II tempi eroici, se mai ci sono stati, sono finiti. I tempi in cui a sviluppare virus e a imbrattare siti erano solo smanettoni in cerca di fama e visibilità. I tempi in cui piazzare su Internet un codicillo maligno capace di far impazzire per 24 ore i server di mezzo mondo era il principale viatico verso l’assunzione in qualche grande compagnia di sicurezza informatica. Oggi è tutto diverso e dai fuochi d’artificio si è passati alle pallottole, vendute al miglior offerente in un mercato nero con prezzi da discount.

L’allarme unisce esperti di sicurezza informatica e forze dell’ordine: il cybercrimine è ormai un affare miliardario, nel quale schiere di provetti informatici agiscono come manovalanza al soldo di affaristi senza scrupoli. Secondo i dati diffusi a settembre da David DeWalt, amministratore delegato di McAfee, il mercato mondiale del crimine informatico vale 105 miliardi di dollari, più del commercio illegale di droga. Le barriere all’ingresso sono bassissime e i ferri del mestiere si trovano tutti in vendita sul Web: per reclamare la propria fetta di torta bastano un modesto investimento e una buona dose di pelo sullo stomaco.

“Il mercato del malware è completamente on line”, si legge in un report interno di Panda Security che ‘L’espresso’ ha potuto consultare in esclusiva. “Trovare le pagine dove questi strumenti sono in vendita potrebbe sembrare difficile, ma non lo è”, afferma Luis Corrons, direttore tecnico della compagnia: “Basta fare una ricerca con il proprio browser per trovare i forum dove si affittano determinati servizi o si vendono virus”.

In questo modo i ricercatori hanno potuto stilare un vero e proprio listino prezzi del cybercrimine. Il livello medio lascia a bocca aperta. Supponiamo che un aspirante criminale informatico voglia fare il proprio ingresso nel business rubando un po’ di account per l’accesso a conti correnti online: con meno di 500 dollari (342 euro), può comprare un ‘trojan’, un virus silente che sfrutta comuni vulnerabilità dei computer o dei software per installarsi nella macchina e prendere nota dei dati sensibili inseriti dall’utente. Con altri 100 dollari (68 euro) di investimento, si possono acquistare un milione di indirizzi e mail validi ai quali inviare il virus appena comprato. Se poi il ladro in erba teme che la sua polpetta avvelenata possa essere intercettata dagli antivirus, niente paura: per 20 dollari (14 euro) si trova in vendita un software in grado di mascherare i file eseguibili facendoli apparire del tutto sicuri. Per finire, visto che inviare un milione di e-mail non è operazione che possa essere fatta in sicurezza dal computer di casa, con altri 500 dollari si può affittare un server dedicato allo spamming. Spesa totale: 1.120 dollari, meno di 800 euro.

Un buon investimento? Meglio di un terno al lotto, calcolano gli esperti: “Immaginiamo un tasso di successo del trojan molto basso, il 10 per cento”, esemplificano quelli di Panda Security: “Significa infettare 100 mila persone. Rubando i dati al 10 per cento di queste, si mettono le mani su 10 mila account bancari”. Basta moltiplicare per 10 mila la giacenza media di un conto corrente per avere idea del guadagno potenziale del ladro informatico. “Ma svuotare completamente migliaia di account è troppo rischioso”, spiegano gli esperti: “I truffatori virtuali preferiscono restare nell’ombra, prelevando pochi soldi, ad esempio 100 euro da ogni conto”. Cento euro per 10 mila fa 1 milione di euro. Meno di 800 euro di investimento per 1 milione di guadagno: queste le proporzioni che spingono alle stelle il mercato del cybercrimine.

Un mercato che usa tecniche sempre più sofisticate per aggirare i controlli delle banche e delle forze dell’ordine. Si moltiplicano, ad esempio, gli annunci di lavoro che promettono alte remunerazioni per poche ore di impegno: basta avere un conto corrente di appoggio sul quale arrivano somme da girare verso conti esteri trattenendo una percentuale. “Sono annunci in perfetto italiano, che rimandano verso siti apparentemente credibili”, spiega Elia Florio, ingegnere del Symantec Security Response team di Dublino. Molti rispondono, senza capire che si stanno rendendo complici di colossali operazioni di riciclaggio.

