INPS, il riassunto del disastro

"Sono stati gli hacker". Una frase che speravamo di non sentire più ripetere, soprattutto dagli esponenti della politica, in particolare dal premier Giuseppe Conte, che probabilmente di informatica ne capisce quando noi ne capiamo di ingegneria nucleare, ma che a nostro avviso dovrebbe essere più cauto nell'addossare a fantomatici criminali informatici i disastri dovuti invece all'imperizia di chi il sito INPS lo gestisce. 

"Sono stati gli hacker" è un po' come "mi hanno hackerato l'account", la tipica affermazione di chi le ha sparate grosse sui social e poi, resosi conto della sciocchezza, cerca di rimediare grossolanamente. Una scusa paragonabile al cane che ha mangiato il compito dello studente poco volenteroso. 

Ma cosa è successo esattamente al sito INPS e perché? Proviamo a capirlo. 

Down e data breach INPS: ecco perché è improbabile che siano stati gli hacker

Il 1° aprile, Edge9 ha pubblicato una guida su come ottenere il bonus di 600 euro stanziato dal governo e destinato agli autonomi. Lo abbiamo fatto incontrando molte difficoltà: il sito funzionava a singhiozzo, risultava a tratti inaccessibile e, in alcuni casi, consentiva sì l'accesso al sistema, ma visualizzando il profilo di altri utenti, fortunatamente non permettendo di modificarne i dati.  

Un data breach gravissimo, che ha attirato l'attenzione del Garante della Privacy, che ha già avviato un'istruttoria per valutare l’adeguatezza delle contromisure adottate e degli interventi necessari a tutelare i diritti degli utenti.

Perché alla storia degli hacker non ci crede nemmeno il Garante, e ne ha buoni motivi. Sia chiaro, non è che gli hacker non esistano, ma è molto difficile credere che un hacker investa tempo e risorse per far apparire a caso dati di altri utenti. Gli hacker i dati li sottraggono, se intenzionati a monetizzare dalle loro azioni, oppure mettono in crisi i siti, se vogliono fare attivismo politico. Ma in quest'ultimo caso, non si nascondono, anzi: lo annunciano fieramente, altrimenti le loro azioni perdono completamente di significato. Non è un caso che Anonymous Italia abbia twittato questo messaggio: 

Caro @INPS_it, vorremmo prenderci il merito di aver buttato giù il vostro sito web, ma la verità è che siete talmente incapaci che avete fatto tutto da soli, togliendoci il divertimento! #INPS #Hacked #Anonymous #LulzSecITA #GDPR pic.twitter.com/Cgz8PWYUTC

— Anonymous Italia (@Anon_ITA) April 1, 2020

Ma allora, se non sono stati gli hacker, cosa è successo? Semplicemente quello che era prevedibile: il sito INPS è stato subissato di accessi da parte dei tanti professionisti che si affrettavano a richiedere i famosi 600 euro. Una platea di oltre 5 milioni di persone, fra artigiani, commercianti, partite IVA, co.co.co e via dicendo. Persone che sono corse a richiedere l'indennizzo il prima possibile, sia perché per molti di loro la situazione economica è collassata con la chiusura delle attività, sia perché spinti dalla comunicazione ambigua apparsa sul sito dell'INPS stessa - e poi cancellata - che avvertiva che i fondi sarebbero stati elargiti sino all'esaurimento delle risorse.

"In ragione di quanto sopra, l’INPS riconosce l’indennità in base all'ordine cronologico di presentazione delle domande", appariva sul sito INPS, e a quel punto a nulla sono servite le rassicurazioni di Pasquale Tridico, il quale garantiva che non ci sarebbe stato alcun clic-day: la gente si è affrettata. Come dargli torto?

E il sito del'INPS a quanto pare non era strutturato per gestire una simile mole di richieste contemporaneamente. Basta questo a spiegare il motivo del down, senza tirare in ballo fantomatici hacker. Questo però non spiega come mai a molti è capitato di visualizzare il profilo di altri contribuenti. 

A spiegare cosa probabilmente è successo ci pensa Matteo GP Flora, Hacker e Professore a Contratto in Corporate Reputation e Storytelling presso la Facoltà di Economia dell’Università di Pavia.