Neanche il tempo di insediarsi alla Farnesina e per il neo ministro Emma Bonino arriva la prima grana. Il cadeaux è la violazione del sistema informatico che gestisce i visti d'ingresso nel nostro paese.

In realtà l'effrazione risale a quasi due anni fa ma le nostre forze dell'ordine se ne sono accorte, per pura casualità, soltanto nei giorni scorsi.

«Cari signori, siamo un gruppo di persone che ritengono l'informazione un bene comune»: si presentano così gli hacker del portale "par-anoia.net", i pirati cibernetici ad avere preso d'assalto il sito della polizia italiana.

Sostengono di appartenere a una rete internazionale la cui cifra distintiva è uno scudo simile a quello della Cia, scudo che per l'occasione viene ornato dalla sigla Hia, Hackering intelligence agency.

Verrebbe da sorridere, ma le loro incursioni, come detto,  hanno già colpito al cuore il nostro sistema di sicurezza interna. Il primo obiettivo, colpito e probabilmente almeno per ora affondato, è il protocollo informatico per il rilascio dei visti, un elaborato software progettato per conto del Ministero degli Affari esteri e affidato alla polizia di stato.

Il sistema si chiama "I-Vis"e per la sua realizzazione la Farnesina ha sborsato quasi quattro milioni di euro. Approvato nel 2001 e affidato con gara d'appalto, il protocollo da quel momento e sino ad oggi è ancora in fase di "roll-out".

In pratica si tratta di una prassi che consiste in un rodaggio. Per testare la rete informatica di "I-vis" sinora si è scelto di utilizzarla solo per i paesi del Nord Africa e della fascia sud del Mediterraneo. Scelta un po' bizzarra, visto che la fase di sperimentazione coincide temporalmente con i moti della primavera araba.

Proprio a quel periodo, verso la fine del 2011, risale l'effrazione portata a termine dagli hacker di "Par-anoia", che sono riusciti ad entrare nel sito della polizia italiana, presumibilmente  attraverso un indirizzo mail collegato al portale istituzionale.

Hanno catturato il messaggio di posta elettronica con cui il gruppo di aziende che ha prodotto il sistema si premurava di comunicare a tutte le sedi della polizia di frontiera del nostro paese i dati con cui accedere a "I-Vis"  e gestirne le autorizzazioni per il rilascio dei visti d'ingresso.

Buttata nel mare magnum della Rete, quella mail datata 28 ottobre 2011, non solo consente di navigare nel portale I-Vis con le autorizzazioni, i codici e le procedure per accedere ai visti d'ingresso, ma fornisce in chiaro gli account di posta elettronica di oltre 350 agenti di polizia italiana - proprio quelli impegnati nel settore di frontiera-  i numeri di telefono di alcuni funzionari e progettisti.

Sull'incursione sta ora indagando la Polizia postale. E' ancora presto per stabilire di quale portata sia il danno procurato e non è chiaro se effettivamente qualcuno abbia potuto utilizzare i dati di login per manipolare il rilascio dei visti. Di sicuro, però, il sistema ha dimostrato di essere vulnerabile.

La violazione è stata effettuata senza che  il raggruppamento temporaneo di imprese che lo ha realizzato (ne fanno parte la Engineering Spa e la Fata, gruppi che sui temi di Schengen collaborano con il Ministero degli Affari Esteri dal 1997)  potesse porre alcun rimedio. La gestione degli accessi al sito I-Vis, infatti, è tutta nelle mani delle nostre forze dell'ordine.  

I-Vis è la versione italiana del  "Visa Information System", il sistema centralizzato della Commissione Europea che raccoglie le informazioni sui visti emessi dai partner dell'accordo di Schengen. In quel calderone informatico confluiscono  informazioni anagrafiche, fotografiche e biometriche, come ad esempio le impronte digitali, di chi richiede il visto.

I dati vengono messi a disposizione dei consolati, degli organismi di sicurezza italiani ed europei e dello Sportello unico dell'immigrazione su cui ricade il compito di  gestire i visti di chi entra per motivi di lavoro. In pratica I-vis è utilizzato nei computer della nostra polizia in porti, aeroporti, frontiere terrestri nazionali e presso le Questure.

Siccome si integra con i sistemi già in uso presso la polizia, ed è per questa ragione interconnesso con gli uffici del Viminale e lo Sdi (la versione online del casellario giudiziale), sarà necessario stabilire sino a quale livello di profondità sia giunta l'effrazione.

La manomissione del protocollo per i visti d'ingresso non è l'unica attenzione che gli hacker del gruppo "par-anoia" hanno riservato alle notre forze dell'ordine. Tra i documenti da consultare sul loro server c'è anche l'ordine di servizio diffuso dalla Questura di Roma alla vigilia delle manifestazioni di Roma del 15 ottobre 2011, poi culminate in violenti scontri nel centro della Capitale, con un bilancio di oltre cento feriti.

Leggendo quelle 58 pagine, con cui viene minuziosamente pianificata dalla Questura capitolina ogni mossa per il giorno successivo, appare chiaro che le forze dell'ordine conoscessero con esattezza ognuno dei gruppi che avrebbe partecipato a quei cortei. .