La task force indonesiana per la protezione dei dati, di recente costituzione, sta dando la caccia a un hacker che si cela dietro una serie di fughe di dati relativi, tra l’altro, a 1,3 miliardi di numeri di cellulare registrati, 105 milioni di elettori e un registro della corrispondenza del Presidente. L’hacker, che si fa chiamare con lo pseudonimo di Bjorka e afferma di avere sede a Varsavia, in Polonia, nelle ultime settimane ha venduto sul forum di hacking BreachForums i dati rubati, compresi quelli delle imprese statali indonesiane, degli operatori di telefonia mobile e della commissione elettorale generale. Bjorka ha anche fatto trapelare un registro dei documenti riservati in entrata e in uscita tra il presidente Joko Widodo e l’agenzia di intelligence di Stato. L’hacker ha anche pubblicato i dati personali di personaggi pubblici come il ministro coordinatore per gli Affari marittimi e gli investimenti Luhut Pandjaitan e il ministro delle Comunicazioni e dell’Informatica Johnny G. Plate. I dati trapelati comprendono numeri di telefono, numeri di identità e numeri di vaccino.
Il giorno dopo che un alto funzionario delle applicazioni informatiche aveva lanciato un appello a Bjorka affinché smettesse di far trapelare i dati personali degli indonesiani nel corso di una conferenza stampa il 5 settembre, l’hacker ha detto coraggiosamente al governo di “smettere di essere un idiota” in un post su BreachForums. L’intenzione di Bjorka, ha dichiarato in un tweet del 10 settembre, era quella di mostrare quanto sia facile “entrare in diverse porte a causa di una terribile politica di protezione dei dati”, “soprattutto se gestita dal governo”. Su Twitter, Bjorka ha anche affermato che chi indaga sull’hacking non saprebbe da dove cominciare a cercare e ha schernito personaggi pubblici come il ministro delle imprese statali Erick Thohir, dicendogli di abbandonare le sue speranze di presidenza.
Almeno tre account Twitter di Bjorka sono stati sospesi.
Il ministro coordinatore per gli Affari politici, legali e di sicurezza Mahfud MD ha invitato mercoledì scorso l’opinione pubblica a mantenere la calma, affermando che nessun sistema cruciale è stato violato e nessun segreto di Stato è trapelato. Le fughe di notizie “hanno riguardato solo dati generali relativi alla corrispondenza del Presidente. Finora il loro contenuto non è stato divulgato”, ha dichiarato. Ha aggiunto che le autorità hanno identificato Bjorka e la posizione dell’hacker sulla base di “strumenti in grado di tracciare tutte le cose”. Subito dopo la costituzione della task force per la protezione dei dati, mercoledì scorso, la polizia ha interrogato un uomo di 23 anni, identificato con le iniziali MAH, nella reggenza di Madiun, nell’est di Giava, dove vende bevande in un mercato tradizionale, ha riferito Tempo. La polizia non ha confermato se si tratti di Bjorka e la task force sta indagando sui recenti incidenti. L’Indonesia, sede di un’economia digitale in forte espansione, dal 2019 ha visto massicce violazioni di dati che hanno coinvolto agenzie governative e aziende private. Uno dei principali incidenti ha riguardato la fuga di dati di sicurezza sociale – tra cui carte d’identità e carte di famiglia – di oltre 200 milioni di cittadini nel database dell’Agenzia per l’assistenza sanitaria e la sicurezza sociale nel maggio dello scorso anno.
Secondo gli esperti, si è trattato di una violazione “di prim’ordine”, che ha criticato la mancanza di risposte adeguate in occasione di precedenti violazioni. “I dati trapelati da Bjorka sono in realtà inferiori per qualità e quantità a quelli trapelati in precedenza”, ha dichiarato a The Straits Times l’esperta di digital forensic Ruby Alamsyah. “Ma, grazie all’hacker, le fughe di dati personali sono finite sotto i riflettori”. Ha fatto notare che prima di BreachForums, Bjorka aveva venduto dati trapelati da altri Paesi a RedForum, una delle maggiori destinazioni del Dark Web per i dati rubati, che è stata chiusa dal Dipartimento di Giustizia degli Stati Uniti in aprile. Ruby, amministratore delegato di Digital Forensic Indonesia, con sede a Jakarta, ha sottolineato che invece di concentrarsi solo sull’ultima violazione dei dati, la task force dovrebbe indagare anche su fughe di dati simili avvenute dal 2019 e almeno trarre “insegnamenti dai casi passati” per evitare incidenti simili in futuro. “È meglio che la task force migliori la gestione dei dati. Le istituzioni competenti hanno semplicemente negato le fughe di dati degli anni scorsi e non hanno migliorato la loro protezione dei dati, per cui si sono verificate fughe di dati ricorrenti”, ha dichiarato a ST Alfons Tanujaya, specialista di sicurezza informatica presso Vaksincom. “Se Bjorka viene arrestato, ma i dati continuano a trapelare, entro tre o sei mesi ci saranno altri Bjorka che sfrutteranno i dati violati”. Quando il disegno di legge sarà approvato, le istituzioni governative e le aziende private saranno spinte a migliorare la loro sicurezza informatica, hanno dichiarato sia Ruby che Alfons. Questo perché qualsiasi fuga di dati comporterà sanzioni pecuniarie e penali. “Logicamente, a causa delle multe e delle sanzioni, tutte le parti saranno ben preparate, assicurando che la loro sicurezza informatica sia migliore rispetto al passato e che le fughe di dati possano essere evitate”, ha detto Ruby. “In caso di fuga di notizie, il pubblico potrà richiedere responsabilità e risarcimento grazie all’esistenza di una valida base giuridica”.
