Attacchi informatici alle PA: il caso del comune di Palermo

Cosa è accaduto al sistema informatico del comune di Palermo?

Abbiamo deciso di dedicare un articolo al cyber attack ormai noto al Comune di Palermo al fine di fornire ai nostri lettori una panoramica chiara e trasparente di ciò che è accaduto all’ente pubblico. Insieme vorremo ripercorrere con voi i fatti e le azioni che si sono susseguite durante tutta la durata del processo: dai primi sintomi del cyber attacco, fino all’identificazione della minaccia che ha colpito il comune di Palermo e per concludere, quali sono state le mancanze dell’infrastruttura in termini di protezione e prevenzione.

Cominciamo con una premessa fondamentale per comprendere meglio che tipo di minaccia ha colpito il Comune di Palermo.
L’inizio di un attacco informatico non sempre coincide con in momento in cui esso viene rilevato: le cyber threat moderne infatti sono programmate per penetrare in un sistema e restare silenti per uno e più giorni in attesa del momento perfetto per movimentarsi ed esfiltrare informazioni.

Quindi la nuova tendenza degli attacchi informatici di ultima generazione è proprio questa: dare il meno nell’occhio affinché possano violare un sistema con la massima tranquillità.

I sintomi dell’attacco hacker a Palermo

Alle 6 del mattino del 02 giugno 2022, l’attacco informatico colpisce le infrastrutture del Comune di Palermo con grande clamore, dopo esserci mosso all’interno dell’organizzazione ormai da diversi giorni. Il primo sintomo della presenza dell’infezione è il malfunzionamento del sito web istituzionale: questo infatti, risulta inaccessibile per tutta la mattinata.

Gli ingegneri del Sispi, la società che gestisce i servizi relativi al settore IT per i cittadini, si mettono al lavoro immediatamente per rimuovere il problema.
Ad essere stati colpiti dalla cybergang sono i sistemi che ospitano e gestiscono il sito web istituzionale del comune di Palermo (alias i server web) ma non solo. Risultano in grande affanno anche i seguenti servizi informatici:

• la rete informatica della centrale operativa della polizia municipale
• il sistema di videosorveglianza collegato alla sala operativa dei vigili del fuoco
• il sistema che gestire i varchi delle zone a traffico limitato della città.

All’ora di pranzo, dal Comune di Palermo arriva la conferma ufficiale dell’avvenuto attacco.

Il direttore generale e segretario generale del comune Le Donne intima a tutti i dipendenti di recarsi nelle proprie postazioni di lavoro per spegnere tutti i computer e i server dell’Ente pubblico.
Viene inoltre reso noto che l’intero sistema informatico è stato cautelativamente spento ed isolato per evitare che l’infezione possa propagarsi attraverso la rete, infettando altri sistemi ancora incolumi.
I vertici dell’istituzione dichiarano di essere in constante contatto con un team tecnico istituito  per gestire l’emergenza ma di non essere ancora in grado di quantificare i danni e prevedere dei tempi di ripristino. Vengono immediatamente avviate le procedure del caso e presentate le denunce di rito alle autorità competenti incluso il garante della privacy.

Cosa succede nei giorni che seguono l’attacco informatico?

Sei giorni dopo l’emergenza informatica sembra rientrare. Per i cittadini è possibile rinnovare i documenti e persino l’ufficio dell’anagrafe e tutti gli altri servizi essenziali online sono tornati operativi sebbene il sistema informatico non possa ancora lavorare a pieno regime. Infatti, il sito istituzionale risulta ancora inaccessibile.

Alla situazione in lenta ripresa si aggiunge un messaggio pubblicato su Twitter in cui un collettivo di hacktivisti dichiara quanto segue:

“I poliziotti di Palermo sono giorni che gelano.
Non riescono ancora a capire se si tratti di un ransomware o di un DDoS,
ma per ogni evenienza hanno deciso di disconnettere metà della città.”

Questo commento irriverente fa supporre che oltre all’attacco ransomware al Comune di Palermo che sarà rivendicato successivamente, si sia aggiunto anche un attacco DDoS all’enete pubblico.

Le preoccupazioni riguardo la possibilità che molti cittadini non possano esercitare il loro diritto al voto per mancanza del supporto sicuro di un sistema informatico della pubblica amministrazione sono vive e fanno riflettere: quanti e quali diritti riesce a violare un attacco informatico?

