Venerdì 7 maggio Colonial Pipeline, la società che gestisce il più grande oleodotto di prodotti raffinati degli Stati Uniti, ha comunicato di aver subito un attacco informatico e di aver fermato l’intera rete. Si tratta di circa 5.500 miglia, oltre 8.850 chilometri di condotte dal Texas a New York, che portano circa il 45% del carburante consumato sulla costa orientale.
Il 10 maggio l’FBI ha confermato che dietro l’attacco c’è il ransomware DarkSide. Secondo le prime informazioni è stata colpita soprattutto la rete informatica aziendale, ma l’azienda ha spento in via precauzionale anche i sistemi che gestiscono le condotte. Il governo federale ha adottato misure d’emergenza per facilitare il trasporto di carburante su strada. Colonial punta a riattivare gran parte del servizio entro la fine della settimana.
DarkSide è un gruppo di lingua russa attivo dall’estate 2020 e funziona come ransomware-as-a-service: sviluppa il malware e l’infrastruttura, e lascia ad «affiliati» il compito di entrare nelle reti delle vittime, dividendo poi i riscatti. Pratica la doppia estorsione, prima il furto dei dati e poi la cifratura. Dopo la notizia ha diffuso una dichiarazione in cui sostiene di avere obiettivi solo economici e promette di controllare meglio i bersagli scelti dai suoi affiliati. Un comunicato da ufficio relazioni pubbliche, più che da gruppo criminale.
Quando spegnere tutto è l’unica scelta
Finora il ransomware aveva colpito soprattutto dati e uffici. Qui un attacco alla rete aziendale, anche senza toccare direttamente i sistemi industriali, ha fermato un’infrastruttura fisica da cui dipendono milioni di persone. Quando non sai fin dove è arrivato l’attaccante, a volte l’unica decisione prudente è spegnere.
Il primo insegnamento riguarda la separazione: la rete degli uffici e quella che controlla impianti e produzione devono comunicare solo attraverso passaggi limitati e monitorati, così che un dubbio sulla prima non costringa a fermare anche la seconda. Il secondo è il piano per lavorare a sistemi spenti, anche in modalità ridotta: chi decide, cosa si ferma, cosa si fa a mano. Poi le basi, che restano le stesse: backup offline con ripristino verificato, autenticazione a più fattori su VPN e accessi remoti, account inutilizzati disattivati, e un occhio ai grandi trasferimenti di dati in uscita, perché nella doppia estorsione il furto arriva prima della cifratura.
