KEVIN MITNICK — L’hacker che capì che la vulnerabilità più grande siamo noi

Scritto da cRASh

Per anni abbiamo pensato che la sicurezza informatica fosse soprattutto una questione di tecnologia.

Password.

Firewall.

Antivirus.

Server aggiornati.

Crittografia.

Sistemi sempre più sofisticati.

Tutto vero.

Poi arrivava Kevin Mitnick.

E molto spesso non aveva bisogno di “bucare” una macchina nel modo in cui il cinema ci ha abituati a immaginare.

Gli bastava una persona.

Una telefonata.

Un nome giusto.

Una voce credibile.

Una storia costruita bene.

Perché Mitnick aveva capito una cosa prima di tantissimi altri:

puoi costruire il sistema più sicuro del mondo.

Ma se convinci la persona giusta ad aprirti la porta, il resto diventa molto più semplice.

SELEZIONA UN CAPITOLO · 18 SEZIONI

1. NON ERA MAGIA
2. SOCIAL ENGINEERING
3. IL PROBLEMA È CHE FUNZIONAVA
4. NON VA SANTIFICATO
5. NEMMENO IL MOSTRO CHE RACCONTAVANO
6. IL TELEFONO PRIMA DEL COMPUTER
7. LA CACCIA
8. IO MITNICK L’HO ANCHE LETTO
9. L’ARTE DELL’INGANNO
10. IL SOCIAL ENGINEERING NON È MORTO
11. IL PHISHING DI OGGI NON È PIÙ QUELLA MAIL SCRITTA MALE
12. E POI ARRIVANO I DEEPFAKE
13. LA SICUREZZA INFORMATICA CONTINUA A MIGLIORARE
14. DA BLACK HAT A CONSULENTE
15. PERCHÉ QUESTA STORIA MI PIACE
16. LA VERA DOMANDA NON È “QUANTO ERA BRAVO A HACKERARE?”
17. MITNICK OGGI
18. CRASHVERSE VERDICT

NON ERA MAGIA

Ed è forse questo che mi ha sempre affascinato di lui.

Non il mito.

Non la leggenda dell’hacker imprendibile.

La testa.

Mitnick era ossessionato dal funzionamento dei sistemi.

Telefonici.

Informatici.

Aziendali.

Ma soprattutto umani.

Capiva che dietro ogni password c’era qualcuno.

Dietro ogni procedura c’era qualcuno.

Dietro ogni accesso c’era qualcuno.

E quella persona poteva sbagliare.

SOCIAL ENGINEERING

Oggi il termine è conosciuto.

Social engineering.

Ingegneria sociale.

Ma negli anni in cui Mitnick costruiva la propria reputazione, quella capacità di manipolare il comportamento umano era ancora molto meno compresa.

Non significava necessariamente scrivere il codice più sofisticato.

Significava convincere qualcuno.

Impersonare un collega.

Sapere abbastanza informazioni da sembrare credibile.

Creare urgenza.

Fare una domanda nel modo giusto.

E ottenere qualcosa che, tecnicamente, non avresti dovuto avere.

Mitnick ne fece quasi un’arte.

IL PROBLEMA È CHE FUNZIONAVA

E funzionava perché gli esseri umani sono fatti così.

Ci fidiamo.

Vogliamo essere utili.

Vogliamo risolvere rapidamente un problema.

Se qualcuno sembra sapere di cosa sta parlando, abbassiamo la guardia.

Se conosce il nostro nome, il reparto in cui lavoriamo, il nome di un collega, improvvisamente ci sembra familiare.

Ed è lì che la sicurezza può crollare.

Non per colpa di una vulnerabilità nel software.

Per una vulnerabilità nella fiducia.

NON VA SANTIFICATO

E questa cosa va detta chiaramente.

Kevin Mitnick non era un eroe senza macchia.

Ha violato sistemi.

Ha ottenuto accessi che non gli appartenevano.

Ha copiato software e informazioni riservate.

È stato ricercato.

Arrestato.

Processato.

Condannato.

Fu arrestato nel 1995.

Si dichiarò colpevole nel 1999.

Uscì dal carcere nel gennaio del 2000.

Non serve trasformare tutto questo in romanticismo.

Entrare nei sistemi degli altri senza autorizzazione resta una violazione.

Punto.

Ma allo stesso tempo ridurre Mitnick a “criminale informatico” significa perdere la parte più interessante della sua storia.

NEMMENO IL MOSTRO CHE RACCONTAVANO

Negli anni Novanta attorno a Mitnick si costruì un mito enorme.

