Un paese ha smesso di trascrivere immobili di martedì

Nella notte del 13 luglio i sistemi dell'Agenzia Nazionale rumena per il Catasto e la Pubblicità Immobiliare hanno smesso di rispondere, e martedì 14 luglio la piattaforma catastale e-Terra, i siti dell'ente e i suoi server di posta erano tutti irraggiungibili. ANCPI ha poi definito l'episodio il più grave incidente tecnico nella storia dell'istituzione. La Direzione Nazionale rumena per la Cybersicurezza, DNSC, lo ha confermato come attacco informatico e lo ha qualificato come mosso da fini economici, condotto con credenziali trafugate e vulnerabilità note e non da un attore statale. Una settimana dopo la piattaforma non era ancora tornata.

L'effetto pratico è stato immediato e nazionale. I notai non potevano autenticare compravendite, trascrivere trasferimenti né iscrivere ipoteche, perché in Romania quegli atti passano proprio dal registro che l'attaccante ha messo fuori uso. Un attaccante con lo pseudonimo ByteToBreach ha rivendicato l'azione, e dal 15 luglio materiale attribuito all'ente, comprese banche dati interne e codice sorgente, è stato messo in vendita su un forum. La società di sicurezza KELA ha ricondotto lo pseudonimo a Zakaria Mahdjoub, presunto criminale informatico residente a Orano, in Algeria.

Due racconti della stessa settimana

Il comunicato di ANCPI è prudente e circoscritto. Afferma che le banche dati tecniche e giuridiche dell'istituzione non sono state intaccate, e avverte che le informazioni circolanti nello spazio pubblico sulle presunte conseguenze dell'attacco non provengono da fonti ufficiali. Questa è la posizione dell'ente, pubblicata sul suo stesso sito, e non è stata ritirata.

I ricercatori di sicurezza e l'attaccante raccontano la versione più dura: ingresso con credenziali valide, ricognizione dei sistemi interni e poi distruzione di sistemi e backup dopo il fallimento di un tentativo di estorsione, con un recupero che poggia su una copia tenuta offline. Entrambi i racconti possono essere in parte veri, perché un registro può perdere l'ambiente di produzione e conservare intatto il proprio patrimonio giuridico. Per chi sta fuori dall'ente quella distinzione non cambia nulla di rilevante in questo mese. A fermare le operazioni è stata la disponibilità, non l'integrità.

Il ripristino è condizionato. La scadenza fiscale no.

Chi legge con attenzione il piano di ripristino dell'ente non vi trova alcuna data. ANCPI spiega che le applicazioni sono in migrazione verso il cloud governativo, con completamento stimato per mercoledì 22 luglio, dopodiché istituzioni autorizzate verificheranno i sistemi e produrranno una relazione, e solo allora il servizio tornerà per fasi secondo priorità operativa. I sistemi colpiti restano isolati finché ogni debolezza individuata non sarà sanata. È una catena di condizioni, non un impegno, ed è il modo corretto di condurre un ripristino. È anche illimitata.

A quella catena illimitata se ne oppone una perfettamente limitata. I contratti preliminari firmati sotto il regime rumeno agevolato del 9 per cento di IVA per le case nuove scadono a fine luglio, e da quel momento alle operazioni interessate si applica l'aliquota ordinaria del 21 per cento. Nessuna proroga è stata annunciata. Dodici punti percentuali del prezzo di acquisto dipendono ora da un atto amministrativo che nel paese nessuno è in grado di compiere. Lo stesso Stato controlla il blocco e la scadenza, e finora ne ha spostato solo uno dei due, cioè nessuno.

Per un registro monopolista non esiste failover

Gli imprenditori comprano ridondanza per le parti dell'infrastruttura che controllano. Tengono una seconda region cloud, un secondo operatore, un secondo gestore dei pagamenti. I punti singoli di guasto che davvero fermano un'operazione stanno quasi sempre fuori da quel perimetro: un registro immobiliare, un registro delle imprese, un verificatore di partita IVA, un endpoint nazionale di fatturazione elettronica, uno schema di identità. Nulla di tutto questo si può doppiare, perché lo Stato è l'unico fornitore e la resilienza su cui lei conta è interamente altrui. In Italia la stessa dipendenza passa dalla Conservatoria dei registri immobiliari, e un acquirente italiano non ha più alternative di uno rumeno.

Non è nemmeno un caso isolato. I registri immobiliari di Polonia, Slovacchia, Grecia, Marocco, Russia e Ucraina sono stati attaccati negli ultimi tre anni, il che rende l'indisponibilità di un registro pubblico un rischio pianificabile e non una calamità. Sotto NIS2 i gestori di questi registri rientrano pienamente nell'ambito come enti della pubblica amministrazione, ma la direttiva li obbliga a governare il rischio, non a risarcirle la settimana in cui sono mancati.

Cosa mettere per iscritto prima che tocchi a lei

Si prenda un'ora ed elenchi ogni registro pubblico senza il quale una sua operazione non si chiude. Per ciascuno annoti quale via legale di ripiego esiste quando è indisponibile, che sia deposito cartaceo, deposito notarile, annotazione provvisoria o nessuna, e indichi la persona autorizzata ad attivarla. Poi ponga al suo legale la domanda che gli acquirenti rumeni stanno facendo adesso: un termine di legge si sospende quando il registro necessario a rispettarlo è fuori uso? In Romania la risposta arriverà dopo il termine, che è il momento peggiore possibile per apprenderla.

Dal suo lato la lezione è più stretta e più antica. La via d'ingresso sono state credenziali trafugate più vulnerabilità già note, cioè la combinazione che da anni non richiede una sola tecnica nuova. Imponga un'autenticazione a più fattori resistente al phishing su ogni account amministrativo, faccia scadere le credenziali che compaiono nelle raccolte di dati rubati senza attendere prove di utilizzo, e conservi almeno una via di ripristino che viva fuori dall'insieme di credenziali con cui gira la produzione. La copia offline è esattamente quella che un attaccante in possesso delle sue password non può raggiungere.

Da leggere ora: La patch nginx è uscita, l'exploit arriva ad agosto  |  ServiceNow ha corretto prima il proprio cloud, voi 103 giorni più tardi