Mr. Robot: le tecniche vere dietro la serie
Pubblicato il 2 marzo 2016, riscritto integralmente il 22 agosto 2026.
Nelle serie televisive l’informatica è quasi sempre una barzelletta: interfacce tridimensionali, «sto forzando il firewall» digitato a due mani sulla stessa tastiera, database che si sbloccano con una barra di avanzamento. Mr. Robot è l’eccezione — e per chi si occupa di sicurezza è l’unica serie che si possa guardare senza ridere.
Il motivo per cui ne scrivo non è la critica televisiva. È che quella precisione la rende il modo più efficace che conosco per spiegare a chi non è del mestiere come funzionano davvero certi attacchi: le stesse tecniche che vediamo nei casi reali, mostrate in modo comprensibile.
Tor non è un mantello dell’invisibilità
Nelle prime scene Elliot, incuriosito dalla connessione troppo veloce di un bar, smaschera l’attività illecita del proprietario, che credeva di essere protetto perché usava Tor.
La serie sorvola sui dettagli, ma la tecnica si intuisce e nella realtà esiste: chi controlla i nodi di uscita — i punti in cui il traffico torna in chiaro per raggiungere internet — può vedere una parte di quello che passa. Diventando parte della rete con molte identità diverse si arriva a osservarne porzioni consistenti: è quello che in gergo si chiama Sybil attack, ed è una delle strade seguite anche dalle agenzie governative per togliere il velo dell’anonimato.
La lezione che porto via, e che riguarda tutti: nessuno strumento rende anonimi da soli. Tor protegge il trasporto, non le abitudini di chi lo usa — e chi si sente al sicuro per via di un programma installato è esattamente chi commette gli errori che lo tradiscono.
Le password si indovinano, non si «forzano»
Quando Elliot racconta come ha scoperto la password della sua psicanalista, la scena mostra una cosa che nella pratica vedo continuamente.
L’attacco a forza bruta puro — provare tutte le combinazioni una dopo l’altra — è lento e spesso impraticabile. Quello che funziona è il dizionario personalizzato: si raccolgono le informazioni sulla persona — il cantante preferito, il nome del cane, l’anno di nascita, la squadra — e da quelle si generano le combinazioni probabili. Nel caso di Krista: il nome di Dylan e l’anno di nascita scritto al contrario.
È il motivo per cui i consigli classici sulle password non bastano. Una password «complessa» costruita con la tua vita — maiuscole, numeri e punto esclamativo compresi — sta dentro un dizionario personalizzato, e ci sta nelle prime posizioni. Quello che conta non è la complessità, è che non abbia niente a che fare con te e che sia diversa per ogni servizio. È anche il motivo per cui la verifica in due passaggi vale più di qualunque regola sulle maiuscole: rende inutile la password anche quando viene indovinata.
Lo strumento mostrato nella serie non esiste, ma è ispirato a un programma reale e molto noto, THC-Hydra. Il sistema operativo che si intravede è Kali Linux, la distribuzione che raccoglie gli strumenti di penetration testing — la stessa che uso io per lavoro.
L’attacco che non ruba niente
La società per cui Elliot lavora deve risolvere un attacco DDoS contro il suo cliente più importante.
È un tipo di aggressione diverso da tutti gli altri: non entra da nessuna parte e non porta via niente. Semplicemente satura il bersaglio di richieste finché smette di rispondere. La «D» iniziale sta per distributed: le richieste arrivano contemporaneamente da migliaia di macchine sparse nel mondo — quasi sempre computer di ignari, infettati per l’occasione — il che rende difficilissimo risalire a chi ha ordinato l’attacco.
Nella serie il problema è complicato da un rootkit, un programma che si nasconde in profondità nel sistema e riapre all’attaccante la porta a ogni riavvio. La soluzione mostrata è drastica e verosimile: scollegare tutto, ripulire ogni macchina, ripartire.
Chi ha vissuto un incidente vero riconoscerà la scena. È esattamente quello che si finisce per fare quando non ci si può fidare più di nessun sistema — e il motivo per cui accorgersene in tempo vale più di qualunque rimedio successivo.
Gli strumenti della serie esistono davvero
Sull’onda del successo dello show qualcuno ha raccolto in un unico pacchetto, chiamato fsociety come il gruppo della serie, gli strumenti che vi compaiono. Sono organizzati per fase, e l’elenco è istruttivo perché ricalca l’ordine con cui si svolge un attacco reale:
| Fase | A cosa serve |
|---|---|
| Raccolta di informazioni | capire com’è fatto il bersaglio prima di toccarlo: è la fase più lunga e la più decisiva |
| Attacchi alle password | generare le liste probabili e provarle contro i servizi esposti |
| Reti senza fili | indovinare i codici delle protezioni deboli, quelle mai cambiate dall’installazione |
| Ottenimento dell’accesso | sfruttare la falla individuata per entrare |
| Intercettazione | leggere e manipolare il traffico che attraversa una rete |
| Attacchi ai siti web | le vulnerabilità delle applicazioni, che restano la porta più usata |
| Mantenimento dell’accesso | restare dentro senza farsi notare, anche dopo un riavvio |
Non riporto i comandi per installarli, e non per pudore: sarebbe la parte meno utile di questo articolo. Quello che conta, per chi difende, è riconoscere la sequenza — perché è la stessa che ritrovo in ogni relazione di analisi che scrivo, e perché quasi tutte quelle fasi lasciano tracce, se qualcuno le sta guardando.
«Ma allora se scarico questi programmi sono un hacker?»
No. E la risposta merita più di una riga, perché è il fraintendimento che la serie ha diffuso insieme al suo fascino.
Quei programmi automatizzano tecniche note. Sono utili, li usiamo tutti, ma sono la parte facile: scaricarli e lanciarli non richiede nulla. Essere un hacker è un’altra cosa — è la testardaggine di capire come funziona una cosa fin dentro, e la capacità di accorgersi che il progettista ha dato per scontato qualcosa che non lo era.
Ho trovato le vulnerabilità che ho segnalato nel software di altri leggendo con attenzione, non lanciando programmi. E lo stesso vale dall’altra parte: la volta che siamo entrati nel server di una banda di ransomware non ci siamo arrivati con uno strumento automatico, ma perché qualcuno aveva lasciato aperta una porta che doveva restare aperta per forza.
Una nota che vale la pena scrivere: usare questi strumenti su sistemi che non sono tuoi, senza un’autorizzazione scritta, è un reato. Non una zona grigia, un reato. La differenza fra il mio lavoro e quello di chi finisce sui giornali è un contratto firmato prima di cominciare.
Se la serie ti ha incuriosito, la strada per davvero non passa da un pacchetto scaricato: passa dal capire come sono fatte le reti e i programmi. È più lenta e infinitamente più interessante.
Lascia un commento