Agosto 31, 2009
Andrea Pompili è un informatico che si occupa di sicurezza. Coordinatore del progetto “Tiger Team” gestito da Fabio Ghioni, è entrato nell’inchiesta milanese del settembre 2006. La sua intervista potrebbe apparire ininfluente per il mondo del calcio, eppure parlarne è molto significativo. Nel suo libro, “Le Tigri di Telecom”, edito da Stampa Alternativa, ricostruisce quell’esperienza direttamente, passando in rassegna la storia di un gruppo, del suo lavoro e delle sue deviazioni. Un libro interessante che non è possibile riassumere in poche righe. Un libro certamente di parte, la parte che i media non hanno voluto fosse di dominio pubblico e che ancora oggi cercano di tenere sotto silenzio.
31 gennaio 2007. Ore 7.30: i carabinieri vengono ad arrestarti. La tua vita cambia completamente. Perché non sei scappato prima?
Ho una famiglia e la coscienza a posto.
Questa è una domanda chiusa: ti sei meritato quello che ti è successo?
No.
Quale era nelle intenzioni, il sogno del Tiger Team? Che compito dovevate svolgere?
Il compito era di agire all’interno dell’azienda per verificare eventuali debolezze informatiche sui sistemi critici. Scavalcare i sistemi di protezione studiando e scatenando attacchi coordinati e complessi basati su metodologie e approcci tipici dell’underground hacker.
Quali sono i punti da tenere in mente quando si parla di sicurezza informatica?
Purtroppo un sistema di sicurezza è valutabile solo in caso di una minaccia reale certificata, quando si ha coscienza di un attacco informatico in corso e si è in grado di verificare visivamente l’effetto protettivo che il sistema in campo dovrebbe garantire.
E’ possibile definire modelli previsionali o effettuare simulazioni, ma è molto difficile spiegare il perché di un investimento su ipotesi e preoccupazioni.
La valutazione dell’operato di un uomo della sicurezza si basa perciò sulla capacità di far comprendere al top management i benefici delle proprie azioni, magari attraverso risultati comprensibili ma, soprattutto, interessanti.
Necessità quindi di rendere partecipe attraverso temi che avrebbero “sensibilizzato” chi doveva poi “pagare”?
E’ una possibilità.
Per quale motivo l’informazione è così importante per una Security aziendale?
“Si dice che chi conosce il suo nemico e conosce se stesso potrà affrontare senza timore cento battaglie.” Così scrive Sun Tzu nel libro ”L’Arte della Guerra”.
Perché conoscendo il proprio nemico è possibile capire come si comporterà in futuro a causa della propria organizzazione interna o delle decisioni passate, oppure si potranno sfruttare le sue debolezze interne per gestire meglio il dialogo. O ancora preparare azioni mirate per intercettare eventuali offensive contro la propria realtà aziendale.
Di per sé dunque non era da escludere che la raccolta informazioni a “scopo difensivo” potesse generare “benefit” extra, come la conoscenza di elementi non dannosi all’azienda ma lesivi degli interessi della parte avversa?
Beh, si. Nella logica .
Avevate una linea di condotta in tal senso?
Ghioni diceva spesso che le competenze e le tecniche di attacco potevano essere utilizzate anche in modo più “sportivo”, nel caso in cui il fine giustificasse i mezzi. Esattamente come in guerra si uccide anche se uccidere è un reato e un agente dei servizi segreti potrebbe decidere di intercettare un potenziale terrorista anche senza il mandato di un giudice, perché la ragion di Stato bilancia l’illecito commesso. La differenza la fa il mandato istituzionale, sia che provenga dal proprio governo o da un’altra entità riconosciuta.
Voi e la vostra azienda quindi eravate di fatto “in guerra” con le realtà a voi concorrenti?
Sembrerebbe di Sì.
E’ corretto dire che per sensibilizzare i committenti si poteva rendere necessario un intervento anche non direttamente collegato agli interessi aziendali?
Non proprio. Diciamo che la tutela di un’azienda dipende anche dalla percezione che gli investitori e i clienti hanno del suo proprietario, proprietario che nel caso specifico aveva un’intensa vita pubblica.che andava oltre telefonini e linee ADSL.
Un esempio?
L’unica che ricordo aveva nome in codice RadioMaria. Un’operazione di raccolta informazioni su alcuni siti che avevano pubblicato foto compromettenti della compagna di Tronchetti Provera. Mi pare fosse il marzo del 2003.
La paura del nemico come strumento di sensibilizzazione?
E’ purtroppo il male della Security italiana. Una scorciatoia che serve a giustificare mezzi e investimenti in un settore che, alla fine, dipende sempre da un inafferrabile danno “potenziale”.
Ho visto usare la politica del terrore da quasi tutti i più grandi esponenti dell’underground digitale perché riesce a ingenerare nell’interlocutore un senso di ansia che lo rende permeabile anche alle proposte più “sportive”. La chiave che apre tutti gli scrigni è la paura dell’incontrollabile, l’angoscia per l’insidia che si muove sotto i nostri occhi senza che noi siamo in grado di percepirla. La paura di ciò che è inesorabile.