Anche perché negli stessi giorni continuano ad essere fuori uso molte delle tecnologie attaccate:

1. il sistema di gestione delle ztl
2. la comunicazione tra gli uffici è spesso difficoltosa se non interdetta
3. il sistema di gestione e prenotazione degli impianti sportivi comunali.

I disagi a distanza di una settimana dall’incursione dei criminali informatici continuano ad essere molti.
Proprio in questi giorni arriva la rivendicazione dell’attacco da parte della cyber gang Vice Society.
Si tratta di una gang ransomware estremamente attiva. Sul data leak site del gruppo criminale appare un post che imponeva tre giorni di tempo al Comune di Palermo per effettuare il pagamento del riscatto. La gang minacciava di rendere pubblici i dati del data breach sul dark web.

Lo strascico dell’attacco informatico ai danni del Comune di Palermo

A ben 10 giorni dall’inizio dell’attacco informatico a Palermo il sito web del comune torna online e con qualche ora di anticipo sulla scadenza dichiarata, la cybergang pubblica un estratto dei documenti rubati dai server del comune.

I dati sono stati estratti verosimilmente da qualche postazione di lavoro dei dipendenti e contenevano informazioni molto personali di alcuni cittadini e soprattutto di molti dipendenti tra cui:

• Copie di documenti di identità
• Verbali della polizia locale e dei carabinieri
• Informazioni relative a residenze e domicili
• Archivi di indirizzi mail
• Numeri telefonici dei dipendenti, insieme a nomi, qualifiche
• Informazioni sui pagamenti, stipendi, debiti, bilanci
• Ordinanze ed ordini di servizio
• Informazioni su dei contenziosi

30 giorni dopo l’attacco al Comune di Palermo

A quasi un mese dalla scoperta dal ransomware, i problemi non sono terminati.
Il sito web del comune funziona parzialmente, nonostante l’incessante lavoro dei tecnici.
Il 5 luglio il comune di Palermo pubblica finalmente un comunicato ufficiale riguardante l’accaduto.
Riportiamo alcuni passi:

“Il Comune di Palermo rende noto che ha ricevuto comunicazione della pubblicazione nel dark web di documenti contenenti dati personali dei propri dipendenti e degli utenti di alcune Aree di questa Amministrazione, a seguito della violazione del Datacenter gestito dalla società partecipata Sispi s.p.a. […]

La documentazione illegittimamente divulgata potrebbe arrecare conseguenze ai diritti degli interessati coinvolti quali ad esempio, l’utilizzo dei dati personali degli interessati a scopo di phishing. Il Comune terrà aggiornati gli interessati non appena saranno disponibili maggiori dettagli, in seguito all’indagine di società specializzata nella cybersecurity, ancora in corso.

Il Comune ha adottato immediatamente, attraverso la società partecipata Sispi, tutte le azioni possibili per mitigare le conseguenze dell’illecita divulgazione, ed impedire il ripetersi di un attacco hacker. La divulgazione ha ad oggetto dati personali, come dati anagrafici (documenti di identità, curriculum vitae, numeri di cellulare), informazioni relative al proprio stato patrimoniale o finanziario.”

La risposta dei sindacati non si fa attendere: diversi avvocati preparano richieste per il risarcimento dei danni provocati agli utenti i cui dati sono stati divulgati.

Alcune considerazioni finali sull’attacco informatico al Comune di Palermo

Terminata l’analisi del caso studio del cyber attacco al comune di Palermo, possiamo assolutamente affermare che i danni derivanti da una minaccia informatica ad un ente pubblico non si limitano certo al comparto tecnico.

Oltre al mal funzionamento delle infrastrutture IT, questi attacchi bloccano servizi essenziali alla persona, danneggiano economicamente le pubbliche amministrazioni e mettono a rischio l’incolumità della stessa comunità. In questo caso, è lampante come i problemi derivanti da un attacco informatico arrivino a minare l’esercizio dei diritti fondamentali, come la possibilità di esprimere il proprio voto o di usufruire di servizi essenziali come quelli anagrafe.
Resta implicito, che le tempistiche per il ripristino e la messa in sicurezza di tutto l’apparato informatico siano spesso sottovalutate.

Non è possibile per un’infrastruttura celarsi dietro la scusa del ripristino delle funzionalità in seguito ad un attacco informatico. Il backup non rappresenta una soluzione al problema dei cyberattacchi.

Tra i consigli che meglio possono aiutare un ente pubblico a prevenire il problema dei cyberattacchi consigliamo di affidarsi ad un’azienda di esperti di sicurezza informatica in grado di difendere h24 le loro infrastrutture dai tentativi di hacking.