla base delle informazioni disponibili, non risultano incidenti in corso negli aeroporti italiani e non sono stati rilevati indicatori di un aumento di questa specifica minaccia. L’ACN sta comunque monitorando, attraverso CSIRT Italia, l’evoluzione dell’evento, le possibili ricadute nazionali e anche i fenomeni di disinformazione che potrebbero accompagnarlo.
L’assenza di un incidente negli scali italiani, però, non significa che nessun cittadino italiano sia coinvolto. L’Agenzia osserva correttamente che tra le persone transitate negli aeroporti britannici potrebbero esserci nostri connazionali i cui dati sono stati acquisiti dagli attaccanti; un’eventualità ovvia, considerando il traffico fra l’Italia e gli aeroporti di Manchester e Stansted, ma che traduce un fatto apparentemente estero in un problema molto più vicino.
Quanto avvenuto è stato ricostruito solo in parte. Il Manchester Airports Group ha confermato che una terza parte non autorizzata ha ottenuto dati provenienti dalle prenotazioni dei parcheggi, delle lounge e dei servizi Fast Track, oltre che dalle registrazioni al Wi-Fi degli aeroporti. Le informazioni compromesse comprendono indirizzi e-mail, numeri telefonici, codici postali e targhe dei veicoli; i sistemi interessati, secondo la società, non contenevano dati bancari o relativi ai pagamenti.
MAG afferma di avere circoscritto il rischio, limitato l’accesso ai sistemi coinvolti, incaricato specialisti esterni e informato le autorità competenti. I voli e i parcheggi hanno continuato a funzionare, le prenotazioni già effettuate restano valide e la sicurezza aeroportuale non sarebbe mai stata compromessa. È stato invece sospeso temporaneamente, in via precauzionale, il servizio online “Manage My Booking”; chi deve modificare con urgenza una prenotazione è stato invitato a contattare l’assistenza, mentre cancellazioni e variazioni riconducibili all’incidente possono essere effettuate senza costi.
Fin qui arrivano le informazioni ufficiali. Secondo la ricostruzione giornalistica ripresa da Sky TG24, gli autori dell’attacco avrebbero domandato un riscatto, di importo non reso noto, che la società avrebbe rifiutato di pagare seguendo le indicazioni delle autorità. Il gruppo criminale sarebbe già conosciuto per operazioni simili condotte in varie parti del mondo, ma al momento non è stato identificato pubblicamente dal gestore né risulta un’attribuzione ufficiale che consenta di dargli un nome senza affidarsi alle congetture.
Altre fonti britanniche riferiscono che attività sospette sarebbero state rilevate durante il fine settimana e che la violazione sarebbe stata scoperta il martedì successivo. Sono dettagli utili per comprendere la possibile sequenza dell’incidente, ma restano una ricostruzione giornalistica: MAG non ha ancora pubblicato una relazione tecnica completa sull’accesso iniziale, sul tempo di permanenza degli aggressori, sui sistemi attraversati e sulla quantità di dati effettivamente estratti per ciascuna categoria.
Anche il termine ransomware, utilizzato in molti titoli, richiede qualche cautela. Sulla base di ciò che è stato reso pubblico, non risultano sistemi cifrati dagli attaccanti, richieste economiche per ripristinare l’operatività o servizi aeroportuali paralizzati. Il quadro assomiglia piuttosto a una sottrazione di dati seguita da estorsione: il criminale porta via le informazioni e chiede denaro in cambio della promessa di non pubblicarle, venderle o utilizzarle.
La differenza non è un capriccio terminologico. Nel ransomware tradizionale il pagamento viene presentato come il prezzo necessario per ottenere una chiave di decifratura e riavviare i sistemi; nell’estorsione basata esclusivamente sull’esfiltrazione, il dato ha già lasciato il perimetro dell’organizzazione. Anche se il denaro viene versato, nessuno può verificare che tutte le copie siano state distrutte, che non ne esistano altre presso affiliati del gruppo o che le informazioni non ricompaiano mesi dopo, quando collegare la diffusione all’incidente originario diventa più difficile.
Il National Cyber Security Centre britannico ricorda che il pagamento non garantisce la restituzione dei dati, la loro cancellazione o la cessazione degli attacchi; può, al contrario, segnalare che l’organizzazione è disposta a pagare e renderla più appetibile per future estorsioni. Rimane inoltre necessario verificare che il destinatario non sia sottoposto a sanzioni economiche: in quel caso il trasferimento potrebbe essere illecito indipendentemente dalle ragioni commerciali utilizzate per giustificarlo.
Nemmeno la disciplina sulla protezione dei dati personali offre scorciatoie. L’Information Commissioner’s Office chiarisce che pagare un riscatto non riduce automaticamente la responsabilità dell’organizzazione e non sostituisce gli obblighi di sicurezza, valutazione del rischio, notifica e comunicazione agli interessati. Il pagamento può essere una scelta aziendale compiuta in una situazione estrema; non diventa per questo una misura tecnica o organizzativa adeguata, né cancella le carenze che hanno consentito l’accesso.
