Un cyberattacco contro i sistemi informatici dell’Amministrazione di Moldavia ha compromesso i dati personali di circa 450.000 persone, circa il 19% della popolazione del paese. La presidente, Maia Sandu, ha confermato questo venerdì l’entità della violazione e ha riconosciuto che le istituzioni non hanno rilevato né comunicato in tempo la gravità dell’incidente, che ha messo in luce importanti carenze nella protezione delle informazioni pubbliche.
L’intrusione è avvenuta tra il 19 e il 23 ottobre e ha permesso di accedere a informazioni memorizzate nei registri di almeno dieci istituzioni statali. Tra i dati compromessi figurano nomi, informazioni sanitarie, pensioni, prestazioni sociali, legami familiari e determinati dati finanziari.
Il numero di persone coinvolte equivale a una revisione al ribasso rispetto alle prime stime ufficiali, che indicavano 750.000 persone. Tuttavia, il Governo moldavo riconosce che la portata dell’incidente rimane considerevole e ha annunciato che i cittadini colpiti riceveranno notifiche individuali.
Sandu ha convocato il Consiglio Nazionale di Sicurezza per esaminare quanto accaduto e coordinare la risposta delle istituzioni. La presidente ha avvertito in particolare del rischio che le informazioni rubate vengano utilizzate per truffe telefoniche, messaggi fraudolenti e sostituzioni di identità.
Un guasto ha permesso di accedere ai registri di dieci istituzioni
L’indagine preliminare ha identificato problemi nella progettazione dei sistemi di scambio di informazioni dell’Amministrazione moldava.
Come ha spiegato Sandu, le piattaforme verificavano quale applicazione richiedesse i dati, ma non verificavano adeguatamente l’identità della persona che effettuava la richiesta né se avesse l’autorizzazione ad accedere a tali informazioni.
Questa vulnerabilità ha permesso a un’applicazione con permessi insufficienti di aprire la strada ai registri di diverse istituzioni pubbliche.
Il sistema non disponeva nemmeno di controlli sufficienti per limitare la quantità di informazioni consultate né di avvisi automatici in grado di rilevare estrazioni eccezionali.
Gli attaccanti hanno effettuato circa 11 milioni di richieste di accesso e hanno consultato circa un milione di numeri di identificazione personale, secondo i dati preliminari dell’Agenzia di Governance Elettronica (AGE).
Il 20 ottobre è stata la giornata di maggior attività. Le richieste ai servizi digitali hanno raggiunto livelli trenta volte superiori a quelli abituali e sono stati estratti dati di oltre 260.000 persone.
Dati medici, conti bancari e prestazioni sociali
Le informazioni compromesse provengono da diversi registri amministrativi e contengono dati particolarmente sensibili.
Oltre a nomi, date e luoghi di nascita, gli attaccanti hanno potuto consultare informazioni su lo stato di salute dei cittadini, i loro medici di base, situazioni di disabilità e prestazioni sociali.
Sono rimasti esposti anche dati di familiari, fotografie, patenti di guida, veicoli, informazioni aziendali, numeri di conto bancario, debiti fiscali e storici dei pagamenti.
La presidente ha assicurato che non è stato rilevato un uso dei dati bancari per accedere direttamente ai conti dei cittadini. Tuttavia, ha chiesto di adottare precauzioni massime in vista di possibili tentativi di frode.
Le autorità raccomandano di non fornire informazioni personali per telefono, di diffidare di messaggi che richiedano dati bancari e di contattare direttamente gli enti finanziari o la polizia tramite i loro canali ufficiali.
Il Governo riconosce ritardi e fallimenti di coordinamento
La risposta all’attacco ha obbligato a disconnettere preventivamente 82 servizi pubblici digitali e più di 30 sistemi informatici e pannelli di amministrazione.
Il 21 ottobre, le autorità sono riuscite a bloccare l’accesso alle informazioni sui familiari dei cittadini. Due giorni dopo hanno iniziato a bloccare le connessioni utilizzate dagli attaccanti e, il 24 ottobre, è cessata l’attività rilevata.
Successivamente si sono verificati nuovi tentativi di intrusione, il 25 e il 27 ottobre, che le autorità affermano di aver neutralizzato senza nuove estrazioni di informazioni.
Sandu ha ammesso che la reazione istituzionale è stata insufficiente, soprattutto nella comunicazione con la popolazione.
La presidente ha riconosciuto che l’assenza di un chiaro protocollo di comunicazione ha causato ritardi e difficoltà a distribuire le responsabilità tra le istituzioni.
L’Esecutivo ha creato un gruppo di lavoro guidato dal primo ministro, Vasile Tofan, per coordinare le azioni e rivedere le vulnerabilità rilevate.
I servizi pubblici interessati si sono ripristinati progressivamente, dopo aver sottoposto i loro sistemi a verifiche di sicurezza.
La Procura indaga sul furto di informazioni
La Procura di Chisináu ha avviato un’indagine penale per possibili reati connessi alla violazione della riservatezza e alla divulgazione di informazioni protette.
La portavoce della Procura generale, Violina Moraru, ha confermato l’avvio delle indagini, pur non fornendo informazioni sui possibili responsabili.
Le autorità moldave non hanno attribuito ufficialmente l’attacco a nessun Paese e non hanno identificato pubblicamente i suoi autori.
Sandu ha per il momento escluso che vi siano indizi di un sabotaggio interno. L’indagine dovrà stabilire come sia avvenuto l’accesso ai sistemi e chi sia dietro l’estrazione dei dati.
Il Governo annuncia nuove misure di sicurezza
Dopo la riunione del Consiglio nazionale di sicurezza, le autorità hanno concordato di rafforzare i controlli di accesso ai registri pubblici, limitare la quantità di informazioni che può essere consultata e migliorare i meccanismi di rilevamento di attività sospette.
L’Agenzia per la governance elettronica notificherà individualmente ai soggetti interessati. Inoltre, le banche riceveranno informazioni sui cittadini i cui dati sono stati consultati affinché possano effettuare ulteriori verifiche in presenza di possibili operazioni fraudolente.
L’indagine avrà anche conseguenze per la gestione dei servizi digitali. La direttrice dell’Agenzia per la governance elettronica, Nicoleta Colomeeț, ha annunciato le sue dimissioni e le autorità stanno preparando due audit per chiarire le falle di sicurezza. I primi risultati sono previsti per la fine di novembre e i successivi per l’inizio di dicembre.
La possibile implicazione di un attore straniero
La presidente moldava ha indicato che le caratteristiche dell’attacco sono compatibili con l’operato di un attore statale, anche se ha insistito sul fatto che non sono ancora stati identificati i responsabili.
La Moldavia, Paese confinante con Ucraina e Romania e candidato all’ingresso nell’Unione europea, ha in precedenza denunciato operazioni di ingerenza e disinformazione attribuite alla Russia. Tuttavia, le autorità non hanno presentato prove che consentano di collegare questo specifico cyberattacco a Mosca.
L’incidente ha messo in discussione la sicurezza di un’Amministrazione che negli ultimi anni ha promosso la digitalizzazione di numerose procedure pubbliche. La priorità del Governo è ora proteggere le informazioni dei cittadini e impedire che i dati ottenuti durante l’attacco vengano utilizzati in nuove operazioni fraudolente.