Source: https://www.pomante.com/2016/06/cryptolocker-i-dati-in-ostaggio/
Timestamp: 2020-03-29 02:01:53+00:00
Document Index: 185337586

Matched Legal Cases: ['art. 2050', 'art. 15', 'art. 615', 'art. 635', 'art. 629', 'art. 635', 'art. 615', 'art. 635']

Cryptolocker, i dati in ostaggio | Diritto e tecnologie
Con il termine MALWARE si indica genericamente un MALicious softWARE, ossia un programma distruttivo o disturbante che si inserisce nel sistema e lo priva di alcune componenti essenziali o ne altera il normale funzionamento.
RANSOMWARE, invece, individua una specifica categoria di programmi finalizzata a chiedere un riscatto (ransom) al malcapitato utente della Rete che entra in contatto con un server compromesso o commette l’errore di scaricare un file già infetto, solitamente attraverso una email apparentemente proveniente da un indirizzo affidabile.
CRYPTOLOCKER (programma di blocco tramite cifratura) è il nome con il quale è stata identificata una particolare categoria di ransomware che si caratterizza per l’esecuzione della cifratura dei dati presenti sugli hard disk delle vittime, alle quali viene richiesto un riscatto (da versare solitamente entro tre giorni) per ottenere la chiave di accesso agli archivi (affinchè tornino leggibili), che altrimenti vengono distrutti (all. 1). In alcune versioni di Cryptolocker, il costo della chiave di decrittazione cresce con il passare delle ore e ogni tentativo di rimozione del virus determina l’immediata distruzione delle chiavi, con conseguente perdita dei dati.
L’infezione viene diffusa attraverso siti web compromessi, basati sul noto Content Management System chiamato WordPress. Attraverso una clip Flash, l’utente viene reindirizzato all’Angler Exploit Kit, che verifica innanzitutto la presenza di macchine virtuali e di prodotti antivirus nel sistema, per selezionare lo schema di aggressione più adatto tra i vari disponibili.
Il programma procede quindi alla scansione dei file presenti nel sistema, alla ricerca delle principali estensioni di documenti, foto, filmati e, particolare di non secondaria importanza, degli archivi dei giochi più diffusi.
Sembra, infatti, che questa specifica variante del redivivo Cryptolocker sia stata studiata per superare le difese dei sistemi informatici degli utenti sfruttando le porte aperte dai canali di comunicazione utilizzati dai giocatori e dimostra una evoluzione dei cibercriminali sempre più orientata a nicchie di mercato ben precise.
Dopo aver eseguito la scansione, il programma inizia a cifrare gli archivi presenti in ogni disco rigido collegato al sistema, utilizzando la cifratura RSA basata su chiavi asimmetriche della lunghezza di 2048 bit, prelevate collegandosi ad un server della rete TOR, sul quale torneranno disponibili dopo il pagamento del riscatto.
Nel caso di archivi sincronizzati con servizi come Drive o Dropbox, anche i file presenti sul cloud subiscono cono la stessa sorte.
Secondo Wikipedia, la nota risorsa enciclopedica collaborativa, il primo Cryptolocker, apparso nel 2013, ha fruttato ai suoi programmatori oltre 3 milioni di dollari di proventi prima che venisse trovato un rimedio.
Tuttavia, nel luglio del 2013 è stato individuato anche un ransomware specifico per OS X, il sistema operativo di Apple, che, pur non riuscendo a compromettere i dati, impediva l’uso corretto del browser Internet.
Tra le vittime illustri dei ransomware si annovera il canale di notizie in diretta della ABC australiana, ABC news 24, interrotto per circa mezz’ora, nell’ottobre del 2014, e spostato negli studi di Melbourne a causa dell’infezione nota come Cryptowall
E’ del mese di febbraio 2016 la notizia di quattro ospedali di Los Angeles paralizzati da una nuova versione di Cryptolocker, che ha impedito l’accesso alle cartelle cliniche dei pazienti per diverse ore, fino al pagamento della stratosferica somma di 40 bitcoin, circa 17.000 dollari.
Uno dei quattro ospedali non è riuscito a reperire i fondi in tempo ed ha perso tutti i dati, con conseguente necessità di evacuazione e di ripetizione di tutte le analisi e anamnesi sui pazienti. Non sono state registrate vittime ma di certo l’operatività della struttura sanitaria è stata seriamente compromessa per alcuni giorni. L’evento ha destato notevole allarme nella comunità statunitense perchè per la prima volta si è avuta contezza del rischio informatico di strutture critiche come gli ospedali.
