Passa ai contenuti principali

Dentro l’attacco che ha spento Aeroflot

Quando parliamo di attacchi informatici a infrastrutture critiche, spesso li immaginiamo in un futuro distopico o nei racconti sensazionalistici dei telegiornali. Ma quello che è successo ad Aeroflot il 28 luglio 2025 non è fiction, è cronaca. Ed è un caso che va letto riga per riga, perché fotografa alla perfezione la vulnerabilità di un’intera nazione – e non solo – quando tecnologia, arroganza e guerra si intrecciano.

Due gruppi, Silent Crow e Cyber Partisans BY, hanno rivendicato l’azione. Non due nomi usciti dal nulla, ma due entità note per operazioni ben pianificate in ambito cyber contro obiettivi russi, spesso legati alla macchina statale o militare. La ricostruzione che propongono è dettagliata, quasi chirurgica. Parlano di accesso ottenuto oltre un anno fa, mantenuto silenziosamente per mesi. Nessun ransomware, nessuna estorsione: solo penetrazione silenziosa, osservazione, raccolta, e poi distruzione sistematica.

Hanno avuto tempo. Tempo per capire come era strutturata la rete di Aeroflot, quali server erano vitali, quali account avevano accesso amministrativo. Il CEO, dicono, usava ancora la stessa password dal 2022. Gli ambienti interni erano vecchi, obsoleti. Windows XP e Server 2003 ancora in produzione, interfacce legacy con vulnerabilità note e non patchate. Questo tipo di ambienti sono un invito a nozze per chiunque abbia anche solo un minimo di competenza offensiva.

Una volta dentro, gli hacker hanno compromesso decine di sistemi. Non solo i server principali, ma anche le postazioni dei dirigenti. Hanno acquisito credenziali, intercettato comunicazioni interne, probabilmente tracciato decisioni operative. Poi è arrivato il colpo di grazia. Secondo le stesse fonti, sarebbero stati distrutti o cancellati circa 7.000 server. Non solo disattivati: bruciati, annientati logicamente. L’intera infrastruttura IT azzerata. Basi dati scomparse, piattaforme CRM, Exchange, strumenti di virtualizzazione, server di autenticazione, sistemi di monitoraggio. Tutto.

Il danno si è visto subito. Aeroporti nel caos, voli cancellati, biglietterie ferme, personale incapace di accedere ai sistemi. Più di 100 voli interrotti, migliaia di passeggeri lasciati senza assistenza. E ancora oggi non si sa quanto tempo ci vorrà per tornare alla piena operatività. Se avevano backup validi, sono compromessi anch’essi. Se non li avevano, allora il blackout sarà totale e duraturo.

C’è poi la questione dell’esfiltrazione. Gli autori parlano di 12-22 terabyte di dati rubati: email interne, report strategici, conversazioni vocali, forse anche file legati alla sorveglianza dei dipendenti. Parte di questi dati è già stata pubblicata come prova. Non è solo sabotaggio: è una bomba informativa che potrebbe esplodere a rilascio lento.

Aeroflot è solo un simbolo. Il vero bersaglio è l’arroganza sistemica che caratterizza molti enti statali, in Russia ma anche altrove. Pensare che un’infrastruttura possa essere sicura solo perché è “interna”, “air-gapped”, o perché “nessuno oserebbe” è un’illusione. Questi attacchi dimostrano che il tempo, la pazienza e la motivazione politica possono abbattere qualsiasi firewall.

Questo episodio è un campanello che suona forte. Non solo perché mostra le conseguenze di un’infrastruttura trascurata, ma perché racconta una metodologia precisa: accesso stealth, persistenza invisibile, distruzione chirurgica. Il tutto senza chiedere un centesimo. Non è un attacco per guadagnare, è un attacco per colpire, per esporre, per destabilizzare.

Ed è forse questo il dettaglio più inquietante: non siamo di fronte a un crimine, ma a una nuova forma di guerra. In cui il danno economico, il panico sociale e il discredito internazionale sono armi quanto una bomba. Solo che qui non c’è fumo. Solo server spenti e silenzio.

Commenti

Popolari

WinRAR sotto attacco, zero-day critica sfruttata da hacker russi

Il 10 agosto 2025 è stata resa pubblica la vulnerabilità CVE-2025-8088 di WinRAR, una falla di tipo directory traversal già sfruttata in attacchi mirati da RomCom, gruppo hacker legato alla Russia e noto per operazioni di cyber-spionaggio ed estorsione. Il problema risiede nella gestione dei percorsi all’interno di archivi compressi: un file RAR malevolo può includere riferimenti a directory specifiche del sistema, forzando WinRAR a estrarre file in percorsi diversi da quelli scelti dall’utente. In particolare, è possibile copiare eseguibili nelle cartelle di avvio automatico di Windows, come %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup o %ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp. Alla successiva accensione del PC, il malware viene avviato in automatico, ottenendo così persistenza sul sistema e potenzialmente consentendo il controllo remoto. Gli attacchi osservati sono stati condotti tramite campagne di spear-phishing: le vittime ricevevano email contenenti...

Nuovo attacco agli ambienti ibridi Microsoft, l’allarme lanciato a Black Hat. Active Directory ed Entra ID sotto esame, la tecnica che sfida MFA e controlli tradizionali

A Black Hat USA 2025 è stata mostrata una lezione dura ma utile per chiunque gestisca identità e mail aziendali: un ricercatore ha dimostrato come, in certi ambienti ibridi che sincronizzano Active Directory locale con Microsoft Entra ID (ex Azure AD), un account cloud apparentemente a bassa priorità possa essere trasformato in un account “ibrido” con privilegi amministrativi, senza passare dalle normali barriere di autenticazione e senza far scattare gli allarmi tradizionali. La dimostrazione — presentata da Dirk-jan Mollema di Outsider Security — ha messo in luce vettori di abuso legati al server di sincronizzazione (Entra Connect), alle modalità di corrispondenza degli account tra on-prem e cloud (soft matching) e a token/claim usati nei meccanismi di delega e in Exchange ibrido. Per chi non mastica quotidianamente questi termini: molte aziende hanno ancora un Active Directory “dentro l’azienda” per utenti e servizi, e allo stesso tempo usano servizi cloud come Microsoft 365. Per fa...

Italia, via libera al contrattacco cyber. Il nostro Paese ora può rispondere colpo su colpo

Immagina una stanza blindata, luci basse, grafici e mappe digitali proiettati sulle pareti: in mezzo al tavolo, una decisione da prendere in pochi minuti. È lo scenario che la nuova norma italiana rende possibile, dando al Presidente del Consiglio il potere di autorizzare, dopo consultazione con CISR e Copasir, un contrattacco cibernetico vero e proprio. Non parliamo di alzare firewall o bloccare un IP, ma di operazioni offensive su scala statale, condotte da AISE e AISI, con il coordinamento del DIS e il supporto del Ministero della Difesa. Il quadro è stato reso operativo con il Decreto Sicurezza (DL 48/2025, legge dal 9 giugno), che ha messo nero su bianco procedure, ruoli e condizioni. La norma prevede tre requisiti fondamentali: il bersaglio dev’essere identificabile con alto grado di certezza (ad esempio un gruppo APT o un’infrastruttura C2 specifica), le difese convenzionali devono essersi dimostrate inefficaci e la minaccia deve riguardare la sicurezza nazionale o quella di un...