Hackback: La Risposta Digitale agli Attacchi Cyber è Giusta o un Pericolo Nascosto?

Ciao a tutti! Oggi voglio parlarvi di un argomento che sembra uscito da un film di spionaggio, ma è tremendamente attuale e ci tocca da vicino: gli “hackback”. Avete presente gli attacchi informatici? Ransomware che bloccano ospedali, furti di dati sensibili, interferenze nelle elezioni… ecco, la minaccia è reale e, diciamocelo, fa paura. Lo Stato e la società sono sotto scacco.

Recentemente, magari avete sentito parlare dell'”Operazione Endgame”, definita come il “più grande colpo” mai assestato al cybercrime globale. Un’azione coordinata a livello internazionale che ha smantellato infrastrutture criminali enormi. Questo ci dice due cose: primo, le autorità stanno prendendo la lotta al cybercrime molto sul serio; secondo, da soli non si va da nessuna parte, serve cooperazione internazionale.

Ma cosa succede quando la difesa non basta più? Quando subisci un attacco devastante, magari da hacker che operano dall’altra parte del mondo, ben nascosti? Qui entra in gioco il concetto di “hackback”.

Ma cosa sono esattamente questi “Hackback”?

In parole povere, un “hackback” è quando lo Stato, invece di limitarsi a difendere i propri sistemi informatici, passa al contrattacco. Diventa esso stesso un “hacker” per bloccare l’attacco originale o prevenirne di futuri. Non si tratta più solo di alzare muri (difesa passiva, come la crittografia o la chiusura di falle di sicurezza), ma di entrare attivamente nei sistemi altrui, magari per cancellare dati malevoli o addirittura spegnere un server usato per l’attacco.

Il termine “hackback” è un po’ un termine ombrello, molto “politico”. Tecnicamente, forse è più corretto parlare di operazioni cibernetiche intrusive condotte dallo Stato, specialmente quando parliamo di azioni civili (non militari) che restano sotto la soglia dell’uso della forza vietato dal diritto internazionale (quello dell’Art. 2(4) della Carta ONU, per intenderci). L’obiettivo è interferire con sistemi IT esterni (non quelli dello Stato attaccante né quelli della vittima diretta) per neutralizzare una minaccia informatica specifica, presente o futura.

Pensateci: è un cambio di paradigma notevole. Diversi Paesi come Svizzera, Israele, Olanda, Regno Unito e Stati Uniti hanno già inserito strumenti simili nel loro arsenale di cyber-difesa. Persino la Commissione Europea spinge gli Stati membri a investire di più in capacità di difesa attiva. E l’Italia? E la Germania, da cui prende spunto questo articolo? Tradizionalmente, la Germania è stata più cauta, puntando sulla resilienza delle proprie reti (difesa passiva). Ma dopo attacchi eclatanti, come quello al Bundestag nel 2015, il dibattito si è acceso anche lì, e qualche passo verso misure più intrusive è stato fatto, seppur con molte cautele.

Come funziona un’Operazione Cibernetica Intrusiva?

Immaginate uno scenario. Un’autorità di sicurezza rileva un attacco informatico in corso. Cosa fa?

1. Rilevamento e Analisi: Prima si cerca di capire cosa sta succedendo, chi è coinvolto, qual è l’obiettivo. Ancora siamo in fase difensiva.
2. Attribuzione (Il Punto Dolente): Qui le cose si complicano. Bisogna capire chi c’è dietro l’attacco. E vi assicuro che non è facile. Gli hacker usano mille trucchi per nascondere le loro tracce: usano server “dirottati” in altri Paesi, inseriscono false piste nel codice, usano tecniche di anonimizzazione. Identificare con certezza l’autore, specialmente sotto pressione temporale (pensate a un attacco a infrastrutture critiche!), è una sfida enorme. Spesso, è quasi impossibile.
3. Contromisura Attiva (L’Hackback vero e proprio): Se si riesce (o si crede di riuscire) a identificare il sistema da cui parte l’attacco, si passa all’azione intrusiva. Le tecniche possono variare:
   • Mettere fuori uso il sistema attaccante (un attacco “Denial of Service”, o DoS, al contrario).
   • Infiltrarsi nel sistema tramite vulnerabilità o phishing per installare un programma che lo neutralizzi o cancelli i dati malevoli.
   • Prendere il controllo di server usati dai criminali per diffondere malware e usarli per “disinfettare” i computer infetti.

Un esempio famoso è stato lo smantellamento del malware Emotet. Le autorità hanno preso il controllo dei suoi server sparsi in 90 Paesi e li hanno usati per inviare un “aggiornamento” ai computer infetti che, in pratica, disattivava e cancellava il virus. Simile l’azione della Gendarmeria francese contro il worm Retadup. L’FBI, invece, è intervenuta direttamente per rimuovere “web shells” (porte d’accesso nascoste) lasciate da hacker su centinaia di server Exchange negli USA.

