La storia dell’hacker Carmelo Miano fa viaggiare con la fantasia gli appassionati di hacking e storie di spionaggio informatico. Sembra la classica trama cinematografica in cui un hacker di talento compie un grosso colpo e viene poi assoldato dalle Autorità. In questo caso, la narrazione apparsa in queste ore sui media sembra voler suggerire uno sconto di pena e una condanna lieve, per poi ingaggiare il criminale nelle mani dello Stato: dalla parte “cattiva” a quella “buona”.

Stato colabrodo

Dietro questa narrazione epica sulla grande bravura di Miano, c’è una posizione importante sostenuta dalla difesa di Gioacchino Genchi, “mr. intercettazioni abusive” assolto, che dovrebbe far riflettere. I sistemi di sicurezza colpiti – tra cui il Ministero della Giustizia, la Guardia di Finanza e aziende statali come Telespazio – avevano vulnerabilità notevoli sia a livello interno che esterno tanto da far sollevare dubbi non tanto sulle capacità di Miano, quanto sull’incapacità dello Stato di creare una rete informatica a prova di hacker.

Questo aspetto non può essere sottovalutato, specialmente ora che si parla di una violazione “hacker” a servizi strategici per la sicurezza nazionale ed il caso Miano fa paura se si immagina che l’accusato potesse essere al servizio di una rete ed è lo stesso sospetto che ci fu a suo tempo per un caso quasi analogo occorso sempre a Napoli, di riflesso dalla Procura di Benevento, dove una società fornitrice di servizi spyware fu “accidentalmente” violata, facilitando l’accesso a fascicoli coperti da segreto istruttorio, sottratti in anticipo per consentire a qualcuno – ancora non identificato pubblicamente – di muoversi in modo strategico all’interno dei processi.

Nonostante non sia stata trovata alcuna connessione tra criminalità organizzata e Miano, una conversazione con un noto avvocato torinese avuta a suo tempo da chi vi scrive, solleva il sospetto sul fatto che proprio la criminalità organizzata abbia bisogno di figure come l’hacker siciliano di stanza alla Garbatella per sviluppare reti anonime e criptate per comunicazioni sicure e per ottenere dati sensibili così come sospettò l’avvocato sul caso di Benevento dove disse testualmente “sono stesso i camorristi a voler bucare i sistemi informatici“.

Un altro elemento interessante riguarda la presenza di Miano nei forum del dark web. Raccoglieva dati e li metteva in vendita su una piattaforma nota, sia nel dark web che nel clear web. Alcuni sospettano che fosse coinvolto nel Berlusconi Market, oggetto di una inchiesta condotta dal sottoscritto in autonomia nel mentre le indagini erano in corso e che hanno portato ad arresti e sequestri eccellenti, come dimostrato nell’inchiesta ospitata coraggiosamente da Key4Biz.

L’ACN spende soldi pubblici, ma non è efficace

Quanto alle responsabilità, l’Agenzia Nazionale per la Cybersicurezza ha lavorato negli anni per proteggere il perimetro cibernetico nazionale, ma qualcosa è evidentemente andato storto. Lo dimostrano episodi come lo scandalo Striano e la stessa Antimafia che è stata hackerata.

La provocazione nella provocazione

Che Carmelo Miano possa essere ora considerato una risorsa per il Paese, a patto che decida di cambiare mentalità, potrebbe essere una soluzione, ma resta una domanda: può un hacker della sua statura, che ha accumulato milioni, diventare dipendente di un’Agenzia per la Cybersicurezza, dove si guadagna dieci e più volte meno?

Questo apre un dibattito sulle opportunità che l’Italia può offrire nel campo della cybersicurezza a persone come Miano già affrontate da Matrice Digitale in passato.

