In questo numero:
- Cercapersone esplosi: una ricostruzione

Buongiorno a tutti, anche questo secondo numero della newsletter dopo la pausa estiva è una monografia (invece di diverse notizie). Ho pensato infatti che fosse necessario concentrarsi su quanto avvenuto in Libano. Ma prima di procedere, un’avvertenza. Quanto segue è ancora un quadro provvisorio, parziale, scivoloso, che serve per iniziare a farsi un’idea per ulteriori indagini. Qui nessuno ha spiegazioni e chiavi in tasca e chi dice di averle mente (a meno che non faccia parte degli esecutori, e in tal caso varrebbero altri caveat).
Per questo ho limitato al massimo i miei commenti, e ho linkato il più possibile le diverse fonti raccolte. Ho tralasciato l’impatto politico e legale per esigenze di spazio, ma potrei tornarci in futuro.
Ora serve fare soprattutto cronaca.

Secondo fonti della sicurezza libanese raccolte da CNN, Hezbollah avrebbe dunque acquistato i cercapersone mesi fa e il 17 settembre tali dispositivi sarebbero esplosi simultaneamente dopo aver ricevuto un messaggio (dopo aver suonato, secondo fonti libanesi). Secondo un articolo del NYT che cita funzionari americani, Israele avrebbe piazzato cariche esplosive accanto alla batteria di ogni cercapersone, oltre a un meccanismo per la detonazione. La maggior parte dei cercapersone sarebbero stati del modello AR-924 dell'azienda Gold Apollo, ma altri tre modelli erano inclusi nella spedizione (su questo più dettagli sotto).

Le esplosioni già nelle prime ore hanno prodotto un bilancio provvisorio di oltre 12 morti (tra cui due bambini) e oltre 2800 feriti (fonti libanesi, bilancio in crescita), tra cui l’ambasciatore iraniano a Beirut (che sostiene di non aver avuto un cercapersone ma di essere stato vicino a uno di questi, e che comunque è gravemente ferito agli occhi), e panico generalizzato, non solo fra i militanti di Hezbollah: ai medici dell'ospedale dell'Università americana di Beirut è stato detto di gettare via i propri cercapersone, riferisce l’Economist.
Secondo la CNN, l'attacco è stato un'operazione congiunta del Mossad, i servizi segreti israeliani, e dell'esercito. Israele si è rifiutato di commentare pubblicamente le esplosioni. Anche se successivamente il ministro della Difesa israeliano ha dichiarato che sta iniziando una “nuova era” di guerra, “riconoscendo tacitamente il proprio ruolo negli attacchi”, scrive CNN.

Nella giornata del 18 settembre, ancora in Libano, anche un numero indefinito di walkie-talkie è esploso (foto di un walkie-talkie esploso), producendo nelle prime ore un bilancio di vari morti e centinaia di feriti (dato in sviluppo, al momento è di 25 morti e 600 feriti, fonti libanesi riprese da vari media). Oltre ai walkie-talkie ci sono altri dispositivi tirati in ballo, su cui le informazioni restano però ancora più vaghe e confuse. “Sono state segnalate esplosioni di diversi dispositivi”, ha scritto Al Jazeera. “I principali sono radio walkie-talkie, ma sono stati menzionati anche telefoni cellulari, computer portatili e persino alcuni sistemi di energia solare. Anche diverse automobili sarebbero esplose, ma non è chiaro se l'esplosione sia stata causata dall'auto stessa o da qualcosa al suo interno”.

Per quanto riguarda i walkie-talkie, le immagini di quelli esplosi mostravano etichette con il nome della società giapponese ICOM e assomigliavano al modello IC-V82 dell'azienda. ICOM ha dichiarato giovedì di stare indagando sulla vicenda e non ha potuto confermare se avesse spedito i dispositivi, in parte perché quel modello è stato dismesso 10 anni fa.

“L'azienda di Osaka ha dichiarato che i suoi prodotti destinati ai mercati esteri sono venduti esclusivamente attraverso distributori autorizzati”, e ha già messo in guardia dalle versioni contraffatte dei suoi dispositivi che circolano sul mercato, in particolare dei modelli fuori produzione, scrive Reuters.

La dinamica delle notizie

Prima di andare a sviscerare alcuni nodi di una vicenda che lascia stupefatti, ripercorriamo la dinamica e il flusso di notizie del 17 settembre.