Gli account bancari, così come i numeri di carta di credito, possono diventare a loro volta preziosa merce di scambio, con la quale il ladro informatico riesce a rientrare nel mercato nero, stavolta dalla parte del venditore. Per molti criminali, infatti, impossessarsi di un account usando i metodi descritti finora è troppo complesso. Meglio acquistare direttamente i dati rubati da altri, oppure barattarli con altra merce illegale. Secondo l’ultimo Internet Security Threat Report redatto da Symantec, account bancari e codici di carte di credito sono i beni più richiesti in questo commercio sotterraneo, con il 21 e il 22 per cento del mercato rispettivamente.

Un commercio in cui è fondamentale, oltre alla discrezione, la velocità: il codice di una carta si può bruciare in poche ore, se il proprietario si accorge del furto e la blocca. La vendita, quindi, non può avvenire sui tradizionali forum: c’è bisogno di aste mordi e fuggi, in cui il venditore mostra un campione di merce, si accorda sul prezzo, consegna il malloppo e sparisce chissà dove. Un tipo di traffico che trova il suo scenario ideale in un particolare anfratto della Rete, noto come Internet Relay Chat (Irc). Si tratta di un primordiale protocollo per lo scambio di messaggi in tempo reale, sconosciuto alla media degli utenti Web, ma proprio per questo prediletto da chi deve agire nell’ombra. Le chat del contrabbando sono ben note alle forze dell’ordine, i cui infiltrati rischiano però di avere le armi spuntate: “Le leggi attuali non prevedono che un agente possa procedere all’acquisto simulato di un numero di carta di credito, mentre ciò è previsto nel caso di materiale pedopornografico“, spiega Maurizio Masciopinto, direttore della divisione investigativa della polizia postale.

Per tenere in qualche modo sotto osservazione il contrabbando di dati su Irc, i laboratori Symantec hanno sviluppato Dark Vision, un software che, come ci spiega il ricercatore Ollie Whitehouse, scava nei registri delle chat ed evidenzia le attività illegali. Con questo sistema nei primi sei mesi del 2007 sono state rilevate oltre 8 mila carte di credito proposte in vendita a prezzi variabili tra i 50 centesimi e i 5 dollari l’una. E si tratta solo di una minima parte della merce effettivamente scambiata.

La nascita di un mercato nel quale i cybercriminali possono incontrarsi scambiandosi merce e competenze ha un’ultima conseguenza, non banale: sviluppatori di codice maligno, spammer, ladri d’identità, finiscono per mettersi in società. Sparisce la figura del cane sciolto mentre nascono organizzazioni e alleanze più o meno strutturate. Uno scenario che trova la sua realizzazione più clamorosa in MPack, un pacchetto di software di origine russa responsabile di centinaia di migliaia di infezioni nell’ultimo anno. MPack si può comprare on line per meno di 700 dollari e, proprio come un software tradizionale, dispone di supporto tecnico e regolari aggiornamenti. Un prodotto commerciale a tutti gli effetti, che presuppone una squadra di sviluppatori, collaudatori e venditori liberi di agire impunemente.

“Il crimine informatico continua a progredire, e rischia di crearsi un gap generazionale tra aggressori e custodi”, osserva Masciopinto: “Molti amministratori di sistemi informatici neanche immaginano i rischi ai quali sono esposti i loro clienti. Per la sicurezza informatica bisognerebbe agire come per la sicurezza sul lavoro: se un operaio si fa male è responsabile il datore, ma se qualcuno entra nei computer mal protetti di una Asl e ruba tutti i dati, non si sa con chi prendersela”.

virus

Il Limbo Trojan, pensato per rubare password di accesso a conti bancari, costa 500 dollari (342 euro). Sono

previsti sconti per i primi cento acquirenti
Spam

Una lista di un milione di indirizzi e-mail da bombardare si compra a 100 dollari
(68 euro). Se si preferisce, per 150 dollari si acquistano altrettanti indirizzi ICQ
Crittografia
Per assicurare il passaggio di un codice maligno nelle maglie degli antivirus
si può usare un software chiamato Polaris. Costa solo 20 dollari (14 euro)
Server dedicati
Comprate le munizioni, serve un cannone di potenza sufficiente: altri 500 dollari e si affitta una macchina che lancia l’attacco in maniera anonima
Chiavi in mano
Chi non ha tempo o voglia di organizzare un suo attacco, può comprare merce rubata da altri. Prezzi variabili da 0,50 a  5 dollari per un numero di carta di credito.