Le risorse che abbiamo

Nelle narrazioni roboanti su Miano veicolate da Giocchino Genchi in primis, ogni tanto c’è spazio anche per qualche elogio verso chi ha scoperto Miano rendendo difficile la certezza della tesi che lo descrive come un grande hacker. Le indagini effettuate dagli uomini del CNAIPIC, durate quattro anni, hanno portato all’arresto e a una risoluzione del caso, ma resta qualche dubbio sulla capacità di chi li comanda, lo Stato, nel coordianre strategie difensive non solo dagli attacchi esterni, come quelli DDoS di NoName, Killnet ormai superati, ma anche da quelli interni, dove la criminalità organizzata mira ad acquisire informazioni sui PM e sulle indagini.

Questa vicenda solleva molte riflessioni sulla sicurezza informatica del Paese e la domanda che poniamo al lettore è:

Carmelo Miano può davvero essere una risorsa?

Oppure sarebbe il caso di mettere in sicurezza il perimetro cibernetico nazionale, evitando proclami e fondi mal gestiti?

Da quando sono state introdotte in ambito ICT (Information & Communication Technology) a oggi, le certificazioni hanno sempre rivestito un ruolo di garanzia verso il mercato delle competenze e della reale capacità di aziende e operatori di realizzare soluzioni affidabili e sicure

Al di là delle specifiche richieste fatte nell’ambito di gare d’appalto e di collaborazioni con Enti della Pubblica Amministrazione, sia a livello nazionale che Europeo, dotarsi di una certificazione di conformità ai dettami di una certa normativa, (per esempio) di qualità o di sicurezza è un atto che serve a incrementare (anche in modo significativo) il valore dell’azienda che lo implementa. Al punto che, ormai, le certificazioni vengono riportate direttamente anche nei profili aziendali. Ma quali sono le certificazioni più richieste e quali gli ambiti di applicazione dell’ICT? Si parte ovviamente da quelle più generali, applicabili a tutti i settori di mercato e legate alla qualità e alla protezione ambientale per poi avvicinarsi a quelle più specifiche e specialistiche e, in particolare, a quelle legate al Cloud.

Certificazioni ISO

I primi standard di certificazione a cui fanno riferimento tutti, aziende e organizzazioni, di qualsiasi settore, sono quelli emessi dall’organizzazione ISO (International Organization for Standardization, Organizzazione Internazionale per la Standardizzazione). Si tratta di un’organizzazione con uffici in moltissimi Paesi di tutto il mondo, indipendente, non governativa, che “riunisce esperti globali per decidere insieme quale sia il modo migliore per fare le cose”, come recita il sito web (https://www.iso.org/home.html). Così facendo, ISO “rende la vita più semplice, sicura e migliore per tutti, ovunque”. Si parte dalla Certificazione di Qualità, ISO 9001:2015, che contiene le specifiche e le indicazioni per l’implementazione di un Sistema di Gestione della Qualità (Quality Management) a cui si affianca la Certificazione Ambientale ISO 14001:2015, che descrive e sancisce le caratteristiche di un Sistema di Gestione dell’Ambiente (Environment Management System). A questi recentemente se ne sono aggiunti due piuttosto importanti, legati alla Sicurezza Informatica e Protezione della Privacy (ISO/IEC 27001:2022) e ai Sistemi per la Gestione dell’Intelligenza Artificiale, sempre in ambito IT (ISO/IEC 42001:2023). Per ottenere una certificazione ISO occorre rivolgersi a un Ente Certificatore esterno (per esempio IMQ), che applica le procedure standard di UNI ISO (UNI, Ente Italiano di Normazione ISO in Italia).