Il rifiuto di MAG appare dunque coerente con le indicazioni delle autorità britanniche, soprattutto perché i sistemi operativi non risultavano bloccati. Non basta tuttavia a esprimere un giudizio positivo sull’intera gestione dell’incidente. Dire di non avere finanziato i criminali è importante; spiegare come 8,7 milioni di record siano diventati accessibili, per quanto tempo siano stati conservati e quali controlli avrebbero dovuto proteggerli è un’altra questione, sulla quale serviranno informazioni che oggi non possediamo.
L’assenza di numeri di carta e credenziali bancarie riduce alcune conseguenze immediate, senza rendere innocui i dati sottratti. Un messaggio che conosce l’aeroporto utilizzato, il parcheggio prenotato, il numero di telefono, il codice postale o perfino la targa può risultare molto più credibile di una normale e-mail di phishing. Il pagamento può essere chiesto nel secondo momento: un falso rimborso, una modifica urgente della prenotazione, un supplemento per il parcheggio o una verifica della carta apparentemente richiesta dall’aeroporto.
MAG ha infatti avvertito gli interessati che non li contatterà inaspettatamente per chiedere dati bancari, numeri di carta o password. Il pericolo più plausibile, almeno nell’immediato, non è che qualcuno utilizzi direttamente informazioni finanziarie rubate, che il gestore dichiara non essere presenti nei sistemi compromessi; è che sfrutti i dati autentici già acquisiti per convincere le vittime a consegnargli quelli mancanti.
Su questo punto interviene anche l’avviso dell’ACN, che invita chi è transitato negli aeroporti coinvolti a prestare attenzione a e-mail, SMS e telefonate sospette, evitando allegati e collegamenti contenuti in comunicazioni impreviste. L’indicazione pratica è semplice: se arriva un messaggio relativo a una prenotazione, a un rimborso o a un pagamento, bisogna raggiungere il sito ufficiale digitandone direttamente l’indirizzo o utilizzare i recapiti pubblicati dal gestore, senza seguire il percorso preparato dal mittente.
L’Agenzia richiama inoltre la scarsa sicurezza dei servizi Wi-Fi pubblici e raccomanda di non utilizzarli per operazioni bancarie o amministrative; quando l’accesso è necessario, consiglia di attivare preventivamente una VPN. È un richiamo corretto, ma deve essere letto senza sovrapporre due problemi diversi.
Una VPN può proteggere il traffico fra il dispositivo e il punto di uscita della rete, riducendo i rischi connessi a una connessione non affidabile. Non può impedire che venga compromesso il database nel quale il gestore conserva l’indirizzo e-mail fornito per registrarsi al Wi-Fi, né può rendere invisibili all’operatore i dati inseriti direttamente nei suoi moduli. In altre parole, protegge il viaggio dell’informazione, non necessariamente il luogo nel quale l’informazione viene depositata.
Confondere i due piani rischia di trasferire sull’utente una responsabilità che appartiene soprattutto all’organizzazione. Chi utilizza un Wi-Fi pubblico deve comportarsi con prudenza; chi raccoglie milioni di indirizzi per offrire quella connessione deve stabilire quali informazioni siano davvero necessarie, per quanto tempo vadano conservate, chi possa accedervi e come debbano essere separate dagli altri sistemi. La sicurezza personale non sostituisce la sicurezza del trattamento.
L’incidente offre, da questo punto di vista, una lezione meno appariscente del consueto aeroporto paralizzato dai monitor spenti. I sistemi dedicati ai parcheggi, alle lounge, al Fast Track e alla connettività possono sembrare periferici rispetto al controllo dei voli, ma raccolgono dati su una scala enorme. La separazione dalle infrastrutture operative ha probabilmente contribuito a evitare conseguenze sulla sicurezza aerea; non autorizza a considerarli servizi minori, ai quali destinare controlli meno maturi perché “tanto non fanno volare gli aerei”.
Bisognerà comprendere se i dati fossero adeguatamente segmentati, se gli accessi fossero limitati e monitorati, quali tempi di conservazione fossero applicati e quanto rapidamente MAG sia riuscita a rilevare l’esfiltrazione. Sarà inoltre necessario verificare la correttezza delle notifiche, l’efficacia delle comunicazioni inviate agli interessati e la capacità di prevenire campagne di phishing costruite sulle informazioni rubate.
La vicenda non dimostra che pagare sia sempre sbagliato in qualunque incidente immaginabile; dimostra qualcosa di più concreto: quando il dato è stato copiato, il riscatto compra soltanto una promessa formulata da chi ha appena violato i sistemi e sottratto le informazioni. Rifiutare quella promessa può essere la decisione giusta, ma la vera difesa viene molto prima, quando si decide quanto raccogliere, quanto conservare e quanto seriamente proteggere persino la registrazione al Wi-Fi di un aeroporto.