La notizia ha fatto il giro del mondo: un adolescente è stato arrestato per il suo presunto ruolo nell’attacco informatico ai casinò di Las Vegas nel 2023. Le vittime principali? MGM Resorts e Caesars Entertainment, che hanno denunciato perdite «dell’ordine dei 100 milioni di dollari».
Secondo le autorità, il giovane si è presentato spontaneamente alle forze dell’ordine il 17 settembre 2025 presso il Clark County Juvenile Detention Center, ed è stato formalmente imputato per reati che includono estorsione, accesso illecito a sistemi informatici e uso fraudolento dei dati personali altrui. Si è cercato di trasferirlo in ambito penale adulto, data la gravità dell’operazione.
Quel che rende questa vicenda particolarmente affascinante dal punto di vista della sicurezza informatica è proprio la semplicità apparente del vettore di attacco, e al tempo stesso l’efficacia devastante di quanto è successo: il ragazzo — stando alle prime ricostruzioni — avrebbe individuato un impiegato della MGM su LinkedIn, impersonato quel profilo e convinto l’IT a reimpostare la password. In circa 10 minuti avrebbe ottenuto accesso a buona parte dei sistemi interni. Una catena di social engineering che ha scavalcato controlli considerati basilari.
Da lì in poi è iniziata la paralisi: carte di accesso delle stanze disabilitate, slot machine fuori uso, prenotazioni in tilt, dipendenti impossibilitati ad accedere alle email. L’obiettivo economico e psicologico era chiaro: dimostrare che la grande infrastruttura (qualsiasi essa sia) può cadere per un singolo punto debole, se colpito nei tempi e modi giusti.
L’operazione è stata attribuita al collettivo noto come Scattered Spider (anche identificato con “Octo Tempest”, “UNC3944”, “0ktapus”), già attivo con campagne di furto, estorsioni e attacchi a infrastrutture sensibili. Scattered Spider è noto proprio per l’uso massiccio di tecniche di ingegneria sociale, phishing mirato, attacchi contro fornitori terzi, e la capacità di “bypassare” meccanismi quali l’autenticazione a due fattori, non attaccandoli direttamente ma lavorando sulle identità e i percorsi fidati.
Inoltre, hanno già precedenti particolarmente rilevanti: attacchi contro società di servizi cloud, aziende di telecomunicazioni, operatori finanziari e retailer. Non è chiaro al momento quanto il giovane fermato fosse una figura centrale o un esecutore “di contorno”, ma il fatto che gli sia stato riconosciuto un ruolo – e che abbia accettato di consegnarsi – lascia intendere che avesse fiducia nelle proprie capacità (o una strategia legale).
Va detto: c’è un ambito etico e legale da non trascurare. Sì, è impressionante – per usare un eufemismo – che un singolo individuo, appena maggiorenne (o poco meno al momento dei fatti), possa compromettere sistemi multimilionari. Ma parallelamente ha causato danni reali: perdite economiche, rischio di esposizione di dati sensibili, interruzioni operative estese. Le vittime sono cittadini, clienti, lavoratori. E il fatto che la giustizia debba decidere come trattarlo (minore o adulto) è parte del dramma umano che emerge da queste storie.
Un attacco costruito con intelligenza più che con strumenti complessi, capace di far crollare giganti del gioco d’azzardo in poche ore. Non c’è nulla di romantico nel crimine, ma la lezione tecnica resta: la vulnerabilità più grande resta sempre l’essere umano.
Commenti
Posta un commento