Era nell’aria già da diverso tempo e molti si chiedevano solo quando sarebbe successo. Martedì il presidente Donald Trump ha firmato un Memorandum presidenziale sulla sicurezza nazionale che istituisce un programma senza precedenti, il primo nel suo genere, che consente a società private accuratamente selezionate di condurre attacchi informatici offensivi contro reti criminali straniere.
Il decreto, datato 12 agosto, istituisce un programma all’interno del Centro di coordinamento nazionale della task force per la sicurezza interna e ne affida la gestione al Dipartimento di Giustizia e al Dipartimento per la Sicurezza Interna.
Il sistema è semplice ma rigorosamente controllato. Un’azienda presenta domanda, supera un processo di verifica e deposita una cauzione o un conto di garanzia di almeno 1 milione di dollari, che perde in caso di violazione delle regole. L’azienda può quindi raccogliere informazioni sulle minacce da altre imprese o da agenzie statali e locali e proporre operazioni al centro di coordinamento del Dipartimento della Sicurezza Interna.
Nulla accade senza l’approvazione scritta dei due direttori esecutivi del programma, uno del Dipartimento di Giustizia e uno del Dipartimento della Sicurezza Interna. Il governo mantiene il controllo operativo. L’azienda agisce solo su indicazione del governo.
Si tratta di un tentativo del governo federale di contrastare le ondate di crimine informatico con il supporto del settore privato. Secondo la Casa Bianca, nel 2025 gli americani hanno subito perdite per oltre 20,8 miliardi di dollari a causa della criminalità informatica. Le sole truffe legate alle criptovalute sono costate circa 80,7 miliardi di dollari quest’anno.
“Questo memorandum amplia la lotta contro la criminalità informatica perpetrata dalle organizzazioni criminali transnazionali, integrando l’ingegno del settore privato“, ha scritto la Casa Bianca nell’ordinanza, riferendosi alle organizzazioni criminali transnazionali.
Il memorandum autorizza quelle che definisce “operazioni di sorveglianza informatica“, ovvero l’accesso ai sistemi informatici senza il permesso del proprietario o superando i limiti di accesso autorizzati. Dà inoltre il via libera ad azioni offensive più ampie contro le reti responsabili di ransomware, phishing, frodi finanziarie e estorsioni a sfondo sessuale.
Esistono dei limiti. Le operazioni che causerebbero “risultati critici” sono vietate. Qualsiasi azione che colpisca una persona statunitense o un sistema con sede negli Stati Uniti deve cessare immediatamente, con l’attivazione delle procedure di minimizzazione. Tuttavia, le regole dettagliate del programma in materia di targeting sono contenute in un allegato riservato, pertanto le linee guida pubbliche sono piuttosto vaghe.
Questo accordo pone le aziende partecipanti in una posizione insolita. Si troverebbero a svolgere attività che, senza l’autorizzazione del governo, violerebbero le leggi federali in materia di frode informatica. La cauzione di 1 milione di dollari e la procedura di revisione annuale hanno lo scopo di garantire il rispetto delle norme da parte delle aziende, ma il rischio legale ricade interamente sulle imprese private, non sul governo.
Ora la cosa interessante da capire e come si porranno verso i Big PSOA (public Sector offensive actor) che sviluppano spyware e che vengono acquistati dagli stessi governi e fanno gola a tutti.
Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.
Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance