“Mi hanno hackerato.” “Attacco hacker all’ospedale.” Ogni giorno la parola compare accanto a furti, ricatti e sistemi bloccati. Ed è comprensibile che faccia paura. Ma chi lavora nella sicurezza informatica usa la stessa parola per sé, e non è una contraddizione: è la storia di una parola che ha cambiato significato per strada.
Cosa significa davvero “hacker”?
Una persona che conosce a fondo come funziona un sistema, e prova piacere nel capirlo e nello spingerlo oltre i suoi limiti. Non c’è niente di illegale nella definizione originale.
Il dizionario storico del gergo informatico fa risalire l’uso della parola come titolo di merito agli anni Sessanta, nella cultura del club di modellismo ferroviario (TMRC) e del laboratorio di intelligenza artificiale del MIT. Fra i significati elenca chi esplora i dettagli dei sistemi programmabili, chi programma con passione, l’esperto di qualsiasi materia. Il senso di “intruso malintenzionato” è indicato come sconsigliato: per quello, dice, il termine corretto è cracker.
Anche il glossario degli utenti di Internet, pubblicato come documento tecnico dell’IETF, dice la stessa cosa, e aggiunge l’osservazione che ci interessa.
Hacker è chi ama conoscere a fondo il funzionamento interno di un sistema, in particolare di computer e reti. Il glossario nota che il termine viene spesso usato a sproposito in senso negativo, dove la parola corretta sarebbe cracker.
Perché allora per tutti è una parola negativa?
Perché quando un attacco fa notizia, la parola che arriva al pubblico è “hacker”, e la parola giusta, “cracker”, non è mai entrata nell’uso comune. A forza di leggerla accanto a furti e ricatti, il significato negativo ha coperto quello originale.
Lo si vede bene in un dizionario italiano di riferimento. La Treccani definisce l’hacker come chi, con le sue conoscenze di programmazione, entra abusivamente in una rete di calcolatori; ma nella stessa riga precisa che lo scopo è per lo più rendere più libero un sistema chiuso e insegnare ad altri a mantenerlo libero ed efficiente.
Una sola definizione che tiene insieme l’accesso abusivo e uno scopo che non è il furto: è la traccia della confusione fra i due significati, rimasta perfino nel vocabolario.
Contano anche altre due cose, che vedo spesso parlando con le persone:
- Chi attacca resta invisibile. Di un ricatto informatico si vede il danno, quasi mai la persona. Una parola sola, “gli hacker”, diventa il volto di tutto quello che non si vede.
- È comoda come capro espiatorio. “Attacco hacker” suona come un evento inevitabile, venuto da fuori. Spesso invece l’attacco è riuscito per una password debole o un sistema non aggiornato: ne ho scritto in Hacker: il capro espiatorio.
Esistono hacker “buoni”?
Sì, e lavorano anche per lo Stato. Si chiamano hacker etici: cercano le falle con il permesso del proprietario, le segnalano e vengono pagati per ogni falla confermata. È il modello dei programmi “bug bounty”, cioè a ricompensa.
Dal 30 agosto all’11 ottobre 2022 la Confederazione ha messo alla prova eIAM, il suo sistema centrale di accesso, con un programma bug bounty: 32 hacker etici, 14 falle confermate (una di gravità elevata, nessuna critica) e 5’700 franchi di ricompense. Il programma è stato condotto dal Centro nazionale per la cibersicurezza con la Cancelleria federale e l’Ufficio federale dell’informatica.
Pensaci: lo Stato invita degli hacker a provare a entrare nei propri sistemi, e li paga. Se la parola significasse solo “criminale”, sarebbe un controsenso. Non lo è, perché la differenza non sta nelle capacità: sta nel permesso e nell’intenzione.
Faccio un esempio personale. Io stesso mi definisco un hacker etico, nel senso originale della parola: prendo sistemi che esistono già, li studio a fondo e li modifico per migliorarli. È così che è nato EvolutoS, una piattaforma basata su Linux per server, desktop e telefono. Nessuna intrusione e nessun sistema altrui violato: solo la curiosità di capire come funziona una cosa e la voglia di farla funzionare meglio. È lo stesso spirito che il Jargon File racconta per il MIT degli anni Sessanta.
Perché dovrebbe interessarti la differenza?
Perché finché pensi “hacker = genio criminale invincibile”, ti senti senza difese; e non è così. La maggior parte degli attacchi che racconto qui non richiede un genio: usa una password riciclata, un aggiornamento rimandato, un messaggio che mette fretta. Sono porte che puoi chiudere tu.
E vale anche il contrario: se un giorno qualcuno ti segnala una falla nel tuo sito o nel tuo negozio online, non è per forza un ricattatore. Può essere un hacker etico che ti sta facendo un favore.
Il Metodo 3V applicato a una segnalazione “da hacker”
Ti scrive qualcuno che dice di aver trovato una falla nel tuo sito: tre domande prima di reagire. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nella segnalazione | |
|---|---|---|
| Verifica | Chi mi scrive, e cosa mi mostra? | Descrive la falla in modo verificabile, senza allegati da aprire o link da cliccare? |
| Validazione | Anche se fosse vero, la richiesta ha senso? | Un hacker etico segnala e lascia il tempo di correggere; un ricattatore chiede soldi subito per “non pubblicare”. |
| Velocità controllata | Chi mi mette fretta, e perché? | Ultimatum e scadenze di poche ore sono il segnale del ricatto, non della collaborazione. |
Domande frequenti
Cosa significa hacker?
In origine indica una persona che conosce a fondo il funzionamento di un sistema informatico e prova piacere nel capirlo e nel superarne i limiti. Il Jargon File, il dizionario storico del gergo informatico, fa risalire l'uso agli anni Sessanta al MIT. Il senso di criminale informatico è venuto dopo, e per quello la comunità usa la parola cracker.
Qual è la differenza tra hacker e cracker?
Hacker indica le capacità, cracker l'intenzione criminale. Il cracker entra in sistemi altrui senza permesso per rubare, ricattare o danneggiare. Il glossario degli utenti di Internet (RFC 1983) nota che hacker viene spesso usato a sproposito in senso negativo, dove la parola corretta sarebbe cracker.
Cos'è un hacker etico?
È chi cerca le falle di sicurezza con il permesso del proprietario del sistema, le segnala e spesso viene ricompensato. In Svizzera la Confederazione ha usato programmi bug bounty: nel 2022 32 hacker etici hanno trovato 14 falle confermate in eIAM, il sistema centrale di accesso, ricevendo 5'700 franchi di ricompense.
Fare l'hacker è un reato?
Conoscere a fondo i sistemi no. È reato entrare senza autorizzazione in un sistema altrui, in Svizzera come in Italia. La differenza fra l'hacker etico e il criminale sta proprio nel permesso del proprietario: con il permesso è un test di sicurezza, senza è un accesso abusivo.
Ne avevo scritto per la prima volta in Il Buono, il Brutto e il Cattivo. Il nome di questo sito, del resto, parla di difendersi dagli hacker perché è la parola che usano tutti: ma il nemico vero è il criminale, e contro di lui le difese esistono e sono alla tua portata.
