La storia della Sony hackerata sta sfiorando il ridicolo

Sono giorni importanti per le notizie sull'enorme attacco, ancora in corso, ai danni della Sony.

Prima di tutto le maggiori catene di distribuzione cinematografica hanno annunciato che non proietteranno The Interview dopo una non specificata minaccia di violenza da parte dei Guardians of Peace, il collettivo di hacker che ha attaccato la Sony. Poi la compagnia ha annunciato che avrebbe cancellato il lancio del film. Ora il governo statunitense suggerisce che ci sia la Corea del Nord dietro agli attacchi.

Quindi sì, grandi notizie.

Per fare il punto della situazione, ho contattato Peter W. Singer, uno dei maggiori esperti di cybersicurezza per sapere la sua opinione. Singer è autore di Cybersecurity and Cyberwar: What Everyone Needs to Know e Wired for War, ed è anche esperto di strategia presso la New America Foundation.

Motherboard: Andiamo subito al sodo—questi hacker sono terroristi? Sono cyberterroristi?
​Peter W. Singer: Bisogna considerare le due prospettive: c'è la definizione di terrorismo e la reazione a esso. Sony ha definito l'attacco come "cyberterrorismo" e vari media hanno usato la stessa definizione. La realtà è che diffondere online la sceneggiatura di un film non è un atto di terrorismo. L'FBI lo descrive come un "atto che porta a violenza." La sceneggiatura del nuovo film di James Bond che parla di violenza non è la stessa cosa di un atto di violenza vera e propria.​

Ciò che è successo finora alla Sony non c'entra niente con la definizione di terrorismo. Stanno dicendo "è un atto di guerra." Ma non stiamo entrando in guerra con la Corea del Nord solo perché Angelina Jolie si è arrabbiata con un dirigente della Sony. Gli atti di guerra hanno uno standard molto diverso.

Siamo davvero oltre i limiti dell'idiozia.

E poi ci sono le minacce vere e e proprie.
​Lo stesso gruppo ha minacciato attacchi in stile 11 settembre in ogni cinema che avrebbe proiettato il film. Bisogna distinguere tra le minacce e le capacità reali, la capacità di rubare email da un network non così ben protetto non è la stessa cosa che fare attacchi stile 11 settembre in 18.000 luoghi contemporaneamente. Non posso credere di star dicendo questa cosa. Non posso credere di doverla dire.

Questo gruppo non ha mostrato di avere le capacità di farlo. La Sony si sta pentendo di qualsiasi connessione abbia con il film. Non siamo in un contesto da 11 settembre.

Le catene di distribuzione hanno considerato la realtà delle minacce?
​Ho parlato con Bruce Schneier che mi ha detto che la Sony sta giocando la carta del vittimismo.

È possibile che la Sony abbia avuto semplicemente sfortuna e abbia trasformato tutta la situazione in un incidente internazionale?
​Ora arriviamo al punto che dalla stupidità si arriva alle cose serie: questo non è solo un esempio di come non si deve reagire alle cyberminacce e un esempio di come non difendere i propri network, ma anche un esempio di come non bisogna reagire alle minacce di terrorismo.

Abbiamo comunicato a qualsiasi aggressore che faremo tutto ciò che lui o la sua organizzazione chiede. Per me è sbalorditivo, soprattuto se si fa il paragone con i fatti. Qualcuno ha ucciso 12 persone e ha sparato contro altre 70 persone alla prima di Batman: il Cavaliere Oscuro. Hanno lasciato il film nei cinema. E diamo importanza a una minaccia virtuale, tanto da ritirare un film da 18.000 cinema.

Quindi. Sony e i media hanno parlato di un ordinario, anche se cospicuo, attacco e hanno spaventato tutti oltre l'immaginabile. Cosa è successo?
​Gli aggressori hanno capito perfettamente la psiche americana. È stato un attacco hacker: ma chiamandolo "cyber" e "terrorismo" e perdiamo il lume della ragione. Non c'è altro modo per spiegarlo.