L’importanza delle certificazioni per un CSP/MSP

Il fatto di poter garantire ai propri clienti l’aderenza a standard certificati nel settore ICT di qualità e sicurezza è particolarmente importante per chi, come CoreTech (https://www.coretech.it), si propone al mercato come MSP (Managed Service Provider) e CSP (Cloud Service Provider), cioè fornitore di servizi IT e di soluzioni Cloud. Infatti, uno dei problemi principali che hanno ostacolato la crescita del settore è stato la diffidenza delle aziende nei confronti di fornitori esterni che dovevano gestire da remoto molte delle proprie attività strategiche. Parliamo di un mercato che ha cominciato a svilupparsi con l’Outsourcing negli anni ‘90 del secolo scorso, quando si cominciarono a spostare all’esterno dell’azienda le attività meno strategiche, ma che avevano un peso notevole in termini di personale dedicato e di costi delle infrastrutture come, per esempio, l’area amministrativa e quella logistica. Pur nella limitazione dei mezzi (velocità ed estensione delle reti informatiche, gestione dei costi e dell’operatività nuova, preparazione e necessità di formazione del personale), quelle prime esperienze hanno mostrato le potenzialità e i vantaggi della formula, gettando le basi per l’avvento e il successo del Cloud Computing attuale.

Le piattaforme social Telegram e X (precedentemente conosciuto come Twitter) sono al centro di importanti controversie legali in merito alla privacy degli utenti e alla gestione delle normative locali sulla libertà di espressione. Entrambe le piattaforme hanno dovuto affrontare decisioni difficili per conformarsi alle leggi di diversi paesi, con potenziali impatti su milioni di utenti.

Telegram condivide i dati degli utenti su richiesta legale

Telegram ha aggiornato la sua politica sulla privacy, annunciando che ora condividerà i numeri di telefono e gli indirizzi IP degli utenti con le autorità, se vi è un mandato legale valido. Secondo l’ultimo aggiornamento, Telegram accetterà di rivelare queste informazioni solo dopo aver ricevuto un ordine del tribunale che confermi il coinvolgimento dell’utente in attività criminali che violano i Termini di Servizio della piattaforma.

Questa rappresenta una svolta significativa rispetto alla politica precedente, che limitava la condivisione dei dati agli utenti coinvolti in sospetti di terrorismo. L’aggiornamento si inserisce in un contesto di crescente attenzione alle pratiche di privacy delle piattaforme digitali, soprattutto dopo l’arresto del CEO di Telegram, Pavel Durov, in Francia, per un’indagine legata all’uso illecito della piattaforma per traffico di droga e altre attività illegali. Telegram ha anche migliorato il suo motore di ricerca per rimuovere contenuti illegali e incoraggia gli utenti a segnalare materiale sospetto.

X (ex-Twitter) si piega alle richieste della Corte Suprema del Brasile

Nel frattempo, X, sotto la guida di Elon Musk, si è trovato in una disputa legale con la Corte Suprema del Brasile. Il conflitto ha avuto origine ad aprile 2024, quando la corte ha ordinato la rimozione di oltre 100 account social accusati di diffondere disinformazione sulle elezioni presidenziali del 2022. Inizialmente, Musk ha rifiutato di obbedire all’ordine, invocando la libertà di espressione, portando a una breve sospensione della piattaforma in Brasile.

Alla fine, X ha ceduto alle richieste della corte, accettando di nominare un rappresentante legale in Brasile, pagare le multe pendenti e riattivare gli account chiusi. Tuttavia, la situazione legale rimane incerta, con X che ha ancora cinque giorni per presentare la documentazione completa.

Questa vicenda ha suscitato critiche nei confronti di Musk, il quale sostiene di essere un difensore della libertà di parola, ma ha accettato di rispettare le leggi locali in diversi paesi, sollevando dubbi sulla coerenza delle sue posizioni. La compliance di X in Brasile rappresenta un passo verso la risoluzione del conflitto, ma la piattaforma dovrà affrontare ulteriori sfide per bilanciare la libertà di espressione con le normative nazionali e stessa sorte spetta a Telegram.

Matrice Digitale vi ha detto la verità scomoda

Capita che quando si tratta di dare le notizie e di fare le analisi secondo una logica fattuale che i lettori si indignino. E’ quello che è accaduto alla nostra redazione quando si è giustificato dal punto di vista giuridico l’arresto di Durov e si è evidenziata la forzatura di Elon Musk in Brasile nonostante ci fossero altre pressioni politiche sulla piattaforma social che derivano dai tempi di Bolsonaro.