WannaCry, il prologo di una crisi che mette a rischio il sistema informatico globale

di Giuseppe SpertiDallo choc di WannaCry nel 2017 al misterioso annuncio del Progetto Glasswing nel 2026, l’ecosistema digitale affronta il passaggio verso un nuovo ordine geopolitico. Al centro della trasformazione c’è Mythos, il modello di Anthropic capace di automatizzare la caccia alle vulnerabilità informatiche. Un progetto che ridefinisce il confine tra protezione delle infrastrutture critiche e segreto di Stato.Prima puntata della serie Glasswing: il progetto riservato che rivoluzionerà la geopolitica della cybersecurityIN BREVEL’eredità di WannaCry L’attacco del 2017 ha svelato la fragilità delle infrastrutture critiche mondiali, paralizzando ospedali e trasporti attraverso lo sfruttamento di falle informatiche latenti.Arsenale digitale tradito La crisi esplose a causa di EternalBlue, un potentissimo exploit sviluppato dalla Nsa e sottratto da hacker, trasformando un’arma governativa in una minaccia globale.Vulnerabilità sistemiche Il software moderno è un intreccio di milioni di righe di codice dove gli errori sono fisiologici, creando crepe invisibili che attendono solo di essere scoperte.Scacco al patching La difesa digitale fatica a tenere il passo: aggiornare sistemi complessi richiede tempi e risorse che spesso superano la velocità di propagazione dei malware.Oltre l’emergenza Il Progetto Glasswing e l’Ia Mythos emergono nel 2026 per industrializzare la caccia alle falle, tentando di invertire un equilibrio geopolitico ormai compromesso.Lo scorso 7 aprile, Anthropic ha diffuso un comunicato che non somigliava a nulla di ciò a cui la Silicon Valley ci ha abituati. Nessun palco, nessuna demo spettacolare, nessuna promessa di rivoluzionare il mondo entro l’anno. Solo poche righe sobrie con cui l’azienda statunitense specializzata in intelligenza artificiale e nella sicurezza informatica annunciava la nascita di Progetto Glasswing: una collaborazione con Amazon Web Services, Microsoft, Google, Nvidia e alcune delle principali aziende della cybersecurity americana.Al centro del progetto della società che ha sviluppato Claude c’è Mythos, un modello di intelligenza artificiale progettato per fare qualcosa di apparentemente tecnico: analizzare codice e trovare vulnerabilità nei software. Detto così, sembra un aggiornamento incrementale, l’ennesimo strumento per la sicurezza informatica. Ma chi conosce il settore ha colto subito i segnali anomali.L’accesso a Mythos non è pubblico. Non esiste un’Api commerciale, non c’è un programma per sviluppatori, non sono previste licenze nel breve termine. Il sistema è disponibile solo per i membri della coalizione e, a dar retta ad indiscrezioni, per alcune agenzie governative statunitensi. Le dichiarazioni ufficiali hanno insistito più sui rischi che sulle opportunità. In un settore che vive di hype e velocità, questa cautela ha il sapore di un avvertimento.Per capire cosa stia realmente accadendo – e perché Glasswing potrebbe essere il primo segnale visibile di una trasformazione più profonda – bisogna fare un passo indietro. Occorre tornare a un venerdì di maggio di nove anni fa, quando il mondo scoprì quanto fossero fragili le fondamenta digitali su cui aveva costruito ospedali, banche, governi e vite quotidiane.Quando gli schermi diventarono rossiLa prima segnalazione arrivò dalla Spagna, poco dopo le otto del mattino del 12 maggio 2017. Alcuni dipendenti di Telefónica, il colosso delle telecomunicazioni, trovarono i loro computer bloccati. Sugli schermi, un messaggio in rosso: i file erano stati cifrati, per riaverli bisognava pagare 300 dollari in bitcoin entro tre giorni. Dopo, il prezzo raddoppiava. Dopo sette giorni, tutto sarebbe stato perso per sempre.Nel giro di poche ore, il contagio esplose. Non era un attacco mirato: era un’epidemia. Il malware si propagava da solo, saltando da una macchina all’altra attraverso le reti locali e internet, senza bisogno che nessuno aprisse allegati o cliccasse su link. Bastava essere connessi e vulnerabili. E vulnerabili, quel giorno, lo erano in moltissimi.In Germania, i tabelloni delle stazioni ferroviarie iniziarono a mostrare il messaggio di riscatto al posto degli orari dei treni. In Russia, il ministero dell’Interno ammise che migliaia di computer erano stati compromessi. In Francia, gli stabilimenti Renault fermarono la produzione. FedEx, Hitachi, il sistema giudiziario di San Paolo: la lista delle vittime si allungava di minuto in minuto.Ospedali nel caosMa è nel Regno Unito che WannaCry – questo il nome del ransomware – mostrò il suo volto più inquietante. Il National Health Service, il sistema sanitario britannico, venne colpito con una violenza che nessuno aveva previsto. In poche ore, almeno 80 strutture sanitarie su 236 furono coinvolte. I medici non riuscirono più ad accedere alle cartelle cliniche. I sistemi di prenotazione