Ransomware blocca i sistemi forestali lettoni

Serviva un permesso di caccia, una mappa forestale o un dato sulle consegne di legname, e d'un tratto i sistemi erano spenti. Il 22 giugno un attacco informatico ha colpito Latvijas valsts meži (LVM), la società forestale statale lettone, mettendo fuori uso circa metà dell'infrastruttura IT proprio durante Jāņi, la festa di mezz'estate, quando davanti agli schermi c'era meno personale (LTV).

LVM ha sospeso per precauzione i servizi pubblici: mappe digitali, app venatoria Mednis e scambi di dati con i partner. La società ha avviato il ripristino dai backup e ha escluso qualsiasi collaborazione con l'attaccante. CERT.LV, la squadra lettone di risposta agli incidenti informatici, ha confermato che materiale sottratto era finito online, mentre gli investigatori stavano ancora verificando quali dati fossero stati effettivamente prelevati. La valutazione: un'operazione estorsiva a fini commerciali, non una campagna legata a uno Stato (LTV). Un gruppo criminale in cerca di profitto ha bloccato servizi che i cittadini usano ogni giorno.

Vecchi impianti dietro pareti nuove

Una grande organizzazione pubblica assomiglia spesso a un edificio ristrutturato: l'atrio è moderno, con portali web, app mobili e mappe interattive, ma dietro le pareti restano vecchi impianti. Sistemi di accesso nati prima delle protezioni di sicurezza attuali, connessioni remote dei fornitori che nessuno controlla da anni. Sono punti deboli invisibili al pubblico, ma sono le prime porte che gli aggressori provano ad aprire.

Le bande ransomware entrano di solito con una password rubata o attraverso un sistema non aggiornato, poi lavorano in silenzio per trasformare un accesso di basso livello in controllo amministrativo completo, spostandosi da una stanza all'altra dell'edificio metaforico fino a ottenere la chiave maestra. Quando compare la richiesta di riscatto, l'intruso può essere dentro da settimane (CISA). Secondo LTV, le sonde contro i sistemi di sicurezza di LVM erano iniziate prima della data in cui l'attacco è diventato visibile (LTV).

Le organizzazioni pubbliche sono particolarmente esposte perché non possono permettersi lunghi fermi e, durante cicli di aggiornamento che durano anni, devono far convivere tecnologie vecchie e nuove (CISA, CrowdStrike). È nelle giunture fra infrastrutture legacy e sistemi moderni che la sicurezza tende a cedere.

Il modello alla porta accanto

L'attacco in Lettonia si inserisce in un problema regionale più ampio. In Lituania, le autorità indagano sul furto di oltre 600.000 estratti del Registro immobiliare, compresi codici personali di identificazione, sottratti all'operatore statale Registrų centras (LRT). Il varco è passato da account di dipendenti rubati, con i primi accessi illeciti risalenti all'inizio del 2026; l'opinione pubblica lo ha saputo solo mesi dopo (TV3). Circa 1.000 persone si preparavano a fare causa allo Stato (Verslo žinios).

I due casi sono tecnicamente diversi, ma mostrano la stessa falla: sistemi digitali civili che gestiscono pezzi ordinari della vita pubblica, lasciati con difese insufficienti. La Germania ha già mostrato dove può portare questa vulnerabilità. Nel 2021, il distretto di Anhalt-Bitterfeld dichiarò lo stato di catastrofe dopo un attacco ransomware, con servizi ai cittadini interrotti per settimane (Landkreis Anhalt-Bitterfeld).

Le nuove regole davanti a un blackout reale

NIS2 è la direttiva UE che porta la resilienza informatica sul tavolo dei vertici aziendali e pubblici. Gli operatori di servizi essenziali devono inviare un preallarme entro 24 ore dal rilevamento di un incidente, una notifica dettagliata entro 72 ore e una relazione finale entro un mese (EUR-Lex). La responsabilità del rischio cyber ricade personalmente sull'alta dirigenza (European Commission).

La Lettonia ha recepito NIS2 nel diritto nazionale con effetto da settembre 2024, mentre i requisiti minimi di cybersicurezza entreranno in vigore nel luglio 2025 (Business.gov.lv). Dopo l'attacco a LVM, il primo ministro ad interim lettone ha firmato cinque risoluzioni che impongono ai ministeri di riferire sulla sicurezza dei sistemi statali e sul modo in cui le informazioni sugli incidenti circolano dentro il governo (Kulbergs). Ha collegato l'episodio a regolamenti di cybersicurezza rimasti in ritardo, riconoscendo che le norme scritte valgono poco senza una macchina operativa capace di applicarle.

Ora la prova è concreta, e va ben oltre i Baltici. Quanto durerà il ripristino di LVM? I cittadini sapranno quali dati personali siano stati esposti? I backup erano davvero stati testati prima che servissero? Un ministro è in grado di dire chi, nella catena di comando, risponde del rischio cyber per ogni sistema pubblico? Sono domande che riguardano ogni operatore pubblico in Europa. Con NIS2, non potranno più restare senza risposta.