Sono le 12 circa (GMT time, 14 in Italia, 15 in Libano) ed escono le prime notizie sul fatto che l’intelligence interna israeliana (Shin Bet) avrebbe bloccato un complotto di un gruppo armato libanese per uccidere un ex alto funzionario della difesa, e che l’attacco era pianificato attraverso dell’esplosivo e un cellulare.
Passa circa un’ora (l’orario dell’attacco è stato successivamente stimato intorno alle 15.30 ore locali) e dal Libano arrivano le prime notizie che membri di Hezbollah sono stati feriti dalle esplosioni dei loro cercapersone. Passa un’altra ora e il ministero della Sanità libanese rilascia una dichiarazione urgente in cui si afferma che “un gran numero di persone con varie ferite sta arrivando negli ospedali libanesi, ed è stato inizialmente determinato che le ferite sono legate all'esplosione di dispositivi wireless che erano in possesso dei feriti”.
Di conseguenza, il ministero invita tutti gli ospedali alla massima allerta e ad aumentare il livello di preparazione per rispondere all’emergenza. E chiede a tutti i cittadini che posseggano dispositivi di comunicazione wireless di starne lontani fino a quando non verrà fatta luce sull’accaduto. E aggiunge che la maggior parte delle ferite sono “al volto, specialmente agli occhi, o alle mani o all'addome”.

Chi ha costruito i cercapersone

Dalle prime immagini dei cercapersone distrutti si ricostruisce che possano essere prodotti da Gold Apollo, un produttore con sede a Taiwan. Ma il fondatore di Gold Apollo, Hsu Ching-kuang, dichiara dopo poche ore che l'azienda non ha prodotto proprio quei cercapersone utilizzati nelle esplosioni in Libano. Che invece arrivano da una società europea, la Bac Consulting KFT (sede a Budapest), che aveva il diritto di utilizzare il marchio dell'azienda taiwanese. Anzi, “per quanto riguarda il modello di cercapersone AR-924 menzionato nelle recenti notizie dei media [sul Libano], chiariamo che questo modello è prodotto e venduto da Bac”, ha dichiarato lo stesso Hsu Ching-kuang, aggiungendo che i rapporti commerciali tra la sua società e la Bac sarebbero iniziati tre anni fa e descrivendo i trasferimenti di denaro della società ungherese come “strani”. Bac Consulting aveva pagato Gold Apollo da un conto bancario mediorientale che era stato bloccato almeno una volta dalla banca taiwanese di Gold Apollo, ha detto Hsu.

La pista ungherese

I documenti aziendali al Ministero della giustizia ungherese mostrano che Bac Consulting è stata registrata come società nel maggio 2022, scrive CBS News, con una Ceo di nome Cristiana Barsony-Arcidiacono.
Sempre secondo CBS, Barsony-Aricidiacono nel 2015 avrebbe registrato un'altra società a suo nome in Francia, “specializzata nel settore della consulenza aziendale e in altre attività”, poi sciolta nel 2016.

Giornalisti di DW hanno visitato l'indirizzo ufficiale della Bac a Budapest, ma non hanno incontrato né visto alcun dipendente. Nessuno ha risposto al campanello. Un foglio A4 con il nome della Bac stampato sopra sarebbe l'unico elemento visibile della società. I residenti della casa hanno dichiarato a DW di non conoscere tale società e di vedere raramente della corrispondenza inviata a quell’indirizzo. Sempre secondo dati analizzati da DW, nel 2023 la Bac Consulting aveva registrato un utile al netto delle imposte di 46.400 euro su 546mila euro di ricavi.

Secondo fonti di intelligence sentite da ABC News, l’operazione sarebbe stata progettata addirittura da 15 anni, e la pianificazione dell'attacco avrebbe coinvolto società di comodo, con più livelli di ufficiali dell'intelligence israeliana e di beni che hanno fatto da copertura a una società legittima che ha prodotto i cercapersone. Tuttavia, almeno alcuni di coloro che avrebbero partecipato all’operazione non sapevano per chi stessero effettivamente lavorando.

“Ci sono un sacco di società di facciata, prestanome e personaggi falsi”, ha dichiarato al WashPost Gavin Wilde, ex funzionario della Casa Bianca ed esperto di sicurezza informatica al Carnegie Endowment for International Peace. “Se davvero ci sono persone che sono state delle pedine [involontarie], dovranno vivere nella paura per il resto della loro vita, perché [anche se non erano a conoscenza dell’operazione] Hezbollah non ci crederà”.

Ma di che tipo di operazione stiamo parlando? Si tratterebbe di un’operazione di “intercettazione della catena di fornitura” (supply chain interdiction). Detto in soldoni, il fulcro dell’attacco sta nella capacità di accesso fisico a dispositivi hardware e alla loro manipolazione, e al successivo controllo dell’approvvigionamento. È dunque soprattutto un’operazione di intelligence tradizionale, prima di essere qualsiasi altra cosa.

