Un’organizzazione criminale ramificata in cinque province italiane aveva trasformato le banche dati pubbliche dello Stato in un mercato clandestino di informazioni riservate. A renderlo possibile erano pubblici ufficiali e dipendenti infedeli che, sfruttando le proprie credenziali di accesso, interrogavano archivi come SDI, Serpico e i sistemi INPS per estrarre dati su imprenditori, personaggi dello spettacolo, calciatori e privati cittadini, poi ceduti dietro compenso. L’operazione, coordinata dalla Procura di Napoli guidata da Nicola Gratteri e condotta dalla Squadra Mobile insieme al Centro Operativo per la Sicurezza Cibernetica Postale, si è conclusa con 29 misure cautelari su un totale di 85 indagati, in un’ordinanza cautelare di quasi 1.900 pagine firmata dal gip Giovanni Vinciguerra.
Un listino prezzi in Excel e 730mila accessi senza giustificazione
I numeri dell’inchiesta sono di proporzioni difficilmente immaginabili.
Solo due agenti di polizia avrebbero totalizzato 730mila accessi alle banche dati riservate nel corso di due anni, circa 600mila attribuibili a uno e 130mila all’altro, senza che nessuno di questi risultasse giustificato da esigenze operative reali. Le informazioni estratte venivano poi cedute seguendo un tariffario preciso, documentato in un file Excel sequestrato dagli inquirenti: da 6 a 11 euro per un accesso a dati INPS, Poste o Agenzia delle Entrate, fino a 25 euro per i dati delle forze di polizia. Tra i clienti del sistema figuravano agenzie investigative e società di recupero crediti. Tra gli indagati compaiono, oltre agli agenti della Polizia di Stato, funzionari dell’Agenzia delle Entrate e direttori di filiale di Poste Italiane. Le province coinvolte nell’operazione sono Napoli, Roma, Ferrara, Belluno e Bolzano: un’estensione geografica che conferma la natura strutturata e non episodica dell’organizzazione.
L’aspetto che ha attirato l’attenzione degli esperti di sicurezza informatica è che nessun sistema è stato violato dall’esterno. Le credenziali erano legittime, i login regolari, i movimenti all’interno delle piattaforme formalmente consentiti.
Quando il pericolo viene da chi ha già le chiavi
Il caso di Napoli porta in primo piano una vulnerabilità che la cybersecurity tradizionale fatica ancora a presidiare in modo sistematico: la minaccia interna, quella prodotta da chi ha già accesso ai sistemi e lo usa in modo distorto. Per anni, gran parte degli investimenti in sicurezza si sono concentrati sul bloccare le intrusioni esterne, autenticazione a più fattori, firewall, controllo degli accessi per profilo e ruolo. Strumenti utili, ma che diventano insufficienti nel momento in cui l’attaccante è già dentro il perimetro, dispone di credenziali valide, conosce i sistemi e sa come muoversi senza attirare l’attenzione. In quel contesto, rilevare il problema richiede qualcosa di diverso dal semplice controllo di chi entra: serve capire come si comporta una volta entrato, su quali risorse si concentra, con quale frequenza, in quale fascia oraria, rispetto a quale profilo operativo atteso. È esattamente quella capacità che, stando ai fatti emersi dall’inchiesta, mancava nei sistemi violati.
Un precedente significativo era già emerso con la vicenda che aveva portato il Garante Privacy a sanzionare Intesa Sanpaolo per oltre 31 milioni di euro: un dipendente aveva effettuato 6.637 accessi ai dati di 3.573 clienti in più di due anni, senza alcuna giustificazione operativa. Anche in quel caso le credenziali erano corrette. Gli strumenti di rilevamento comportamentale post-accessom come gli Identity Threat Detection and Response, sistemi in grado di costruire una baseline di comportamento per ogni identità e segnalare automaticamente le deviazioni anomale, avrebbero potuto intercettare entrambe le situazioni molto prima che il danno diventasse irreversibile. La tecnologia esiste. La questione, per pubbliche amministrazioni e aziende private, è decidere di adottarla.