Ricercato dall’FBI.

Fuggitivo.

Hacker quasi sovrumano.

Pericolosissimo.

Lui, negli anni successivi, ha sempre sostenuto che il suo obiettivo non fosse il profitto e che la sfida, la curiosità e il gusto di riuscire fossero centrali nel suo modo di agire. Anche la biografia pubblicata dalla sua società insiste sul fatto che cercasse soprattutto la sfida, non il guadagno economico.

Naturalmente questa è anche la sua versione.

Ed è giusto ricordarlo.

La storia vera sta probabilmente in una zona meno cinematografica.

Mitnick fece cose illegali.

Ma non era il supercriminale digitale onnipotente che una parte della cultura pop aveva costruito.

IL TELEFONO PRIMA DEL COMPUTER

Una delle cose più interessanti è che il suo talento nasceva anche dal mondo del phone phreaking.

Telefoni.

Centrali.

Sistemi di comunicazione.

Manipolazione.

Mitnick capì molto presto che per entrare dentro un sistema non dovevi necessariamente partire dal computer.

Dovevi capire la rete.

E la rete comprendeva anche le persone.

Questa cosa sembra quasi banale oggi.

All’epoca lo era molto meno.

LA CACCIA

Poi arriva la parte che ha contribuito a costruire la leggenda.

Anni da fuggitivo.

Identità diverse.

Spostamenti.

Sistemi violati.

E infine la caccia che coinvolge anche Tsutomu Shimomura, l’esperto di sicurezza che contribuì a localizzarlo.

A quel punto Mitnick era diventato quasi un personaggio da thriller.

Il confine tra cronaca e mito si era assottigliato tantissimo.

Ed è proprio lì che il suo nome entra definitivamente nella cultura hacker.

IO MITNICK L’HO ANCHE LETTO

A un certo punto non mi bastava più conoscere il personaggio.

Volevo capire come ragionava.

E infatti oggi possiedo tre suoi libri.

L’arte dell’inganno.

L’arte dell’invisibilità.

L’arte dell’hacking.

Tre libri diversi.

Tre lati dello stesso problema.

Nel primo, Mitnick ti fa capire che la sicurezza non vive soltanto nei firewall.

Vive nelle persone.

Nel secondo, ti ricorda quanto sia difficile diventare invisibili quando ogni nostra azione lascia una traccia.

Nel terzo raccoglie storie di intrusioni raccontate da altri hacker. Torna il fascino tecnico dell’hacking, ma sempre con la stessa idea di fondo:

capire come funziona un sistema significa capire anche dove può cedere.

Ed è forse questo che mi ha sempre interessato davvero di lui.

Non il fuorilegge.

Il modo di pensare.

L’ARTE DELL’INGANNO

Fra tutti, questo oggi mi sembra quasi profetico.

Perché il concetto centrale è semplicissimo:

non importa quanto sia potente il tuo sistema di sicurezza se qualcuno riesce a convincerti a consegnargli ciò che gli serve.

Mitnick spiegava proprio questo: il fattore umano può vanificare firewall, crittografia e procedure se non viene formato adeguatamente.

E oggi questa cosa è ancora più vera.

IL SOCIAL ENGINEERING NON È MORTO

È diventato più potente.

Negli anni di Mitnick poteva bastare una telefonata.

Una voce sicura.

Un nome corretto.

Una piccola informazione.

Oggi abbiamo molto di più.

Phishing.

Spear phishing.

Profili falsi.

Deepfake.

Clonazione vocale.

Video sintetici.

Messaggi generati da intelligenze artificiali.

Testi capaci di imitare uno stile.

Una voce.

Un modo di scrivere.

Mitnick lavorava con la psicologia.

Oggi la psicologia ha a disposizione l’intelligenza artificiale.

IL PHISHING DI OGGI NON È PIÙ QUELLA MAIL SCRITTA MALE

Per anni abbiamo riso delle email improbabili.

Errori grammaticali.

Eredità milionarie.

Principi stranieri.

Link assurdi.

Quel tipo di phishing esiste ancora.

Ma oggi un attacco può essere molto più credibile.

Può conoscere il tuo nome.

L’azienda.

Il tuo ruolo.

Il nome del tuo responsabile.

Può imitare una comunicazione interna.

Può usare informazioni che hai pubblicato tu stesso sui social.

E con l’IA tutto questo può essere prodotto più velocemente e in modo più convincente.

E POI ARRIVANO I DEEPFAKE

Qui il discorso cambia ancora.

Perché per anni ci siamo fidati di una cosa molto semplice.

