L’FSB entra dai router dimenticati

Da qualche parte, in un armadio tecnico del vostro edificio, c'è un router. Lo hanno installato anni fa, gira con un firmware che nessuno aggiorna più e accetta ancora la password impostata in fabbrica. Funziona, dunque nessuno lo tocca. Proprio questa invisibilità lo rende utile all'intelligence russa.

Un avviso congiunto pubblicato questo mese da NSA, FBI e agenzie di intelligence di almeno otto Paesi europei ha indicato una specifica unità russa, il Centro 16 dell'FSB, come responsabile dello sfruttamento sistematico di questi dispositivi dimenticati (CISA). La coalizione comprende Francia, Italia, Polonia, Svezia, Finlandia, Estonia, Danimarca e Repubblica Ceca (NCSC NZ). L'allarme è multinazionale e tratta l'igiene dei router come una vulnerabilità condivisa dell'Occidente.

Come la pianta dell'edificio finisce fuori dalla porta

Molti router mantengono ancora attiva una vecchia funzione di controllo remoto, pensata per consentire agli amministratori di gestire gli apparati attraverso una rete. Gli ingegneri la chiamano SNMP. Le versioni originarie, progettate decenni fa, hanno protezioni quasi inesistenti: la "password" è una breve stringa di testo, spesso lasciata al valore di fabbrica, letteralmente "public" o "private". Chiunque scandagli internet può indovinarla (CISA).

Una volta entrato, l'attaccante ordina al router di copiare il proprio file di configurazione e di inviarlo a un server sotto il suo controllo (NSA). Quel file è il taccuino del router: quali dispositivi esistono nella rete, come si muove il traffico tra di essi e, talvolta, dove si trovano le credenziali di accesso. L'attaccante ottiene così una mappa interna dell'organizzazione e, spesso, le chiavi per penetrare più a fondo.

La dinamica è quella di una spia che prova le porte finché ne trova una aperta, fotocopia la pianta dell'edificio, legge l'elenco telefonico interno e capisce dove si tengono le chiavi. Il centro finlandese per la cybersicurezza l'ha spiegata in termini pratici: dispositivi di rete debolmente protetti aprono una via agli attacchi informatici e le organizzazioni non dovrebbero lasciare questi pannelli di controllo remoto esposti su internet (Kyberturvallisuuskeskus).

La dorsale delle economie europee, esposta

L'avviso elenca i settori presi di mira: comunicazioni, energia, servizi finanziari, pubblica amministrazione, industria della difesa e sanità (CISA). È, in sostanza, la dorsale di qualunque economia europea.

La copertura tedesca ha messo in evidenza l'asimmetria: router e apparati simili di frontiera, cioè le macchine collocate tra un'organizzazione e internet aperta, ricevono meno attenzione di server e laptop, sebbene basti una configurazione sbagliata perché un attaccante inizi a mappare una rete (Handelsblatt, cyberdeutsch.news). I servizi italiani AISE e AISI hanno cofirmato l'avviso (Decode39). L'intelligence finlandese Supo ha diffuso in parallelo un'allerta nazionale rivolta alle imprese e ai settori critici (Supo).

Il rischio non si ferma alla prima vittima. Un router compromesso può diventare un indirizzo di inoltro per l'attaccante: il traffico ostile successivo passa attraverso la rete della vittima e sembra provenire da un'impresa europea affidabile. In questo modo la presenza dell'attaccante viene ripulita e il rilevamento diventa più difficile per ogni partner e fornitore della catena (AttackIQ).

La correzione è noiosa, ed è proprio questo il problema

Le difese raccomandate sono volutamente poco scenografiche: disattivare le vecchie versioni di SNMP, passare a SNMPv3, che richiede un'autenticazione reale, cambiare le password di fabbrica, limitare la gestione remota alle reti conosciute, aggiornare il firmware e sostituire i dispositivi che non ricevono più patch (NSA). Il centro finlandese per la cybersicurezza ha aggiunto un'altra misura: raccogliere e conservare i log per un periodo compreso tra sei e ventiquattro mesi (Kyberturvallisuuskeskus).

Ogni voce di questa lista riguarda interventi che un reparto IT può fare subito, senza nuove norme né briefing riservati. Il divario non è nella conoscenza, ma nella priorità. Un ospedale o un ufficio comunale possono avere un'ottima sicurezza sui laptop, mentre il router di una sede periferica conserva ancora la password con cui è uscito dalla scatola nel 2018.

È questo lo schema su cui venti Paesi stanno lanciando l'allarme. L'intelligence statale russa non sta sfondando difese avanzate: passa da sportelli di manutenzione che nessuno ha mai chiuso a chiave. Lo spionaggio scala perché lo stesso piccolo errore di manutenzione si ripete in migliaia di reti.