È uno degli attacchi informatici più vasti che si possa ricordare. Alle oltre 10 mila caselle di posta elettronica targate Hotmail «svelate» con la pubblicazione su Internet delle password, nella giornata di ieri è comparsa online una seconda lista, pari ad almeno altri 20 mila account che fanno capo a GMail di Google, a Yahoo!, all’americano Aol e ad altri provider minori. Un danno agli utenti dei servizi di posta online — oltre 400 milioni nel mondo se si fa riferimento alla sola Hotmail di Microsoft, la più diffusa —, che appare in realtà come un pesante attacco ai bersagli grossi delle multinazionali dell’informatica.
La notizia è inizialmente apparsa su un blog di cosiddetti «smanettoni», Neowin.net, che denunciava appunto la pubblicazione sul Web dal primo ottobre di 10.028 account della webmail di Microsoft. La sterminata lista di dati sensibili, che comprendeva utenze email per la maggior parte di provenienza europea che andavano dalla «A» alla «B», era stata pubblicata sul sito per sviluppatori Pastebin.com e poi rimossa su richiesta di Microsoft. Ieri il nuovo attacco, con la pubblicazione della lista di altre email sullo stesso sito, che è stato quindi rapidamente messo offline, ufficialmente per motivi di manutenzione.
Quella che dunque sembrava una sorta di minaccia contro Microsoft, si è invece estesa anche ad altre aziende. E tutte sono concordi sulle cause: «Non c’è stata alcuna breccia nei sistemi di sicurezza dei server che gestiscono le webmail », spiega Luca Colombo, direttore marketing per l’Italia di Msn e Windows Live di Microsoft. «I dati pubblicati in chiaro sono stati tutti ottenuti tramite 'phishing'». Una pratica che, attraverso messaggi di posta e siti falsi, induce i navigatori meno esperti a immettere i propri dati sensibili, dagli account di posta — pagati al mercato nero dai 10 centesimi di dollaro l’uno in su — ai dati d’accesso online al conto bancario. Conclude Colombo: «Questo sistema di furto dei dati è un problema globale che riguarda tutte le aziende che si occupano di servizi web. Ed è difficile da bloccare perché colpisce il punto debole, ossia l'utente ignaro e poco esperto delle dinamiche, anche criminali, della Rete».
Non è chiaro l’impatto che l’attacco ha avuto in Italia, dove gli account Hotmail attivi sono oltre 11 milioni. Il rischio è che se si usa un’unica password per accedere alla banca online, alle email e a altri servizi, gli hacker potrebbero avere in mano una sorta di passe-partout per entrare nella vita di migliaia di navigatori.
Ma da Microsoft gettano acqua sul fuoco, spiegando che il servizio clienti non ha avuto picchi particolari di chiamate. Tutte le caselle postali «forzate » sono state individuate e quindi bloccate. Sia l’azienda di Redmond sia Google hanno istituito una pagina online, attraverso la quale gli utenti che sono stati estromessi dalla propria posta elettronica hanno ottenuto un nuovo accesso. L’allarme appare rientrato, ma rimane l’impressione di una vera campagna di terrorismo online. «Pubblicare in chiaro così tanti indirizzi di posta non ha precedenti e, volendo, ha anche poco senso, perché non porta alcun utile ai malviventi che hanno raccolto i dati», spiega Raoul Chiesa, storico hacker italiano che ora lavora per la sicurezza informatica delle aziende. «Sembra un atto di minaccia per mostrare le debolezze di fondo dei colossi dell'Information Technology. Si potrebbe definire una pesante 'goliardata', se non fosse che ha gettato gli utenti della Rete, soprattutto i meno esperti, nel panico » .(da vitadigitale.corriere.it)
Federico Cella