La voce.

“È lui, lo riconosco.”

O il volto.

“L’ho visto parlare.”

Oggi non basta più.

Una voce può essere clonata.

Un volto può essere ricostruito.

Un video può sembrare reale e non esserlo.

E allora il principio di Mitnick torna identico.

Non devi sempre violare una macchina.

Devi convincere una persona.

LA SICUREZZA INFORMATICA CONTINUA A MIGLIORARE

L’essere umano, invece, resta meravigliosamente prevedibile.

Paura.

Urgenza.

Autorità.

Curiosità.

Fiducia.

Sono leve che funzionavano trent’anni fa.

Funzionano ancora.

È cambiata soltanto la qualità degli strumenti con cui vengono utilizzate.

DA BLACK HAT A CONSULENTE

Poi la storia di Mitnick cambia completamente.

Dopo il carcere, prende ciò che aveva imparato e lo porta dall’altra parte.

Consulenza.

Penetration test.

Formazione.

Cybersecurity.

Diventa white hat.

Aiuta aziende a trovare vulnerabilità prima che siano altri a sfruttarle.

Fonda un’attività di sicurezza.

Diventa autore.

Speaker.

Divulgatore.

Una trasformazione radicale:

da uomo ricercato per essere entrato nei sistemi a uomo pagato per provare a entrarci legalmente.

PERCHÉ QUESTA STORIA MI PIACE

Perché non è pulita.

Non è:

buono.

Cattivo.

Genio.

Criminale.

È più complicata.

Mitnick ha sbagliato.

Ha oltrepassato limiti.

Ha pagato.

Poi ha trasformato quello stesso modo di pensare in qualcosa che poteva essere utile agli altri.

Ed è questa complessità che mi interessa.

Non devo santificarlo per riconoscere ciò che aveva capito.

E non devo disprezzarlo per ammettere che alcune delle sue intuizioni hanno anticipato il modo in cui oggi parliamo di cybersecurity.

LA VERA DOMANDA NON È “QUANTO ERA BRAVO A HACKERARE?”

Per me è un’altra.

Quanto aveva capito le persone?

Perché puoi scrivere software perfetto.

Puoi costruire procedure perfette.

Poi mandi una mail a qualcuno alle 18:45.

La persona è stanca.

Legge in fretta.

Il messaggio sembra arrivare dal capo.

Dice che è urgente.

Clicca.

Fine.

Non è fantascienza.

È quotidianità.

MITNICK OGGI

Kevin Mitnick è morto nel 2023, a 59 anni, dopo una battaglia contro il tumore al pancreas.

Ma la cosa curiosa è che molte delle idee alle quali il suo nome è legato sono diventate ancora più importanti dopo di lui.

Social engineering.

Identità digitale.

Privacy.

Anonimato.

Tracce.

Fiducia.

Oggi, con intelligenza artificiale e deepfake, quel discorso non è diventato vecchio.

È diventato più urgente.

CRASHVERSE VERDICT

Kevin Mitnick non era un santo.

E non ho nessuna intenzione di trasformarlo in uno.

Ha fatto cose che non avrebbe dovuto fare.

Ha violato sistemi che non gli appartenevano.

E ci sono conseguenze reali quando fai questo.

Ma non riesco nemmeno a liquidarlo come il cattivo di una storia informatica.

Perché Mitnick ha capito qualcosa che ancora oggi troppe persone dimenticano.

La tecnologia può essere aggiornata.

La fiducia umana molto meno.

Puoi cambiare password.

Aggiornare server.

Installare firewall.

Usare autenticazione a più fattori.

Poi arriva qualcuno che sa abbastanza di te.

Sa cosa dire.

Sa quando dirlo.

E improvvisamente tutto quello che hai costruito può dipendere da una persona che deve scegliere se cliccare oppure no.

È per questo che continuo a trovare interessante Kevin Mitnick.

Non per il mito dell’hacker.

Non per romanticizzare l’illegalità.

Ma perché aveva capito il punto più debole di qualsiasi sistema.

Noi.

E oggi, mentre una macchina può imitare una voce, un volto, uno stile di scrittura e persino una relazione di fiducia, quella lezione vale forse più di quanto valesse allora.

Mitnick ci aveva avvertito.

Il problema non è sempre entrare nel computer.

A volte basta entrare nella testa di chi lo usa.

Credito immagine di copertina: fotografia di Kevin Mitnick di Eneas De Troya, CC BY 2.0, via Wikimedia Commons. La fotografia è stata adattata e inserita nello schermo del computer in una composizione CrashVerse.