erano fuori uso. Apparecchiature diagnostiche smisero di funzionare.Parecchi reparti d’emergenza vennero chiusi. Interventi chirurgici programmati vennero cancellati: 7.000 nella sola prima settimana. I medici tornarono a carta e penna, ma molte informazioni critiche restarono inaccessibili, intrappolate in computer che mostravano solo schermate rosse.Non era un’esercitazione, non era un film. Era il sistema sanitario di una delle nazioni più avanzate al mondo paralizzato da un software malevolo che si diffondeva più velocemente di quanto si riuscisse a contenerlo.Eroe accidentaleNel tardo pomeriggio, un ricercatore di sicurezza di 22 anni, Marcus Hutchins, stava analizzando il codice di WannaCry nella sua stanza nel Devon. Notò qualcosa di strano: il malware, prima di attivarsi, tentava di contattare un dominio Internet dal nome lunghissimo e in apparenza casuale. Se il dominio rispondeva, il malware si fermava. Se non rispondeva, procedeva con la cifratura.Poiché il dominio non era registrato, Marcus Hutchins lo comprò per poco più di 10 dollari. Non sapeva che in tal modo avrebbe attivato quello che gli esperti avrebbero poi chiamato il «kill switch», un interruttore d’emergenza nascosto nel codice. Nel giro di ore, la diffusione di WannaCry rallentò drasticamente.Ma, a quel punto, il danno era fatto. Centinaia di migliaia di computer in 150 Paesi erano già stati infettati. Le perdite economiche globali furono stimate in miliardi di dollari. Il range delle valutazioni andò da quattro a otto miliardi, a seconda di come si calcolarono i danni indiretti.Fuga dall’arsenale UsaLe indagini forensi successive rivelarono una verità scomoda. L’exploit utilizzato da WannaCry – il meccanismo che permetteva al malware di propagarsi automaticamente – non era stato creato da criminali comuni. Era stato sviluppato dalla National Security Agency degli Stati Uniti.Il suo nome in codice era EternalBlue. Era uno degli strumenti dell’arsenale digitale della Nsa, progettato per sfruttare una vulnerabilità nel protocollo SMB di Windows – un componente fondamentale che gestisce la condivisione di file e stampanti nelle reti. Per anni, l’agenzia americana aveva conservato questa conoscenza senza rivelarla a Microsoft, usandola per proprie operazioni di intelligence.Nell’agosto 2016, qualcosa era andato storto. Un gruppo che si faceva chiamare Shadow Brokers aveva iniziato a pubblicare online strumenti rubati alla Nsa, mettendoli all’asta o rilasciandoli gratuitamente. EternalBlue era finito in quel bottino. Nell’aprile 2017, un mese prima di WannaCry, l’exploit era diventato pubblico, accessibile a chiunque.Microsoft aveva rilasciato una patch a marzo, quando probabilmente aveva avuto sentore di ciò che stava per accadere. Ma due mesi non erano bastati. Troppe macchine non erano state aggiornate. Troppe organizzazioni non avevano dato priorità a quell’aggiornamento. E quando WannaCry colpì, trovò un terreno fertile di sistemi vulnerabili, esposti, in attesa.L’ombra della Corea del NordChi aveva trasformato EternalBlue in un’arma di distruzione di massa digitale? Chi aveva scritto WannaCry? Le agenzie d’intelligence di Stati Uniti, Regno Unito e altri Paesi puntarono a un colpevole: la Corea del Nord. Più precisamente, un gruppo noto come Lazarus Group, considerato legato al regime di Pyongyang. Lo stesso gruppo ritenuto responsabile dell’attacco alla Sony Pictures nel 2014 e di una serie di furti a banche internazionali attraverso il sistema Swift.Anche se l’attribuzione non è stata provata nel senso giudiziario del termine (nel cyberspazio, le prove definitive sono rare), il consenso nella comunità di intelligence appare solido. E poi, nel 2018, il Dipartimento di Giustizia americano aveva incriminato un programmatore nordcoreano, Park Jin Hyok.Il movente? Probabilmente denaro. Il regime nordcoreano, strangolato dalle sanzioni, aveva sviluppato capacità cyber offensive sofisticate. I ransomware potrebbero essere diventati uno strumento di quella strategia.Eppure, l’arma che aveva permesso l’attacco era americana. Un exploit sviluppato con fondi dei contribuenti statunitensi, sfuggito al controllo, probabilmente finito nelle mani di un avversario e usato per paralizzare alleati e infrastrutture occidentali. È come se una bomba costruita in un laboratorio militare fosse stata rubata e fatta esplodere nel cortile di casa.Anatomia di una catastrofeLa storia di WannaCry è avvincente. Ma per capirne davvero il significato – e per comprendere cosa c’entri con l’annuncio di Glasswing nove anni dopo – bisogna guardare oltre la narrazione da thriller. Occorre capire i meccanismi che haVoci narranti: Elisabetta Burba, Giulio Bellotto, Andrea PincinKrisis – Rivista di politica globale iscritta nel Pubblico Registro Stampa n. 21/2024 del Tribunale Ordinario di Milano.Editore e direttrice rresponsabile: Elisabetta BurbaCodice ISSN: 3035-2797