Lettonia, dati rubati e truffe

Chiunque abbia registrato un’auto in Lettonia dal 2008 in poi ha ora un problema. Gli aggressori sono entrati nei sistemi della direzione lettone per la sicurezza stradale, la CSDD, e hanno portato via ricevute di pagamento riconducibili a circa 1,2 milioni di persone e a circa 150.000-200.000 aziende (LSM, BNN). In un Paese con meno di due milioni di abitanti, significa gran parte della popolazione adulta. Nessun conto corrente è stato svuotato. I criminali hanno ottenuto invece la materia prima per costruire truffe credibili, destinata a restare utile a lungo, perché gli archivi coprono quasi vent’anni.

Che cosa sa ora un truffatore

I dati sottratti somigliano a un fascicolo personale. Nomi, codici identificativi nazionali, targhe dei veicoli, importi pagati, date dei pagamenti e l’indirizzo di casa registrato al momento in cui si è usato un servizio (tezinas.lv, inbox.lv). Numeri di telefono, indirizzi email, dati bancari e credenziali di accesso non sono finiti nelle mani degli aggressori (NRA). Sembra rassicurante, finché non si immagina la telefonata: una voce cita il codice identificativo corretto, la targa dell’auto, l’importo esatto versato l’anno scorso e l’indirizzo in cui si abitava al momento del pagamento. Molti non riattaccherebbero.

Il solo codice identificativo non consente di aprire gli strumenti di identità digitale lettoni, come Smart-ID o Mobile-ID. Ma un truffatore che lo conosca può avviare un tentativo di accesso, far comparire sul telefono una richiesta di approvazione e poi chiamare fingendosi la CSDD o la banca proprio mentre la vittima guarda quella notifica, spingendola a premere «approva» (NRA). Nel giro di pochi giorni dalla comunicazione dell’incidente circolavano già email e SMS falsi con il marchio CSDD (Delfi, tezinas.lv). La finestra per le frodi resterà aperta: gli archivi includono anche persone che registrarono un’auto nel 2008 e poi hanno lasciato il Paese (LSM).

Mancavano le serrature di base

L’intrusione è cominciata nel fine settimana del 7-8 agosto. CERT.LV, l’organismo nazionale lettone per la risposta agli incidenti informatici, ha ricevuto la notifica solo la sera di lunedì 10 agosto (NRA). La CSDD ha informato il pubblico il 13 agosto che il sito era stato colpito da un attacco. Le dimensioni complete della falla sono arrivate all’opinione pubblica solo il 18 agosto (eng.lsm.lv, LSM).

Il problema non aveva nulla di esotico. Secondo la stampa lettone, la CSDD non rispettava diversi requisiti previsti per i sistemi classificati al massimo livello di sensibilità, cioè quelli che conservano abbastanza dati personali da incidere su gran parte della popolazione. Mancava l’autenticazione a più fattori, che richiede una password e una seconda conferma per accedere. Mancavano anche i test di penetrazione, cioè tentativi pagati di violare i sistemi prima che lo facciano veri aggressori (BauskasDzīve/LETA, Delfi).

CERT.LV aveva offerto da gennaio ad aprile di installare sensori di monitoraggio della rete, in sostanza rilevatori di fumo per il traffico sospetto. Il sistema si stava mettendo in piedi solo dopo la violazione (LA.lv).

La ricaduta politica è stata rapida. Il presidente Edgars Rinkēvičs ha detto che i vertici della CSDD non dovevano restare al loro posto e ha chiesto alla procura di esaminare il caso. Sia il consiglio di amministrazione sia il consiglio della CSDD si sono dimessi (Delfi, Kauno diena). Un altro guasto informatico aveva già costretto, all’inizio del mese, a chiudere il valico di Pāternieki con la Bielorussia, trasformando la resilienza dei sistemi informatici statali lettoni in una questione politica prima ancora che la falla della CSDD la rendesse più urgente.

Uno schema, non un’eccezione

La Lettonia non è sola. La Lituania ha reso noto quest’anno che, secondo i pubblici ministeri, oltre 600.000 record sarebbero stati copiati illegalmente dal registro nazionale delle proprietà e delle persone giuridiche, con accessi non autorizzati avvenuti attraverso sistemi collegati di altre istituzioni (LRT). Il percorso dell’attacco era diverso, l’esito familiare: dati amministrativi rubati, chiarezza pubblica arrivata in ritardo e avvisi sul rischio che i criminali si spacciassero per uffici dello Stato (LRT).

Le norme europee considerano già sia i sistemi di trasporto sia i registri pubblici infrastrutture critiche nell’ambito di NIS2, la direttiva aggiornata dell’UE sulla cibersicurezza. La legge impone una comunicazione rapida degli incidenti e attribuisce alle autorità di controllo poteri sanzionatori (ENISA, The Record). Ma quando a fallire è un ente pubblico e non un’azienda privata, la responsabilità passa più spesso da audit e pressione politica che da multe.

La violazione della CSDD non richiedeva un’operazione sofisticata da servizi segreti. Bastava un sistema esposto a Internet in cui mancavano le basi. L’amministrazione digitale europea poggia su registri interconnessi che custodiscono decenni di dati amministrativi, mentre i governi continuano a chiedere ai cittadini di affidare a quei registri porzioni sempre più ampie della vita quotidiana. Quella fiducia dipende ormai meno dalla costruzione di nuovi servizi digitali, per quanto luccicanti, che dal far funzionare prima le cose noiose: password, controlli sugli accessi, registri di attività, sensori d’allarme. Prima che qualcuno le metta alla prova.