Il ritorno di una pagina di accesso non significa che un cyberattacco sia finito. Per Chainalysis, la sfida consiste proprio nel ripristinare i servizi e, al tempo stesso, la fiducia nelle modalità di accesso. Nell’aggiornamento del 6 novembre, l’azienda annuncia la riapertura graduale di KYT e Address Screening. Proseguono i lavori per Reactor e Data Solutions.
La vicenda merita di essere letta andando oltre la sola domanda «i dati sono stati divulgati?». Un’identità di accesso, una password e una modalità di accesso utilizzata da un software non hanno la stessa funzione. Per metterli nuovamente in sicurezza sono quindi necessarie diverse azioni, non soltanto una nuova combinazione di caratteri.
Ciò che Chainalysis ha riconosciuto
L’azienda aveva annunciato l’incidente il 30 ottobre. Il 4 novembre ha ampliato il resoconto: informazioni relative a tutti i suoi utenti sono state esposte a un attore malevolo, tra cui nomi, credenziali, hash delle password e token attivi. Ora chiede di reimpostare le password e, a seconda dei casi, di rinnovare le chiavi API.
Questa formulazione non consente di concludere che ogni utente abbia perso esattamente gli stessi dati. Non indica neppure il numero delle persone interessate. The Record, che ha esaminato le comunicazioni successive, sottolinea entrambi questi limiti. Il numero delle organizzazioni clienti e quello dei singoli utenti sono due misure diverse.
Perché è necessario rinnovare diverse modalità di accesso
Una password serve a dimostrare di essere autorizzati ad accedere. Un hash della password non è la sua copia in chiaro: è un risultato calcolato a partire da essa. La sua resistenza dipende, tra l’altro, dal metodo utilizzato, che Chainalysis non ha specificato pubblicamente. Come ricorda The Record, alcuni hash possono comunque permettere di recuperare la password originale.
I token attivi sono un’altra questione. Alcuni token di autenticazione permettono di mantenere l’accesso senza dover digitare nuovamente la password. L’azienda, però, non ha precisato che cosa intenda qui con «live tokens». Non è quindi possibile descriverne con certezza il funzionamento in questo incidente.
Una chiave API, infine, riguarda gli scambi tra software. Per un’organizzazione cliente, ripristinare l’account di un collaboratore e ripristinare una connessione automatizzata sono due operazioni distinte. L’ordine di rinnovare le chiavi rende molto concreta questa distinzione: il lavoro non termina necessariamente nella schermata di accesso di una persona.
Ripristino graduale, non è stato annunciato un ritorno generale
L’aggiornamento ufficiale del 6 novembre prevede un ripristino per fasi e chiede ai clienti di comunicare gli indirizzi IP attendibili tramite i loro consueti referenti. Questo accesso regolamentato precede la ripresa delle operazioni. La situazione dei servizi va letta come un aggiornamento riferito a una data precisa, suscettibile di evolvere, e non come l’annuncio che tutti i prodotti sono di nuovo disponibili.
Per i team che utilizzano i servizi, la domanda giusta diventa quindi: quale servizio è accessibile, con quale identità e a quali nuove condizioni? Il fatto che un utente riesca ad accedere non dimostra, da solo, che siano state ripristinate tutte le integrazioni della sua organizzazione. Questa distinzione aiuta anche a non scambiare un problema locale di accesso per un nuovo attacco.
Ciò che non si può affermare
Chainalysis dichiara di non avere prove di accessi ai dati investigativi né di manipolazioni dei suoi dati di attribuzione. Si tratta di quanto rilevato dall’azienda nella fase attuale dell’indagine, non di una certificazione esterna dell’assenza di qualsiasi danno.
Anche il lessico relativo all’intelligenza artificiale richiede la stessa cautela. The Record rileva che l’azienda parla di tecniche offensive «agentiche», senza spiegare con precisione il termine né confermare che la propria intrusione sia stata realizzata da un agente di IA. Presentare questa vicenda come un attacco interamente autonomo aggiungerebbe una certezza che gli elementi pubblicati non forniscono.
Evitare una seconda brutta sorpresa
Un annuncio di reimpostazione della password può anche essere usato come pretesto per un falso messaggio di assistenza. Dopo una fuga di dati, la CNIL raccomanda di rivolgersi direttamente ai servizi ufficiali, prestare attenzione alle richieste sospette e proteggere gli account con password diverse e un’autenticazione rafforzata.
Per un cliente professionale, è quindi utile verificare le istruzioni con il proprio team di sicurezza e il referente abituale, invece di seguire un link ricevuto in una situazione di urgenza. In questa vicenda, la vigilanza deve muoversi su due fronti: il ripristino tecnico del servizio e l’affidabilità della persona che si offre di aiutare ad accedervi.
Fotografia illustrativa: una moneta fisica Casascius con il simbolo Bitcoin; non rappresenta né le sedi di Chainalysis né un bene sottratto durante questo incidente.
