Threema colpita da DDoS su larga scala, servizi interrotti per ore

🛡️ Executive Summary

• Una serie di DDoS su larga scala ha colpito Threema e il partner di colocation Nine, modificando continuamente sorgenti e pattern di traffico.
• Il servizio è rimasto indisponibile per quattro ore martedì, con ulteriori interruzioni mercoledì; Threema OnPrem non è stata coinvolta.
• Threema ha attivato una protezione DDoS specializzata upstream e prepara una status page con cronologia degli incidenti e feed RSS.

Threema è stata colpita da una serie di attacchi DDoS su larga scala che hanno provocato diverse ore di indisponibilità e successive interruzioni intermittenti del servizio di messaggistica cifrata. Gli attacchi hanno interessato anche Nine, partner utilizzato dall’azienda svizzera per la colocation, e si sono distinti per la continua modifica dei pattern impiegati per aggirare le contromisure. L’incidente ha riguardato la disponibilità dell’infrastruttura, senza indicazioni di accessi ai sistemi o ai dati degli utenti. Le organizzazioni che utilizzano Threema OnPrem, basata su infrastrutture autonome, hanno invece continuato a operare normalmente durante l’intera ondata.

I DDoS bloccano Threema per quattro ore

La fase più grave dell’incidente si è verificata martedì, quando Threema è risultata indisponibile tra le 19:30 e le 23:30 CEST. Gli attacchi sono proseguiti mercoledì mattina causando nuove, brevi interruzioni, prima del completo ripristino delle operazioni alle 12:23. Nel proprio post-mortem sull’incidente DDoS, l’azienda spiega che la campagna ha colpito contemporaneamente la propria infrastruttura e il provider di colocation Nine, senza poter stabilire se Threema fosse il bersaglio principale oppure una delle destinazioni di un’offensiva più ampia. La difficoltà maggiore è derivata dalla durata dell’attacco e dalla capacità dell’attore di modificare ripetutamente sorgenti, metodi e pattern del traffico ogni volta che le difese venivano adattate. Threema afferma di subire normalmente tentativi DDoS che vengono filtrati senza effetti percepibili dagli utenti, ma in questo caso volume e dinamica dell’offensiva hanno superato temporaneamente la capacità delle contromisure esistenti. Un problema tecnico separato dall’attacco ha inoltre impedito l’aggiornamento corretto della pagina sullo stato dei servizi, inducendo l’azienda a disattivarla temporaneamente.

L’attacco colpisce la disponibilità e non la crittografia

L’incidente non rappresenta una compromissione della crittografia end-to-end di Threema. Un attacco Distributed Denial of Service tenta di saturare capacità di rete, server o sistemi di protezione attraverso un numero di richieste o pacchetti superiore a quello che l’infrastruttura riesce a gestire. Il risultato può essere l’impossibilità di stabilire connessioni o consegnare messaggi, senza che l’attaccante debba ottenere accesso ai sistemi applicativi o ai contenuti delle comunicazioni. È una distinzione particolarmente importante per un servizio costruito attorno alla riservatezza delle conversazioni e già analizzato da Matrice Digitale nel quadro delle app di messaggistica e dei relativi modelli di crittografia. Threema non ha comunicato furti di dati, accessi non autorizzati o violazioni delle chiavi crittografiche e non ha attribuito pubblicamente l’offensiva a un gruppo specifico. La stessa società osserva in termini generali che offensive DDoS particolarmente persistenti possono richiedere risorse tecniche ed economiche considerevoli, ma questo elemento non costituisce un’attribuzione dell’incidente a un attore statale. La capacità di cambiare rapidamente infrastruttura e pattern è ormai comune anche nell’ecosistema criminale, dove grandi reti di dispositivi compromessi possono mettere a disposizione capacità DDoS distribuita: un’evoluzione già emersa con Dysphoria e la sua botnet da circa 200.000 dispositivi IoT.

Threema OnPrem resta operativa durante l’offensiva

Uno degli elementi più significativi dell’incidente riguarda Threema OnPrem, che non ha registrato interruzioni perché le organizzazioni che adottano questa versione utilizzano una propria infrastruttura invece dei sistemi gestiti centralmente dal provider. La differenza mostra come la resilienza di un servizio di comunicazione non dipenda soltanto dalla crittografia o dalla sicurezza applicativa, ma anche dall’architettura utilizzata per erogarlo. Gli utenti di Threema Private e i clienti Threema Work dipendenti dall’infrastruttura SaaS hanno risentito degli effetti dell’attacco, mentre le installazioni OnPrem sono rimaste fuori dal perimetro colpito. Per aziende, amministrazioni e organizzazioni che utilizzano una piattaforma di messaggistica come canale di comunicazione durante incidenti informatici, l’indisponibilità del provider può diventare essa stessa un problema di business continuity. Il caso non significa che un’architettura self-hosted sia immune ai DDoS, ma dimostra che la separazione infrastrutturale può evitare che un attacco contro il servizio centrale produca automaticamente lo stesso impatto sulle installazioni autonome. È lo stesso scenario di pressione sulle infrastrutture Internet che rende rilevante l’evoluzione di botnet come Tengu, derivata dall’ecosistema Mirai e progettata anche per operazioni DDoS, senza che vi siano elementi che colleghino queste famiglie all’incidente Threema.

Threema sposta il filtraggio DDoS più a monte

La risposta tecnica adottata da Threema consiste nell’aggiunta di una protezione DDoS specializzata capace di filtrare il traffico malevolo upstream, prima che raggiunga e sovraccarichi direttamente l’infrastruttura dell’azienda. Il meccanismo è stato attivato nell’ambiente di produzione il 14 agosto alle 18:05 CEST, dopo i test finali di stabilità. Spostare la mitigazione più vicino alla sorgente del traffico o comunque a monte rispetto ai server applicativi consente di assorbire volumi che potrebbero saturare collegamenti e apparati prima ancora che firewall e sistemi locali possano intervenire. La strategia diventa particolarmente importante quando un attaccante varia continuamente il profilo dell’offensiva per distinguersi con maggiore difficoltà dalle connessioni legittime. Threema ha inoltre annunciato un potenziamento della propria status page, che dovrebbe ricevere una cronologia degli incidenti e un feed RSS indipendente destinato agli utenti e agli amministratori di Threema Work. La modifica risponde anche al problema emerso durante l’attacco, quando un malfunzionamento non collegato al DDoS aveva impedito alla pagina di riflettere correttamente lo stato dei sistemi. Il servizio risulta nuovamente operativo, ma l’episodio mostra come anche una piattaforma progettata attorno a privacy e cifratura possa essere colpita sul terzo pilastro fondamentale della sicurezza informatica: la disponibilità.