La vera domanda, tuttavia, potrebbe non essere semplicemente chi abbia attaccato gli aeroporti britannici, ma potrebbe essere molto più complessa: chi ha ottenuto l’accesso, chi ha sottratto i dati, chi sta conducendo l’estorsione e, soprattutto, nelle mani di chi finiranno domani le informazioni di 8,7 milioni di persone? L’analisi di Antonio Teti
29/08/2026
Il cyberattacco contro il Manchester airports group (Mag), società che gestisce gli aeroporti di Manchester, London Stansted ed East Midlands, non è soltanto l’ennesimo data breach ai danni di una grande organizzazione europea, ma rappresenta un caso interessante per comprendere come stia cambiando la struttura della minaccia cybercriminale e quanto sia diventato difficile distinguere l’autore materiale di un’intrusione dall’ecosistema criminale che successivamente monetizza l’accesso e i dati sottratti. Le informazioni emerse finora delineano uno scenario abbastanza preciso. Gli aggressori sarebbero riusciti a sottrarre informazioni relative a circa 8,7 milioni di clienti.
La maggior parte riguarderebbe indirizzi email acquisiti attraverso le registrazioni ai servizi Wi-Fi degli aeroporti, mentre per una quota degli utenti sarebbero stati compromessi anche numeri telefonici, indirizzi e targhe automobilistiche associate, tra l’altro, ai servizi di parcheggio. Gli hacker avrebbero inoltre avanzato una richiesta di riscatto, che Mag avrebbe deciso di non pagare. L’elemento fondamentale, però, è un altro: non risultano compromessi i voli né i sistemi direttamente connessi alla sicurezza aeroportuale. Di conseguenza, non sembra che l’obiettivo principale dell’operazione fosse produrre un’interruzione operativa, ma piuttosto quello di acquisire informazioni e monetizzarle. Una distinzione fondamentale perché, dal punto di vista della cyber threat intelligence, modifica radicalmente la lettura dell’attacco.
Il primo interrogativo da porsi, nell’ambito dell’intelligence, è il seguente: chi ha ottenuto l’accesso? Quando si verifica un incidente di queste dimensioni, la domanda apparentemente più semplice è: chi è stato? In realtà, nel cybercrime contemporaneo la domanda dovrebbe essere formulata diversamente: chi ha ottenuto l’accesso iniziale e chi ha successivamente gestito l’estorsione? Va precisato che le due entità potrebbero non coincidere, e ciò rappresenta una delle trasformazioni più importanti prodotte dalla professionalizzazione della criminalità informatica. Il modello tradizionale dell’hacker che individua una vulnerabilità, entra nella rete, installa il ransomware e successivamente contatta la vittima rappresenta ormai soltanto una delle possibili configurazioni operative.
Va evidenziato che l’economia cybercriminale è diventata una vera industria, caratterizzata da una crescente divisione del lavoro. Esistono operatori specializzati nell’individuazione delle vulnerabilità, altri nell’acquisizione delle credenziali, e altri ancora nel social engineering. Ci sono “Initial Access Broker” che penetrano nelle organizzazioni e successivamente vendono l’accesso alle reti compromesse, così come esistono sviluppatori di ransomware, affiliate che utilizzano le piattaforme Ransomware-as-a-Service, negotiator incaricati di trattare con le vittime e organizzazioni specializzate nel riciclaggio delle criptovalute. L’attacco informatico diventa quindi una supply chain criminale. Ed è all’interno di questa architettura che dovrebbe essere analizzato il caso Mag.
Scattered Spider: una pista che merita attenzione
Tra le ipotesi che ritengo debbano essere prese in considerazione c’è quella relativa all’ecosistema comunemente identificato come “Scattered Spider”, indicato anche con denominazioni come UNC3944 e Octo Tempest. Va precisato che allo stato attuale non esistono elementi pubblicamente disponibili che consentano di attribuire definitivamente l’attacco contro Mag a Scattered Spider. Purtuttavia esistono delle caratteristiche dell’operazione e dei precedenti che rendono questa pista particolarmente interessante. Scattered Spider ha costruito la propria reputazione criminale soprattutto attraverso una capacità che dovrebbe preoccupare qualsiasi grande organizzazione: attaccare l’identità prima ancora dell’infrastruttura. I suoi operatori sono stati associati a campagne caratterizzate dall’impiego intensivo di social engineering, phishing, smishing, vishing, SIM swapping, compromissione delle credenziali e manipolazione dei processi di assistenza informatica.
Il punto d’ingresso può quindi non essere necessariamente una vulnerabilità zero-day, ma può essere una telefonata. Un operatore contatta l’help desk sostenendo di essere un dipendente che ha perso il telefono o che non riesce più ad accedere al proprio account. Possiede già alcune informazioni personali sulla vittima, magari acquisite attraverso precedenti data breach, social network, database clandestini o attività OSINT. Di conseguenza, l’interlocutore appare credibile. A questo punto, ottiene il reset delle credenziali o la registrazione di un nuovo dispositivo per l’autenticazione multifattore. Da quel momento l’attaccante non deve più forzare l’ingresso, poiché accede ai sistemi utilizzando un’identità legittima. Ed è proprio questa caratteristica a rendere gruppi come Scattered Spider particolarmente pericolosi.
L’identità è diventata il nuovo perimetro
Per decenni la cybersecurity è stata costruita intorno al concetto di perimetro. Firewall, segmentazione delle reti, intrusion detection system e sistemi antivirus avevano il compito di distinguere ciò che era interno all’organizzazione da ciò che si trovava all’esterno. Cloud computing, smart working, dispositivi mobili e servizi SaaS hanno progressivamente dissolto quel confine, ma attualmente il nuovo perimetro è rappresentato dall’identità. Se un aggressore dispone delle credenziali corrette, supera l’autenticazione multifattore o convince un operatore a modificare i meccanismi di autenticazione, può apparire ai sistemi come un normale utente. È il motivo per cui la componente Humint, paradossalmente, sta diventando sempre più importante anche nelle operazioni cybercriminali. Non si tratta naturalmente di Humint nel significato istituzionale utilizzato dai servizi di intelligence, ma la logica è molto simile: studiare il comportamento umano, individuare vulnerabilità psicologiche, costruire una relazione di fiducia e manipolare l’obiettivo affinché compia volontariamente un’azione utile all’attaccante. In altri termini, è il social engineering ad asssumere la forma del sistema dell’ingegnerizzazione digitale della fiducia.
Il precedente britannico di Transport for London
La pista Scattered Spider assume ulteriore interesse osservando quanto accaduto precedentemente nel Regno Unito. È l’attacco condotto contro Transport for London nel 2024 a rappresentare un precedente particolarmente significativo. Ancora nel luglio 2026 due giovani legati a Scattered Spider sono stati condannati nel Regno Unito per il loro coinvolgimento nell’operazione. La compromissione aveva interessato una delle più importanti infrastrutture di mobilità europee e aveva consentito l’accesso a informazioni relative a milioni di utenti. Le ricostruzioni investigative hanno evidenziato anche l’importanza del social…
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Antonio Teti
Source link
