La storia dell’hacker che ha cancellato l’intero catasto rumeno per ripicca

Compravendite immobiliari sospese, mutui bloccati e migliaia di notai impossibilitati ad accedere agli atti di proprietà. Un attacco informatico contro l’agenzia del catasto ha paralizzato una parte decisiva dell’economia della Romania: dopo il rifiuto del governo di pagare un riscatto, il cybercriminale avrebbe cancellato i dati sottratti e messo fuori uso i sistemi che gestiscono le informazioni catastali del Paese. Una crisi che, a pochi giorni dall’aumento dell’Iva sulle nuove abitazioni, rischia di provocare conseguenze ancora più pesanti sul mercato immobiliare.

Una nazione paralizzata

Quando l’hacker ha capito che il governo rumeno non avrebbe pagato, per ripicca ha cancellato tutti i dati che aveva rubato, tra cui: migliaia di documenti amministrativi, le credenziali di tutti i dipendenti e, soprattutto, tutti i documenti del catasto. Questo ha fermato la compravendita di case, esercizi commerciali e terreni mandando in crisi anche le banche del Paese perché si è fermata anche l’emissione dei mutui. Come spesso accade, l’hacker si è vantato delle sue prodezze su dei forum del dark web scrivendo: «Oltre ai dati dei cittadini rumeni, provenienti da vari database raccolti attraverso le reti dell’agenzia delle entrate rumena, nel pacchetto c’è anche una copia dei server contenente il codice sorgente di tutti i loro sistemi, come Eterra o RENNS, nonché una versione del mio piccolo programma ransomware». Anche i notai del Paese, che in media devono certificare circa 170.000 compravendite immobiliari all’anno, si sono dovuti fermare perché non potevano in alcun modo intervenire sugli atti di proprietà o accedere ai dati catastali. L’attacco, peraltro, potrebbe non essere avvenuto in un momento casuale: queste sono le ultime settimane in cui è ancora possibile acquistare un casa in Romania con l’IVA al 9% perché a partire dall’1° agosto, l’imposta sulle nuove costruzioni salirà al 21 per cento.

Chi è l’hacker che ha mandato in tilt la Romania

L’utente che si è vantato delle proprie prodezze contro i sistemi governativi rumeni si fa chiamare ByteToBreach e, guardando ai suoi commenti sui forum precedenti, potrebbe essere lo stesso cybercriminale che ha attaccato e compromesso le piattaforme di interfaccia dei cittadini con il governo svedese (il portale e-government). L’azienda di cybersicurezza KELA sostiene di aver identificato ByteToBreach: il suo nome sarebbe Zakaria Mahdjoub e opererebbe da Orano, in Algeria. Gli specialisti dell’azienda lo hanno definito «un cybercriminale tecnicamente esperto che vende dati globali sensibili di compagnie aeree, banche e governi». Sul suo “curriculum” ci sarebbero anche i sistemi governativi di Slovacchia, Ucraina, Polonia e Lituania, nonché alcune aziende con contratti governativi in Kazakistan, Cipro, Polonia, Cile, Uzbekistan e Stati Uniti. Il metodo di infiltrazione è sempre lo stesso: una combinazione di sistemi datati e “una scarsa igiene informatica”, quindi un gruppo di protocolli poco sicuri e una serie di scorciatoie pericolose per risparmiare tempo e soldi.

Come ha fatto a entrare nel Catasto

Come hanno scritto alcuni media locali, più che un merito del cybercriminale, l’attacco è il risultato di forti negligenze in tema di cybersicurezza. Il giornale locale Ziarul Financiar parla di una spesa per la difesa informatica pari allo 0,2% del budget del catasto: 305.000 euro di investimenti nel corso degli ultimi 20 anni. Persino il direttore dell’agenzia rumena per la cybersicurezza, Dan Cîmpean, ha detto che l’attacco non è stato così complicato e che ha sfruttato «vulnerabilità già comunicate al catasto». L’agenzia KELA ha ricostruito nel dettaglio le vulnerabilità sfruttate da ByteToBreach: «Il sistema è dipendente da sistemi obsoleti e non supportati (Windows XP, Windows 7, Windows Server 2003), con diversi comandi personalizzati come ‘DISABLE WINDOWS FIREWALL’ e ‘MIGRARE – ADD ADMINISTER’. In più, sono sparpagliati ovunque i dati personali dei dipendenti ed è stata trovata  almeno una password aziendale crittografata». La crisi non è ancora rientrata: c’è una copia offline del database, ma a ripartire, per ora, è stato solo il sito dedicato alle comunicazioni, e non quello che si interfaccia con il database ufficiale.