Sebbene esistano dei metodi per cercare di rimuovere la cifratura e recuperare la visibilità dei dati, le vittime preferiscono solitamente procedere al pagamento e non correre rischi. Paradossalmente, proprio l’affidabilità dei criminali costituisce la principale motivazione che spinge le realtà colpite dal virus ad eseguire il versamento delle somme richieste a titolo di riscatto. Una sorta di “sindrome di Stoccolma” di estrazione informatica che è perfettamente comprensibile ed è tanto più giustificata quanto più sono importanti i dati che hanno subito la cifratura.
Secondo gli esperti, le procedure di salvataggio dei dati dovrebbero prevedere una frequenza parametrata all’importanza e alla quantità delle informazioni trattate, ed una rotazione dei supporti adeguata per numero ed affidabilità.
In Italia le procedure di backup e disaster recovery sono espressamente previste dal Codice per la riservatezza dei dati personali, D.Lgs. 196/2003, ed incluse tra le misure di sicurezza che ogni titolare del trattamento deve rispettare per non incorrere nelle pesanti sanzioni civili e penali previste dalla norma.
A ciò si aggiunga che, dal punto di vista civilistico e risarcitorio, il trattamento dei dati personali è considerato attività pericolosa ex art. 2050 cc (art. 15, D.Lgs. 196/2003), con conseguente inversione dell’onere della prova a carico del titolare, che dovrà dimostrare di aver adottato tutte le misure idonee ad evitare che il danno si verificasse.
Dal punto di vista della tutela del bene giuridico, consistente nell’affidabilità dei sistemi di trattamento dei dati e, indirettamente, dell’economia e dell’ordine pubblico, i reati ipotizzabili a carico dei soggetti che hanno realizzato e divulgano programmi come cryptolocker sono quelli di diffusione di programmi destinati a danneggiare dati e informazioni (art. 615 quinquies cp), di danneggiamento di dati e informazioni (art. 635) e di estorsione (art. 629 cp), oltre ad ogni altro reato ravvisabile nelle specifiche condotte, variabili in base alle modalità concrete di aggressione (nel caso di un ospedale, ad esempio, si potrebbe ravvisare anche l’ipotesi di danneggiamento di dati ed informazioni di pubblica utilità, di cui all’art. 635 bis cp).
Il reato di cui all’art. 615 quinquies cp si concretizza con la sola diffusione o messa a disposizione del virus, senza dover attendere la manifestazione del danno ai sistemi informatici o ai dati e programmi in essi contenuti. E’ quindi sufficiente che il ransomware sia stato inviato ad una persona, o che anche un solo utente abbia raggiunto il server dal quale viene distribuito, per ritenere perpetrato il reato, che prevede fino a due anni di reclusione.
L’estorsione si considera consumata (ma anche il tentativo è punibile) nel momento in cui il programma ha raggiunto il suo scopo primario, che è quello di cifrare i dati contenuti nell’hard disk e visualizzare il messaggio con il quale viene chiesto il pagamento in cambio delle chiavi di decrittazione, sotto la minaccia di perdere i dati. Il reato è considerato particolarmente esecrabile dall’ordinamento e comporta l’applicazione di una pena da cinque a dieci anni di reclusione.
Altrettanto prevedibile l’applicazione della sanzione di cui all’art. 635 del codice penale (da sei mesi a tre anni di reclusione) nell’ipotesi di tentativo o di consumazione del reato di danneggiamento di dati e informazioni presenti su un sistema informatico, consistente, nello specifico, nel rendere inservibili temporaneamente o definitivamente i dati sottoposti a cifratura dal ransomware.
Anche l’amministratore di sistema ed il titolare del trattamento dei dati sottoposti a cifratura, tuttavia, non possono dormire sonni tranquilli nell’ipotesi in cui non abbiano curato adeguatamente le misure di sicurezza dei sistemi informatici e dell’organizzazione che ha subito l’attacco informatico.
Ove dovesse rilevarsi, a seguito del danno subito dall’azienda e dai clienti della stessa, una mancata o inadeguata formazione del personale dipendente (il ransomware, di solito, viene scaricato ed attivato accidentalmente, in seguito all’utilizzo di un link contenuto in una email) ovvero una mancata o inadeguata adozione di misure di sicurezza, si applicherebbero, infatti, le sanzioni civili e penali previste dal D.Lgs. 196/2003, che prevedono fino a due anni di arresto e fino a 120.000 euro di sanzione amministrativa, a seconda delle responsabilità accertate.