Un gruppo di hacker è entrato nei sistemi informatici di Bbt Se, la società che progetta e costruisce la Galleria di base del Brennero, il tunnel ferroviario che dovrà collegare Italia e Austria sotto le Alpi. L’intrusione risale a metà ottobre. La notizia è diventata pubblica soltanto oggi, quando il quotidiano austriaco Tiroler Tageszeitung l’ha rivelata. Secondo il giornale tirolese, il cyberattacco sarebbe stato rivendicato da Everest, un gruppo indicato come di matrice russa.

Cyberattacco al Brennero, che cosa ha confermato Bbt Se

La società ha confermato l’attacco. Soggetti non autorizzati hanno avuto accesso ai dati della rete aziendale, in particolare ad alcuni dati raggiungibili via internet. Bbt riferisce di aver isolato i sistemi coinvolti e di essersi affidata a specialisti esterni per le analisi forensi, cioè la ricostruzione tecnica di come è avvenuta l’intrusione e di quali informazioni siano state toccate. L’azienda dichiara inoltre di aver informato «le autorità competenti».

Sempre secondo Bbt, sulla base di quanto accertato finora, l’incidente non ha avuto ripercussioni sulle attività operative. Gli approfondimenti per ricostruire i dettagli dell’attacco sono ancora in corso.

Gruppo Everest, la rivendicazione documentata da Telsy

A documentare la rivendicazione è Telsy, società italiana di sicurezza informatica, nel proprio rapporto sull’incidente citato dal quotidiano tirolese. Everest è conosciuto dagli analisti come un gruppo specializzato nel furto di dati e nell’estorsione: le informazioni sottratte vengono usate come leva, con la minaccia di pubblicarle su siti del dark web se la vittima non paga.

La rivendicazione, per ora, resta attribuita al gruppo e a chi l’ha documentata. Il profilo dell’attaccante, però, sposta l’attenzione su una domanda precisa: quali dati custodisce una società come Bbt Se.

Galleria del Brennero, perché i dati di un cantiere sono un bersaglio

La Galleria di base del Brennero è una delle opere più importanti della rete ferroviaria europea. Con la circonvallazione di Innsbruck raggiunge circa 64 chilometri di percorso sotterraneo ed è un tassello del Corridoio Scandinavo-Mediterraneo, l’asse che attraversa il continente da nord a sud. Bbt Se è una società europea partecipata in parti uguali da Italia e Austria, e l’opera è cofinanziata dall’Unione europea.

Un’azienda che costruisce un’infrastruttura di questa scala conserva per sua natura progetti, rilievi geologici, contratti, dati dei fornitori e informazioni sui cantieri. Anche quando l’operatività non viene toccata, documentazione di questo tipo può avere valore ben oltre l’estorsione immediata: descrive come è fatta un’opera strategica, chi ci lavora, dove sono i punti sensibili. Nel linguaggio della sicurezza si parla di minacce ibride, cioè attacchi che mescolano criminalità informatica, interessi economici e finalità politiche, spesso senza confini netti tra i tre piani.

Infrastrutture critiche europee, una catena di attacchi

Il caso del Brennero si aggiunge a una sequenza che riguarda da vicino trasporti e servizi essenziali. Gli attacchi ai sistemi di Trenitalia e di Deutsche Bahn hanno colpito le ferrovie di due grandi Paesi europei. In Francia, centinaia di supermercati hanno visto i propri impianti di refrigerazione manomessi attraverso apparecchi Danfoss non aggiornati.

I bersagli cambiano, le vulnerabilità tendono a somigliarsi. Sistemi esposti su internet, software datati, reti di fornitori e subappaltatori che moltiplicano i punti d’accesso. Anche nel caso di Bbt la porta d’ingresso, stando a quanto comunicato dalla società, è stata la parte dei dati accessibile dalla rete. È il perimetro esterno, quello più facile da sondare, che continua a cedere.

Brennero, tre settimane prima che l’attacco diventasse pubblico

Tra l’intrusione e la sua divulgazione sono passate circa tre settimane, e l’opinione pubblica l’ha appresa da un giornale, prima che da un comunicato aziendale. La direttiva europea NIS2, che disciplina la sicurezza delle reti e dei sistemi informativi, impone a molti operatori di settori critici di segnalare gli incidenti gravi alle autorità entro 24 ore con un preallarme ed entro 72 ore con una notifica completa. L’obbligo riguarda però le autorità. Ai cittadini, che finanziano l’opera, non spetta alcuna comunicazione tempestiva.

C’è poi il nodo della competenza. Bbt è una società binazionale: in Italia la materia spetta all’Agenzia per la cybersicurezza nazionale, in Austria alle strutture omologhe di Vienna. Il comunicato della società parla genericamente di «autorità competenti». Il caso francese dei frigoriferi aveva mostrato un modello diverso: l’agenzia nazionale ANSSI aveva individuato la vulnerabilità, contattato il produttore e avviato un’allerta estesa ad altri Paesi europei. Per il Brennero, la ricostruzione pubblica dell’accaduto si basa finora sulla dichiarazione dell’azienda e sul rapporto di un fornitore privato di sicurezza.

La Galleria di base del Brennero dovrebbe entrare in esercizio all’inizio del prossimo decennio. I documenti tecnici di un’opera simile mantengono il loro valore per tutta la sua vita operativa, un orizzonte molto più lungo di qualsiasi analisi forense. È su quella durata che andrà misurata la portata dell’intrusione di ottobre.