Il Campo Minato Legale: Extraterritorialità e Diritti Umani

Fin qui la tecnica. Ma la vera gatta da pelare è la legalità, soprattutto alla luce del diritto internazionale e dei diritti umani. Quando uno Stato agisce al di fuori dei propri confini, anche nel cyberspazio, deve rispettare delle regole. E qui sorge un problema: i trattati sui diritti umani (come la Convenzione Europea dei Diritti dell’Uomo – CEDU, o il Patto Internazionale sui Diritti Civili e Politici – ICCPR) si applicano principalmente alle persone sotto la giurisdizione dello Stato, cioè di solito sul suo territorio.

Ma come la mettiamo con un hackback che colpisce un server (e magari i dati di persone) all’estero? La giurisprudenza tradizionale parla di “controllo effettivo” su un territorio (come un’occupazione militare) o su una persona (come un arresto all’estero). Difficile applicarlo pari pari a un’operazione cibernetica.

Qui entra in gioco un concetto affascinante e necessario: il controllo effettivo virtuale. Se lo Stato, tramite un’operazione intrusiva, ottiene un controllo significativo sui dati o sulla vita digitale di una persona, anche se questa si trova all’estero, non possiamo far finta che i diritti umani non contino. Sarebbe assurdo! Permetterebbe agli Stati di fare all’estero, via cyber, cose che sarebbero illegali sul proprio territorio. La Corte Europea dei Diritti dell’Uomo (CEDU), interpretando la Convenzione come uno strumento “vivo”, sembra andare in questa direzione, applicando le tutele anche in casi di sorveglianza extraterritoriale. Se uno Stato può “toccare” i tuoi dati sensibili, ovunque tu sia, deve farlo rispettando i tuoi diritti fondamentali.

Quali Diritti Sono in Gioco?

L’hackback può impattare diversi diritti umani:

• Diritto alla Privacy (Art. 8 CEDU, Art. 17 ICCPR, Art. 12 Dichiarazione Universale): Questo è il nodo centrale. Include:
  • Protezione dei Dati Personali: Per fare un hackback, spesso si devono analizzare e trattare dati. Anche se l’obiettivo non è spiare, si finisce per accedere a informazioni (indirizzi IP, dati di localizzazione, contenuti di comunicazioni) che possono essere personali, non solo dell’attaccante ma anche di terzi innocenti i cui sistemi sono usati come tramite. C’è un rischio intrinseco per la privacy e una potenziale “dispersione” del danno.
  • Sicurezza dei Dati (Data Security): Questo è un aspetto cruciale, anche se meno codificato esplicitamente nei vecchi trattati. Significa proteggere i dati da accesso, distruzione, perdita, modifica o divulgazione non autorizzati. Comprende tre pilastri:
    • Confidenzialità: I dati devono essere accessibili solo a chi è autorizzato. Un hackback, per definizione, viola la confidenzialità dei sistemi in cui entra.
    • Integrità: I dati non devono essere alterati o cancellati senza permesso. Un hackback spesso implica proprio questo: modificare o cancellare codice malevolo, ma con il rischio di danneggiare anche dati legittimi.
    • Disponibilità: I dati e i sistemi devono essere accessibili quando servono. Un hackback che spegne un server o lo rende inutilizzabile ne compromette la disponibilità.

    Anche se non c’è ancora un “diritto umano alla sicurezza dei dati” formalmente riconosciuto ovunque, è chiaro che senza sicurezza dei dati, la protezione della privacy nel mondo digitale è un’illusione. È un aspetto fondamentale del diritto alla privacy.

• Altri Diritti: A seconda di come viene eseguito l’hackback, possono essere toccati anche il diritto di accesso a Internet, la libertà di espressione, il diritto di proprietà (se l’hardware viene danneggiato) e, in casi estremi e non voluti, persino il diritto alla vita (se un’operazione su un sistema critico causa un incidente fisico).

Giustificare l’Intrusione: Il Test di Proporzionalità

Ok, un hackback interferisce pesantemente con i diritti umani. Significa che è sempre illegale? No, i diritti come la privacy non sono assoluti. Possono essere limitati, ma a condizioni molto stringenti. Serve:

1. Una Base Legale Chiara e Accessibile: L’operazione deve essere prevista da una legge nazionale. E non una legge qualsiasi! Deve essere sufficientemente precisa per permettere ai cittadini di capire quando e come lo Stato può agire, e deve includere garanzie contro abusi (controllo indipendente, procedure chiare, ecc.). Niente “carta bianca” all’esecutivo.
2. Uno Scopo Legittimo: L’hackback deve perseguire uno degli scopi ammessi dalle convenzioni (es. sicurezza nazionale, ordine pubblico, prevenzione dei reati, protezione dei diritti altrui). Contrastare cyberattacchi gravi rientra sicuramente tra questi. Attenzione: la pura vendetta o rappresaglia per un attacco già concluso non è uno scopo legittimo.
3. Proporzionalità: Questo è il test cruciale. L’hackback deve essere:
   • Idoneo: Deve essere tecnicamente capace di raggiungere lo scopo.
   • Necessario: Non devono esistere alternative meno intrusive ma ugualmente efficaci per raggiungere lo stesso obiettivo. Qui il dibattito è aperto. Spesso misure passive (patch, isolamento sistemi, avvisi) o diplomatiche sono preferibili, ma potrebbero non essere abbastanza rapide o efficaci contro attacchi gravi e in corso. La necessità va valutata caso per caso. Di certo, un hackback non è necessario se l’attacco è già finito.
   • Adeguato (Proporzionato in senso stretto): Questo è il bilanciamento finale. I benefici dell’hackback (es. fermare un attacco a un ospedale) devono essere soppesati rispetto ai danni che provoca:
     • All’attaccante (anche lui ha diritti, l’azione deve essere limitata allo stretto necessario).
     • A terzi innocenti (il rischio di “danni collaterali” è altissimo, dato che gli hacker usano spesso infrastrutture di altri).
     • Alla sicurezza informatica generale (usare vulnerità invece di correggerle indebolisce la sicurezza di tutti; il “malware di Stato” potrebbe diffondersi o essere copiato).
     • Alle relazioni internazionali (un hackback potrebbe essere visto come un atto ostile e causare escalation).

     Questo bilanciamento è difficilissimo, pieno di incertezze. Spesso non si sa esattamente chi si colpisce, quali saranno le reazioni a catena. Per questo, la dottrina prevalente e la prudenza suggeriscono che l’hackback possa essere considerato proporzionato solo come ultima ratio, per rispondere a minacce gravissime e imminenti (es. attacchi a infrastrutture critiche vitali, alla sicurezza nazionale), quando tutte le altre opzioni sono fallite o palesemente inadeguate, e prendendo ogni precauzione possibile per minimizzare i danni collaterali e i rischi.

Il Dovere di Protezione dello Stato

C’è un altro lato della medaglia. I diritti umani non impongono solo allo Stato di *non* interferire (obbligo negativo), ma anche di *proteggere* attivamente i cittadini dalle violazioni commesse da terzi (obbligo positivo o Schutzpflicht). Visto che i cyberattacchi possono violare gravemente i nostri diritti, lo Stato non ha forse il dovere di fare qualcosa, magari anche usare gli hackback se necessario?

La risposta è complessa. Sì, lo Stato ha il dovere di proteggerci, anche nel cyberspazio. Deve creare un quadro normativo e tecnico adeguato. Ma ha un ampio margine di discrezionalità su *come* farlo. Non c’è un obbligo specifico di adottare gli hackback. Anzi, visti i rischi enormi che comportano, molti ritengono che lo Stato adempia meglio al suo dovere di protezione rafforzando le difese passive, promuovendo la resilienza informatica e la cooperazione internazionale, piuttosto che lanciandosi in contrattacchi dagli esiti imprevedibili. Solo in casi eccezionali, dove un danno gravissimo e imminente fosse altrimenti inevitabile, si potrebbe forse ipotizzare che l’inerzia diventi una violazione del dovere di protezione.

Conclusione: Un’Arma a Doppio Taglio

Tirando le somme, gli hackback sono uno strumento potente ma estremamente delicato. Possono sembrare una risposta logica alla crescente minaccia cyber, ma aprono un vaso di Pandora di problemi legali, etici e pratici.

Pro:

• Potenzialmente efficaci contro attacchi in corso.
• Possono avere un effetto deterrente.
• Potrebbero essere l’unica opzione in casi estremi.

Contro:

• Difficoltà enorme di attribuzione certa dell’attacco.
• Alto rischio di colpire innocenti (danni collaterali).
• Rischio di escalation incontrollata (anche diplomatica).
• Problemi di compatibilità con i diritti umani (privacy, sicurezza dati).
• Rischio di indebolire la sicurezza globale (non chiudendo falle, diffondendo “armi” cyber).
• Mancanza di un quadro legale internazionale chiaro e condiviso.

Personalmente, credo che la strada maestra resti quella della prevenzione e della resilienza. Costruire sistemi sicuri, educare gli utenti, cooperare a livello internazionale per perseguire i criminali sono passi fondamentali e meno rischiosi. L’hackback, se mai dovesse essere usato, dovrebbe essere davvero l’extrema ratio, circondato da garanzie legali e tecniche fortissime, trasparenza e controllo democratico.

Come diceva l’articolo originale, fare un hackback è un po’ come “respingere una palla senza sapere dove andrà a finire: potrebbe colpire il bersaglio, ma le conseguenze sono imprevedibili”. E in un mondo interconnesso come il nostro, forse è meglio pensarci due volte prima di lanciare quella palla. Voi cosa ne pensate?

Fonte: Springer