PERCHÉ I CINESI HANNO HACKERATO I SERVER DELLA IRBM DI POMEZIA? – LA RAFFICA DI INCURSIONI TELEMATICHE NEI SISTEMI DI POSTA DELL’AZIENDA FARMACEUTICA CHE PRODUCE IL VACCINO CON ASTRAZENECA ARRIVAVA DA PECHINO. IL CULMINE DEGLI ATTACCHI SI È REGISTRATO AD AGOSTO, QUANDO È STATO FIRMATO IL CONTRATTO CON LA COMMISSIONE EUROPEA. SI SCHERMAVANO DIETRO A INDIRIZZI IP RUSSI E TENTAVANO DI OTTENERE INFORMAZIONI CHIAVE PER IL VACCINO, CHE LORO NON RIESCONO A PRODURRE IN QUANTITÀ SUFFICIENTI…
Floriana Bulfon per “la Repubblica”
A fine luglio in Italia la grande corsa al vaccino avvista un primo traguardo. Lo stabilimento Irbm di Pomezia annuncia che entro pochi mesi l'antidoto contro il Covid sarà distribuito: un passo avanti decisivo realizzato in collaborazione con lo Jenner Institute di Oxford e l'azienda AstraZeneca. Ma poche ore dopo scatta l'attacco: i sistemi di posta elettronica dell'azienda farmaceutica laziale vengono presi di mira dagli incursori telematici.
L'inizio di un assedio durato mesi, che ha portato il nostro Paese nella prima linea della grande guerra cibernetica per i vaccini. L'assalto è stato rivelato a Repubblica il 3 dicembre da Piero Di Lorenzo, il presidente di Irbm. Adesso però l'esame condotto dagli inquirenti permette di ricostruire le tracce dei cyber criminali, con indizi che accreditano l'ipotesi di un'operazione gestita per conto di entità statali: una pista che porta alla Cina.
In realtà, il raid iniziale per saggiare le difese dell'azienda è stato condotto attraverso un indirizzo IP russo, che quello stesso giorno tenta di entrare in alcuni server governativi indonesiani. Poi le irruzioni si sono ripetute, ondata dopo ondata, per settimane: il culmine viene registrato ad agosto, proprio quando la Commissione europea firma il contratto con AstraZeneca per acquistare l'antidoto sviluppato in collaborazione con Irbm.
Nell'azienda di Pomezia i tentativi di penetrare nei computer sono decine. Arrivano da IP differenti ma il provider è sempre lo stesso e le impronte paiono portare verso la Russia. Ma alcuni elementi sono apparsi anomali. Gli IP infatti erano già stati segnalati in passato per attività di frode: non si trattava del canale migliore per gestire un'incursione sofisticata. E come spiega un investigatore, «soprattutto in un momento di alta tensione diplomatica per la "guerra cibernetica dei vaccini", se fossero stati i russi, non avrebbero utilizzato un IP del loro Paese».
Questa prima ondata di raid ha avuto modalità molto tradizionali ed è stata respinta dalle difese dell'azienda, in collaborazione con la nostra intelligence. Ma gli autori non si sono arresi. «Da quando è stato reso pubblico il prezzo di vendita del vaccino - ha spiegato il presidente di Irbm Piero Di Lorenzo a Repubblica - abbiamo cominciato a subire attacchi hacker professionali violentissimi. Sette, lanciati dall'estero, il cui obiettivo sarebbe stato di entrare nel server e rubare i dati sensibili dell'operazione vaccino».
I bastioni informatici hanno resistito, ma in pratica tutti i dipendenti hanno dovuto rinunciare a usare posta elettronica e smartphone: un grave ostacolo alle attività. La seconda fase dell'assalto si è mossa lungo una direttrice differente. I cyber criminali prendono di mira un sito interno che permette da internet l'accesso a tutti i pc e i server dell'azienda.
Per entrare questa volta si connettono con IP TOR, lo strumento usato per garantire l'anonimato nel dark net. È un'escalation: proprio nel giorno dell'annuncio della prima dose di vaccino, molti computer nello stabilimento di Pomezia registrano connessioni anomale. Che portano però a un server già schedato in passato. Per gli investigatori è la pistola fumante che permetterebbe di attribuire l'attacco: «In passato questo server è stato utilizzato in una campagna ostile del gruppo cinese Apt10».
Apt10, alias CVNX o Stone Panda, è stato al centro di un'indagine del Dipartimento di giustizia Usa, che ha accusato i servizi segreti di Pechino come mandanti delle operazioni. Dall'inizio della pandemia, sotto il coordinamento dell'ufficio del ministero per la sicurezza di Tianjin, gli hacker di Apt10 avrebbero bersagliato aziende, atenei e ospedali impegnati nello studio del virus e dei farmaci per contrastarlo.
Le loro azioni sono state avvistate negli Stati Uniti, in Giappone, in Europa. Poi dall'inizio della scorsa estate si sono focalizzati sui vaccini. Hanno messo nel mirino i consorzi in pole position nella competizione: Pfizer-Biontech, Moderna, AstraZeneca. Poi hanno spostato il tiro seguendo l'evolversi della situazione: la fase di produzione; le autorizzazioni dell'Ema, l'agenzia Ue del farmaco; le catene di distribuzione e conservazione a bassa temperatura dei farmaci.
I signori della guerra telematica sono sapienti e fanno di tutto per mimetizzare le loro mosse: spesso agiscono con i metodi dei criminali, chiedendo riscatti per r
estituire i dati trafugati o facendosi pagare per interrompere il bombardamento dei server. Mentre in realtà a loro interessa conquistare le informazioni chiave sui vaccini, sulle tecniche per distillarli e confezionarli. Una questione decisiva per il governo di Pechino: come ha rivelato il Washington Post , le autorità stanno rivedendo i piani per la vaccinazione perché le aziende della Repubblica popolare non riescono a produrre le quantità necessarie.
