Un tempo, se volevi lanciare un exploit contro un server nemico, dovevi essere un agente governativo con un budget statale e una missione patriottica. Oggi, sembra che basti avere un buon contratto di consulenza e un set di zero-day pronti all’uso.
È uscita una notizia che farebbe impallidire il plot di un episodio di Mr. Robot: un nuovo memo della Casa Blanca ha ufficialmente dato il via libera alle aziende di cybersecurity private per condurre operazioni di hacking ‘offensivo’ contro i criminali informatici operanti all’estero. Sì, avete letto bene. Il governo americano sta praticamente subappaltando le operazioni di cyber-warfare a società che, di solito, vengono pagate per proteggere i nostri perimetri.
Per chi non mastica la geopolitica, il concetto è questo: invece di limitarsi a patchare le vulnerabilità e monitorare i log, queste aziende avranno il mandato di andare a cercare i cattivi nei loro territori, rompendo i loro sistemi e interrompendo le loro infrastrutture. È la privatizzazione dell’offensiva digitale, un concetto che suona molto meno ‘eroico’ di quanto possa sembrare in un film di spionnage e molto più simile a un mercato di mercenari digitali.
Certo, restiamo con i piedi per terra: siamo in Italia e, onestamente, a noi che passiamo le serate a compilare script Python o a smanettare con i microcontrollori, di questa specifica direttiva legislativa americana non cambia nulla nel quotidiano. Non è che domani la Polizia Postale ci chiederà di lanciare un DDoS su un server in Russia. Però, il precedente è inquietante. Quando la linea tra difesa e attacco diventa così sfumata e viene delegata a soggetti privati che rispondono solo agli azionisti e ai committenti, il rischio di ‘effetti collaterali’ digitali è altissimo.
Chi garantisce che un’operazione di ‘ritorsione’ non finisca per abbattere un server innocente che condivide lo stesso cloud provider del criminale? Chi controlla che queste aziende non usino queste nuove prerogative per testare vulnerabilità critiche su infrastrutture civili nel nome della ‘sicurezza’? Il rischio di una escalation incontrollata è dietro l’angolo.
In breve: il confine tra cybersecurity e cyber-aggressione si è appena fatto pericolosamente sottile. Se pensavate che l’unico problema fosse il prossimo aggiornamento di Windows che rompe tutto il vostro ambiente di sviluppo, preparatevi, perché il nuovo paradigma del conflitto digitale è decisamente più caotico e privo di regole.
Source: Private security firms will soon be allowed to hack overseas cybercriminals