Reti universitarie colabrodo e scarsa cultura della sicurezza informatica

Non sappiamo se prendere per buona la rivendicazione dell’attacco pirata ai database di diciotto Università italiane, fatta su Twitter da un gruppo finora sconosciuto, che si firma LulzStorm. E’ credibile però la motivazione: “…Loro pensano di essere al sicuro, ma i loro siti sono pieni di debolezze. Italiani, come potete affidare i vostri dati a tali idioti? E’ uno scherzo? Cambiate password ragazzi; cambiate concetto di sicurezza, università”. Insomma, LulzStorm (assimilabile, per assonanza, al gruppo LulzSec vicino ad Anonymous) ha dimostrato che i dati sensibili (nomi, cognomi, password, molti indirizzi mail e di abitazioni,  numeri telefonici, codici fiscali) di decine di migliaia di docenti e studenti erano mal protetti. Significa che le diciotto Università hanno sistemi di sicurezza informatica non adeguati.

La seconda parte del messaggio di presunta rivendicazione è ancora più esplicita: “…Avremmo potuto rilasciare molto di piu’, avremmo potuto distruggere db e reti intere. Siete pronti per tutto questo”?

Non rassicurano i tentativi di difesa delle Università perforate (l’Antoniano e l’Unibo a Bologna, il Politecnico, la Bocconi e la Bicocca a Milano, La Sapienza a Roma e poi Bari Cagliari, Foggia, Lecce, Messina, Modena, Napoli, Pavia, Salerno, Siena, Torino e Urbino).

”Si tratta di informazioni molto generiche sulla didattica – minimizzano dall’università di Bologna – I dati non provengono dai sistemi informativi e dai database dell’ateneo e non contengono informazioni riservate”. Anche il rettore della Sapienza di Roma fa sapere che ”l’attacco è stato respinto” sottolineando che ”non sono stati rubati dati rilevanti”. E a Siena affermano che non risulta ”niente di anomalo”. Altri però tacciono e nessuno smentisce l’intrusione.

Il fatto certo è che i dati sensibili di docenti e studenti sono finiti sul web. Un enorme danno di immagine, oltre che alla privacy degli interessati. Una ulteriore dimostrazione della scarsa cultura della sicurezza informatica nel nostro paese. Gli hacker dicono di essersi fermati sulla soglia, di aver scelto di non andare oltre, di aver voluto fare un attacco dimostrativo.

Viene da chiedersi se la lezione servirà alle aziende e alle organizzazioni pubbliche e private. Sono al sicuro le nostre informazioni anagrafiche, sanitarie, fiscali, bancarie? E se invece degli hacker avessero agito i cracker?