Schneier ha suggerito che la Sony lo abbia chiamato cyberterrorismo perché evoca uno scenario peggiore e fa sembrare che l'azienda non avesse strumenti per difendersi. Sono forse i dirigenti che hanno architettato tutto ciò per salvare il proprio posto di lavoro?
​È così, nessuno vuole essere tra quelli che danno la colpa alla vittima, ma la Sony è già stata attaccata in passato. Ha subito un attacco hacker nel 2005, e i suoi dirigenti si scambiano ancora mail come se fosse il 1997.

A parte tutto, anche le migliori compagnie con i migliori sistemi di sicurezza vengono attaccate. Banche come JP Morgan, l'esercito degli Stati Uniti, la Casa Bianca. La realtà è che possiamo scegliere l'atteggiamento per cui entriamo nel panico oppure quello, più efficace, che è di concentrarsi sulla resilienza.

Bisogna accettare il fatto che possono accadere delle cose negative da cui di può imparare a rialzarsi velocemente.

La tua reazione può essere "ci rinuncio" oppure "no, proietteremo il film."

Cosa ne pensi dell'idea di alcuni di diffondere il film online? O ieri, magari. Sarebbe stata una buona scappatoia?
​No, non credo. Considerando la Sony e il suo approccio alla pirateria, una circostanza del genere avrebbe messo l'azienda nell'interessante posizione di dire "sono anni che combattiamo la pirateria ma ehy, ecco il film online."

Ma il film dovrebbe uscire lo stesso. Questi fatti stanno portando una pubblicità talmente grande al film che, per quello che ne sappiamo, non gli farà che bene. Non sarei arrivato a tanto per farmi pubblicità. Sono in una situazione problematica. Stanno elaborando un orribile precedente.

C'è un parallelo che si può fare con l'attacco alla maratona di Boston. Ma sarò cauto: gli attacchi di Boston erano reali e sono morte delle persone. Non siamo nella stesa categoria. Ma molto esperti di terrorismo hanno parlato di come gli attacchi abbiano paralizzato l'intera città di Boston, era un messaggio sbagliato. Manda il messaggio ai potenziali terroristi che due persone neanche troppo esperte con due bombe fai-da-te possono bloccare un'intera città americana.

Non sappiamo per certo se c'entri la Corea del Nord. Tu pensi che ci sia un suo intervento?
​È una questione di colpe. Le vittime vogliono sempre sapere chi è il colpevole. Nel regno della rete è particolarmente difficile trovare chi sia stato per ragioni tecniche, ma c'è anche il problema di quali prove siano necessarie. Ci sono prove legali? È un fardello dell'opinione pubblica o della Casa Bianca?

Per ora le informazioni che puntano il dito contro la Corea del Nord sono basate solo sul contesto. Non sono abbastanza per un tribunale. Il contesto unisce il fatto che sono incazzati per il film e che certe tecniche utilizzate sono simili a quelle usate in attacchi attribuiti alla Corea del Nord senza alcuna certezza. A molte persone questo però basta per dire che c'entra la Corea del Nord.

Ma ha importanza?
​Sì, in molti sensi. Anche se la Corea del Nord facesse un passo avanti e affermasse fieramente "siamo stati noi," cosa potrebbe fare la Sony? Non molto. Potrebbe fare causa alla Corea del Nord, immagino.

Il governo dovrebbe aiutare questa compagnia a difendersi e prevenire gli attacchi, ma rispetto a una punizione per la Corea del Nord, cosa potrebbe fare? Non è un atto di guerra, è un grande fastidio per la Sony. Ma non un atto di guerra.

Non siamo entrati in guerra con la Corea del Nord quando dei soldati americani sono stati uccisi con delle asce negli anni '70 . Non siamo entrati in guerra quando la Corea del Nord ha mandato dei missili contro i nostri alleati. Non siamo entrati in guerra quando una delle loro navi silurò una nave di un paese a noi alleato. E adesso mi dici che entriamo in guerra perché un dirigente della Sony ha detto che Angelina Jolie è una mocciosa viziata? Non succederà.