Il patto sulla sicurezza informatica tra gli Stati Uniti e la Cina è un accordo che manca della fiducia tra le parti. Davanti alle minacce di sanzioni da parte degli Stati Uniti e alla dichiarazione che la loro pazienza nei confronti degli attacchi informatici cinesi aveva oltrepassato il limite, il leader del Partito Comunista Cinese (Pcc) Xi Jinping ha convenuto di mettere fine agli attacchi informatici che hanno portato ogni anno al furto di migliaia di miliardi, in valore, dall’economia degli Stati Uniti.
Nella comunità della sicurezza informatica, l’accordo è stato visto con una sorta di speranza pessimistica.
«La mia opinione è che ci crederò quando lo vedrò», ha detto in un’intervista telefonica Darren Hayes, direttore della sicurezza informatica e ricercatore alla Pace University.
Sebbene alcuni esperti ritengano che la minaccia di sanzioni contro le imprese cinesi sia troppo grande perché il Pcc non vi presti osservanza, il Partito Comunista ha numerosi precedenti nel dire una cosa e farne un’altra.
«So che questo accordo, dal momento che il furto stimato è di migliaia di miliardi di dollari, è una priorità per il governo degli Stati Uniti, tuttavia manca di credibilità», ha detto Hayes.
Obama e Xi hanno annunciato l’accordo il 25 settembre nel corso di una conferenza stampa congiunta e hanno chiarito una distinzione tra le operazioni di spionaggio mirate a un guadagno economico e quelle convenzionali.
Hanno convenuto, ha detto Obama, che nessuno dei due Paesi dovrà «condurre o sostenere consapevolmente il furto informatico della proprietà intellettuale, tra cui segreti commerciali o altre informazioni aziendali riservate, per ottenere un vantaggio commerciale».
Obama ha detto a Xi che «la questione adesso, è se le parole saranno seguite dalle azioni».
VIGILANZA PER LE SPIE INFORMATICHE
L’accordo informatico istituirà un sistema per un dialogo ad alto livello tra gli Stati Uniti e il Pcc. Per quanto riguarda gli Stati Uniti, questo sistema includerà l’intervento del segretario della sicurezza nazionale e del ministro della Giustizia, mentre il Pcc vi assegnerà un funzionario a livello ministeriale. Ne prenderanno parte anche altri reparti, tra cui l’Fbi, il Dipartimento della Sicurezza Interna e gli uffici cinesi con ruoli simili.
Secondo una scheda informativa della Casa Bianca, questo dialogo biennale sarà utilizzato come un meccanismo per «riconsiderare la tempestività e la qualità delle risposte» nel caso si verifichi un’incidente. In altre parole, se gli Stati Uniti dovessero rilevare un attacco informatico utilizzato per rubare informazioni da un’azienda, verrà avvisato il Pcc e i partecipanti al dialogo esamineranno se quest’ultimo ha fatto qualcosa a riguardo.
Nonostante la vigilanza, in superficie l’accordo sembra essere poco incisivo. Tuttavia, nel profondo, potrebbe non rivelarsi così.
Secondo quanto afferma Dmitri Alperovitch, cofondatore e membro direttivo della Crowdstrike, una società di tecnologia per la sicurezza informatica, ciò che è importante è il contesto dell’accordo.
Il Pcc si è reso conto, ha detto Alperovitch in un’intervista telefonica, che «se non avessero concesso questi punti, sarebbero state applicate alle società cinesi delle sanzioni».
Sebbene sembri che nell’accordo le sanzioni non siano menzionate direttamente, gli Stati Uniti le stanno riservando come opzione nel caso dovesse continuare l’utilizzo degli attacchi informatici a scopo di furto da parte del Pcc.
Obama ha accennato a questo aspetto durante la conferenza stampa congiunta con Xi, dove ha affermato: «Osserveremo con attenzione per fare una valutazione riguardo ai progressi fatti in questo settore».
Qualora il Pcc non dovesse accondiscendere, ha detto Obama, potranno essere ancora prese in considerazione le sanzioni e le altre opzioni di ritorsione. Ha detto: «Ho fatto sapere al presidente Xi che applicheremo le sanzioni e qualunque altro strumento che abbiamo a disposizione per perseguire i criminali informatici, sia retroattivamente che per il futuro».
NUOVI BERSAGLI
Uno dei principali problemi che il Pcc deve affrontare è che i suoi sistemi per il furto in campo economico sono estesi e profondamente intrecciati con i suoi programmi di crescita economica.
Epoch Times ha recentemente fatto luce su questo sistema in un rapporto investigativo. Il furto nel settore economico messo in atto dal Pcc è diretto da una legislazione ed è attuato da reti su grande scala di hacker militari e privati. Le informazioni rubate vengono studiate da una rete di centinaia di ‘centri di trasferimento tecnologico’ che sono sotto il controllo del governo e di uffici accademici, con l’intento di replicare la tecnologia. Il sistema è inoltre supportato da oltre 3.200 società di facciata dell’esercito che operano negli Stati Uniti.
«Stiamo parlando di decine di migliaia di persone coinvolte in questa attività per conto del governo cinese ed è assurdo affermare che tutto questo cesserà da un giorno all’altro», ha detto Hayes.
È improbabile, secondo Alperovitch, che il Pcc smantelli la sua rete di hacker militari; piuttosto si «sta solamente apprestando ad assegnare loro nuovi incarichi», ha affermato.
«Non eliminerà completamente tutte le attività di spionaggio», ha detto, osservando che assisteremo probabilmente a un aumento di attacchi informatici che rientreranno nello spionaggio convenzionale – e che probabilmente ci sarà un aumento degli attacchi informatici cinesi nei confronti di altri Paesi.
Il problema sta in due elementi chiave dell’accordo. Prima di tutto, l’accordo è attualmente solo tra gli Stati Uniti e la Cina – e le operazioni del Pcc per rubare la proprietà intellettuale potrebbero semplicemente ripiegare sulle imprese al di fuori degli Stati Uniti.
In secondo luogo, l’accordo non include quegli attacchi informatici che rientrano nella definizione di ‘spionaggio in vecchio stile’.
«La linea è che devono essere mirati al beneficio commerciale», ha detto Alperovitch.
Ciò significa che gli attacchi informatici mirati a rubare i progetti militari degli Stati Uniti, i dati personali dei dipendenti federali e quelli volti a monitorare i funzionari degli Stati Uniti e altre persone di interesse, non solo non cesseranno, ma potrebbero anche aumentare.
«Penso che la speranza era semplicemente quella di ridurre lo spionaggio commerciale», ha detto Alperovitch. «Non c’è assolutamente niente che si possa fare per impedire ai cinesi di rubare i progetti dell’F-35 [il noto jet da combattimento tanto discusso in Italia ndr]».
Obama ha sottolineato questa differenza fondamentale nelle operazioni, nel corso di una tavola rotonda sull’economia del 16 settembre.
Obama ha detto di aver comunicato al Pcc: «Comprendiamo le operazioni di intelligence tradizionale volte ad acquisire informazioni nelle quali tutti gli Stati, noi compresi, si impegnano», tuttavia abbiamo osservato «che questo è fondamentalmente diverso dall’impegno diretto nello spionaggio industriale e nel furto dei segreti commerciali attuato dal vostro governo o dal vostro personale autorizzato».
