Attacco hacker a La Sapienza, il ricatto: 72 ore per pagare o dati cancellati

iStock

L’università La Sapienza di Roma ha deciso di pubblicare un aggiornamento su quanto avvenuto la mattina del 2 febbraio. Sin da subito l’ateneo ha optato per un approccio trasparente, parlando chiaramente di un attacco informatico all’infrastruttura IT e non ha nascosto la gravità della situazione, che resta estremamente elevata: l’istituzione è sotto ricatto, con pochissimo tempo a disposizione per pagare il riscatto prima che i dati vengano cancellati, sottratti, crittografati o diffusi.

• Gli autori dell'attacco e la richiesta di riscatto
• Come funziona BadLock?
• Le conseguenze del blocco
• Il messaggio dell'Ateneo
• Cybersicurezza al lavoro
• Nuovo campanello d’allarme

Gli autori dell’attacco e la richiesta di riscatto

Nonostante l’immediata reazione e le subitanee azioni finalizzate a limitare i danni, la situazione non sembra migliorare. Da una parte i sistemi informatici dell’università e il sito sono stati messi offline e si è identificato il ransomware BadLock utilizzato dai cybercriminali, dall’altra l’attacco è talmente profondo e radicato che nel dark web è apparso il Sapienza University Diploma Package, che consentirebbe di acquistare una laurea per 11.000 euro.

Purtroppo non è tutto qui: il gruppo che ha rivendicato l’azione, Femwar02 (probabilmente russo) ha richiesto un riscatto di circa 2 milioni in criptovalute, da saldare entro e non oltre 72 ore.

Come funziona BadLock?

Vale la pena, a questo punto, fare una deviazione per spiegare come funziona BadLock e quando partono davvero le 72 ore. Una volta installato (con l’inganno), il software dannoso carica un file (config.ini) che viene eseguito tramite il processo notepad.exe. A questo punto, BadLock entra in azione e mostra una comunicazione ufficiale degli hacker per chiedere il riscatto.

Quella comunicazione contiene le istruzioni per avviare il contatto, accedere a un portale riservato e conoscere le condizioni del pagamento. Il conto alla rovescia, però, non parte automaticamente con l’infezione: in molti casi si attiva solo quando il file viene aperto e viene stabilita una prima interazione con l’infrastruttura degli attaccanti. Da quel momento, il sistema registra che la vittima è "attiva" e fa partire la scadenza.

Le conseguenze del blocco

Vale la pena fare un passo indietro per ricordare quali sono le conseguenze dell’attacco hacker e del relativo stop del sistema informatico:

• impossibilità nel prenotare esami;
• impossibilità di consultare libretti;
• impossibilità di stampare certificati;
• impossibilità di gestire tasse e iscrizioni.

Un disservizio particolarmente critico, visto che l’attacco è avvenuto nelle ultime settimane della sessione d’esami, a ridosso dell’avvio del secondo semestre.

Il messaggio dell’Ateneo

Alla luce dell’attacco e delle succitate conseguenze, l’Ateneo ha dichiarato sui suoi social che «sta gestendo l’emergenza in modo unitario e coordinato, facendosi carico di tutte le scadenze di propria competenza e operando in raccordo con le altre istituzioni coinvolte.

Le decisioni sono assunte in stretto coordinamento con uffici, strutture didattiche e amministrative e con le rappresentanze studentesche negli Organi di governo dell’Ateneo, valutando proroghe e forme di flessibilità a tutela delle carriere.

Le prove d’esame si svolgono regolamente […] chi non riesce a prenotarsi a causa dell’indisponibilità di Infostud potrà comunque coordinare con il docente l’iscrizione alla prova. La scadenza della seconda rata per le matricole dei corsi sarà posticipata. Saranno inoltre posticipate le scadenze per la presentazione delle domande di laurea».

Cybersicurezza al lavoro

Tutte le operazioni di ripristino avverranno comunque in maniera graduale, sfruttando anche i sistemi di backup, che non sarebbero stati coinvolti nell’incidente. A supportare le varie attività è intervenuta anche l’Agenzia per la Cybersicurezza nazionale. Un chiaro segno di come quest’episodio venga trattato con particolare attenzione. L’ACN interviene infatti nei casi più complessi, da prassi, soprattutto quando sono potenzialmente in gioco grandi quantità di dati sensibili.

Nuovo campanello d’allarme

L’attacco subito da La Sapienza va a inserirsi di fatto in un contesto molto più ampio, in cui enti pubblici, università e infrastrutture cardine sono sempre più spesso nel mirino dei cybercriminali. Sistemi complessi, grandi moli di dati personali e servizi digitali indispensabili rendono questi obiettivi tremendamente appetibili.

In attesa di capire le cause e l’impatto reale dell’incidente specifico, si conferma quanto la cybersicurezza sia ormai una priorità strategica anche per il mondo accademico. E quanto un singolo attacco possa avere ripercussioni immediate e concrete sulla vita quotidiana di decine di migliaia di utenti.