L'articolo è stato modificato alle 22.15 con la nota ufficiale del ministero dell'Istruzione, Università e Ricerca, dove si commenta l'entità dell'attacco hacker.
La buona scuola di Matteo Renzi non piace ad Anonymous che per dispetto ha messo in rete 26 mila indirizzi di posta elettronica dei professori di ogni ordine e grado che afferiscono al Ministero per l’Istruzione, l’Università e la Ricerca. E insieme a questi pure le password per leggerla.
Il bottino potrebbe essere frutto della violazione di pochi siti web e di un paio di forum di coordinamento della scuola. In molti casi gli indirizzi sono completi di username e password e telefoni e almeno tre danno accesso a siti web gestiti con la piattaforma WordPress. Ci sono anche 200 indirizzi di personale amministrativo che tiene i rapporti col MIUR per conto delle singole università: Bocconi, Luiss, Roma3, Università della Calabria, di Modena Reggio Emilia e via discorrendo. E proprio a scuole, licei e istituti tecnici dell’Emilia Romagna appartengono molti profili con relative credenziali.
Ad annunciare l’incursione, piuttosto eclatante, sono gli Anonymous italiani che da qualche tempo si presentano con la sigla di Lulzsec Italia, per sottolineare il lato goliardico e irriverente delle loro azioni: “Lulz” è infatti un temine gergale per indicare le “grasse risate” e il divertimento in generale, accoppiato alla parola security in “LulzSec”. Lulzsec però si presenta come portavoce di un gruppo più ampio di hacker attivisti che in Italia si riuniscono sotto la sigla “Anonymous” e non sono sempre loro a condurre le azioni di sabotaggio che in diversi casi vanno attribuite ad AnonPlus, gli hacker attivisti responsabili delle violazioni di Libero, il Giornale e del blog di Salvini di pochi giorni fa.
Il collettivo, dando notizia dell’accaduto, è stato molto duro con la ministra Fedeli che ritengono appartenente alla casta e definisce aguzzini chi dall’alternanza scuola lavoro ha ottenuto manodopera giovane e gratuita: “Salve Ministro dell'Istruzione, Valeria Fedeli, le diamo il benvenuto nell'arena. Siamo qui oggi per parlare di un tema delicato che ha fatto discutere molto, ovvero l'alternanza scuola lavoro. L'alternanza scuola lavoro, nasce con l'intento di far conoscere agli studenti il mondo del lavoro, o almeno questo vuole essere lo scopo della gentile Sig.ra Fedeli.
Studenti di un liceo scientifico che iniziano a conoscere il mondo del lavoro a partire da una catena di cancro come McDonald's, può essere paragonata solamente alla stregua di un povero elefante in un negozio di porcellana, studenti che alla fine vengono anche sfruttati solo per il vostro interesse nell'avere manodopera giovane e gratuita. Siete solo aguzzini che sfruttano l'esperienza nulla che hanno i giovani d'oggi approfittandovene per il vostro tornaconto personale.”
La rabbia goliardica poi si rivolge a ministri e parlamentari: “E così come voi Ministri e Parlamentari state cercando di rovinare la scuola, noi cerchiamo di rovinare voi, ma con una sola differenza! Quale? Che voi fallite sempre, noi no. Expect US!”
I database hackerati e i rischi
I database hackerati sono 52, 6048 le email di singole scuole, 63 di coordinatori, 355 del forum “Indire”, 42 di Xforum, 148 di dirigenti scolastici, 155 di referenti, 6808 di insegnanti, e altri 13 mila circa collegati al mondo della scuola ma con indirizzi privati, da Virgilio.itVirgilio.it a Yahoo.it
E tuttavia, a parte la possibilità di entrare nella casella di posta elettronica di referenti e coordinatori scolastici che si presume si scambino documenti di lavoro, idee e progetti riservati, forse anche valutazioni politiche della riforma di certo non omogenee la violazione più grave potrebbe riguardare il database che contiene i dati sulle donazioni del 5xmille all’Università da cui si potrebbe risalire ai donatori e ai loro profili anche fiscali.
La regola dell’ingegneria sociale vuole infatti che questa tecnica informatica che fa leva sulla psicologia delle persone per ricostruire l’identità digitale degli individui e sostituirsi ad essi nelle relazioni quotidiane, aggiunga un’informazione alla volta per sfruttare le credenziali con cui accediamo a social, banche, rete aziendale, siti della Pubblica Amministrazione. E poi è noto, dalla mailbox violata si può arrivare all’avvocato, dall’avvocato al fiscalista, dal fiscalista al medico e impossessarsi del Cud o delle analisi spedite via email fino alla banca dove si è correntisti.
Insomma, dalla casella di posta elettronica al furto completo dell’identità è un passo.
Il problema della divulgazione di una singola email potrebbe perciò diventare più serio di un mailbombing, un bombardamento massiccio di email verso singole caselle di professori burberi per intasarle e farle collassare. Mentre rimane il rischio di vedere modificate perfino le valutazioni degli studenti accedendo in maniera illegittima i registri online delle scuole.
Il consiglio è pertanto di modificare subito le propri credenziali e attivare l’autenticazione a due fattori. E di incrociare le dita che tutto questo non sia già successo.
La risposta del ministero dell'Istruzione, Università e Ricerca
In riferimento all'attacco informatico di ieri attuato dal gruppo hacker LulzSecITA e alla relativa pubblicazione di migliaia di indirizzi di posta elettronica di scuole e insegnanti, in seguito alle verifiche effettuate dagli uffici competenti del Ministero dell'Istruzione, Università e Ricerca emerge che i dati pubblicati "non sono riconducibili a componenti dei sistemi informatici del Miur, gestiti dalle società Almaviva-Fastweb e DXC-Leonardo. In particolare, non sono stati trafugati dati dai sistemi che gestiscono l'accesso alle caselle del dominio @istruzione.it". È detto in un comunicato dello stesso dicastero, dove si aggiunge che da un controllo effettuato sugli indirizzi @istruzione.it presenti nei dati pubblicati "risulta che su 6.163 indirizzi email, 4.565 non sono attivi; 1.598 sono attivi".
Tuttavia, le password pubblicate associate alle email in questione "non sono quelle necessarie per accedere alle caselle di posta. Infatti, confrontando il dato pubblicato relativo alle password (non si tratta in effetti di password vere e proprie, ma di "hash", ossia dati derivati dalla password attraverso un'operazione matematica), risulta che tali dati non sono compatibili con quelli memorizzati sui sistemi Miur e non consentono quindi di accedere alle caselle di posta".
Condividi