“La spiegazione più ovvia è che una piccola quantità di materiale esplosivo fosse nascosta all'interno dei cercapersone. I dispositivi sarebbero esplosi alla ricezione di un messaggio specifico (coded). Si tratta di qualcosa di simile a un ordigno innescato da un telefono cellulare, ma su scala molto più piccola e molto più difficile da individuare”.
“Per decenni, gli eserciti hanno utilizzato tattiche di sabotaggio con quantità variabili di esplosivo per interrompere le catene di approvvigionamento, di solito prendendo di mira le organizzazioni insurrezionali”, hanno dichiarato dei militari britannici esperti di esplosivi all’ong AOAV.org.

Attaccare segretamente la catena di approvvigionamento non è una tecnica nuova nelle operazioni militari e di intelligence. Ad esempio, la National Security Agency statunitense ha intercettato hardware e computer destinati a clienti esteri, inserendo malware o altri strumenti di sorveglianza e poi li ha riconfezionati per consegnarli a determinati acquirenti stranieri, come risulta da documenti interni della NSA del 2010.
Non solo: la creazione o il controllo successivo di società che producono o commerciano dispositivi di comunicazione mi ha fatto immediatamente venire in mente l’operazione pluriennale di Cia e servizi tedeschi sulla produzione e vendita di macchine cifranti ‘bacate’ (di cui scrissi un approfondimento qui).

Ma quello che, a detta di molti osservatori, differenzia quest’operazione è l’utilizzo di queste tecniche di intelligence consolidate per inserire esplosivi (e non strumenti di sorveglianza) in dispositivi tecnologici usati per comunicare, e farlo su scala (e non in un episodio singolo di uccisione mirata, come accaduto in passato da parte israeliana). Per poi farli esplodere all’unisono dopo essere riusciti, presumibilmente, a venderli all’organizzazione nemica.
Per alcuni l’operazione esemplifica la convergenza dei domini cyber e fisici (di cui si parla da un bel po’), ovvero l’uso di attacchi o elementi informatici/cyber per procurare danni fisici. Nello stesso tempo, evidenzia anche anche la progressiva adozione di tattiche asimmetriche da parte di Stati (e non solo da parte di soggetti non statali).

Non solo. L'esecuzione di un attacco di questo tipo avrebbe posto diverse sfide tecniche:

1) Miniaturizzazione degli esplosivi.
L'integrazione di esplosivi nel dispositivo richiede una conoscenza ingegneristica dettagliata sia dell'elettronica che dei componenti esplosivi. 

I cercapersone (pagers, beepers) lasciano una piccola impronta elettronica rispetto ai cellulari, rendendoli meno vulnerabili ad hacking, sorveglianza e localizzazione. Inoltre sono semplici da usare, hanno una batteria che dura molti giorni, e sono in grado di ricevere messaggi senza appoggiarsi a reti Internet o cellulari.
I cercapersone Gold Apollo possono ricevere messaggi a una frequenza compresa tra 450 e 470 megahertz”, scrive NBC. “Il modello AR-924 è alfanumerico, cioè può inviare messaggi contenenti sia numeri che lettere. Come molti altri cercapersone, l'AR-924 è un dispositivo unidirezionale, cioè non è in grado di inviare messaggi ma solo di riceverli”.

“L'idea è che il pager ascolta sempre ed ha un indirizzo univoco”, commenta a Guerre di Rete un esperto di cybersicurezza che preferisce non essere citato. “Quando gli mandi un messaggio (su una frequenza condivisa, quindi probabilmente hai un limite massimo di messaggi simultanei che puoi inviare, al secondo, per ciascuna frequenza) si attiva, fa beep, decodifica/decripta il messaggio e te lo manda. Tante volte questi device o protocolli supportano messaggi broadcast. Con un segnale sulla giusta frequenza, con la giusta potenza, con la giusta codifica, mandi un bel messaggio broadcast (tipo it alert) che arriva a tutti i pager che sentono il tuo segnale radio. Ora, così come il processore/micro controllore del cercapersone decodifica e mostra il messaggio, e invia il segnale al buzzer della suoneria, può mandare un segnale simile ad una bomba, se il messaggio contiene una sequenza predefinita. Ovviamente è bene che la sequenza sia abbastanza lunga e randomica, che nessuno, per sbaglio, mandi quel messaggio prima del tempo. Magari sfrutti una violazione del protocollo. Ovviamente si tratta solo di ipotesi. Ci potremo fare delle idee più precise solo avendo maggiori dettagli”.

Secondo fonti libanesi raccolte da Reuters, l’esplosivo usato nei cercapersone era PETN. Anche il NYT sostiene che sia PETN.
Cryptomuseum ha raccolto in una pagina molto utile tutte le specifiche tecniche degli AR-924.

→ DIFFONDI LA NEWSLETTER
Ti è piaciuta la newsletter? Inoltrala a chi potrebbe essere interessato! Promuovila sui social. La newsletter (che è fatta nel mio tempo libero) resta gratuita, indipendente, senza sponsor, mandanti o agende altrui, e si diffonde col passaparola dei suoi stessi utenti.