Non è da escludere quindi che per ottenere popolarità si ricorresse a interventi non richiesti?
Assolutamente no. La sicurezza aziendale ha profonde radici nel mondo delle forze dell’ordine, radici che implicano un forte indirizzo sugli obiettivi identificati dai propri responsabili.
E’ possibile però che ad un certo punto le cose siano sfuggite di mano visto che c’erano numerosi interessi in gioco. Purtroppo nessuno sa cosa sia realmente accaduto, compreso il sottoscritto.
Ritieni di escludere in maniera categorica che lo scandalo di Calciopoli facesse parte in qualche modo di un progetto simile?
No, almeno non per quanto di mia conoscenza.
Sei a conoscenza di qualcosa in tal senso?
Personalmente non ho mai ricevuto incarichi o sentito di azioni in tal senso. E’ anche vero che qualche esponente di spicco dello scandalo in questione è attualmente annoverato tra le parti civili del processo Telecom.
Come si poteva superare l’ostacolo etico e il rischio di obiezioni o personalismi?
In quasi tutte le Security aziendali le investigazioni interne vengono impostate su un network relazionale, ossia su un’organizzazione non gerarchica dove ciascun elemento ha ruoli e competenze specifici messi al servizio del coordinatore della rete. Nessuno deve sapere chi sono gli altri membri della rete, ma ciascuno dovrà essere pronto a intervenire quando ce ne sarà bisogno.
Ad esempio gli aspetti operativi possono essere affidati all’esterno, coinvolgendo realtà fidate in grado di integrare “adeguatamente” le attività condotte all’interno dell’azienda.
La struttura diventa quindi un insieme di professionisti indipendenti focalizzati su obiettivi specifici, definiti di volta in volta dal responsabile del network. la regola è che nessuno deve entrare nel merito delle procedure o dei risultati altrui perchè il modello è basato proprio sulla fiducia assoluta nella professionalità degli altri e l’unico che dovrà apprezzarne i risultati sarà il coordinatore dell’intera struttura.
Nel nostro caso, ciascun membro doveva inoltre essere un’entità autonoma in grado di recepire i desideri del capo, senza porsi interrogativi sulle conseguenze. Una specie di comunità di ciechi e sordi che collabora per ottenere risultati senza avere la consapevolezza dei percorsi. Ogni idea veniva presa in considerazione senza bisogno di specificare cosa doveva fare la squadra. In questo modo manca la consapevolezza collettiva ed è impossibile sapere a posteriori come si sono svolti realmente i fatti. Chi ci lavora sa che, nonostante il risultato sia funzionale e discretamente rispondente alle specifiche iniziali, il processo costruttivo assomiglia più al comportamento caotico di un formicaio che a una sequenza ordinata di passi logici. Cosa impedisce che l’obiettivo fallisca? la filosofia comunitaria che illumina l’intero sistema. Ognuno lavora per sé e non per coordinare gli altri, cerca di far emergere il proprio operato, combatte e accetta qualsiasi altra collaborazione parallela, anche se ripete cose già fatte e consolidate da tempo. Una corsa in cui ciascun partecipante gareggiava accompagnato solo dalla propria coscienza.
Ritieni che le dinamiche secondo cui si è svolta Calciopoli possano far pensare a un’operazione simile?
Non saprei.
Un concetto di organizzazione non ufficiale, composta da individui che condividono soltanto un obiettivo comune quindi?
Più o meno. Ribadisco il concetto di “rete professionale”: il coinvolgimento sembrava infatti più basato sulla capacità necessaria al momento piuttosto che su una gerarchia formale. E sull’obiettivo credo che ognuno avesse una visione estremamente parziale.
Ritieni che potrebbe essere esteso anche a settori diversi al vostro, attraverso la collaborazione anche inconscia di soggetti appartenenti a categorie lavorative differenti?
Suppongo di sì. Credo dipenda solo dalle capacità che servono.
Il committente era sempre consapevole dei metodi utilizzati?
Quando si parla di tutela aziendale è buona norma non farsi domande sul lavoro dei propri collaboratori. Una specie di beata ignoranza che può tornare utile nei momenti più bui.
La regola è che quando il committente chiede qualcosa di complesso, il professionista si deve mettere all’opera e ottenere il risultato. A quel punto il primo non dovrà chiedere spiegazioni al secondo, che a sua volta dovrà tenere per sé le modalità operative con cui è stato ottenuto.
Marzo 2003: arriva Tavaroli. Cosa sapevi sul suo conto?
Tavaroli veniva dall’antiterrorismo, era abituato a un’intelligence fatta di agenzie investigative, relazioni con politici e giornalisti e legami con le forze dell’ordine. Sull’evento che ha determinato la sua ascesa esistono diverse versioni. Tra le più interessanti, quella che Tavaroli avesse avuto la meglio in una storia di concorrenza tra aziende, in cui era risultato decisivo grazie a un risoluto intervento di intelligence. Dopo una storia di successo in Pirelli viene chiamato in Telecom direttamente da Tronchetti nel 2003.
Nel 2003 inizia anche la vostra attività con una prova di intrusione sul sistema di intercettazione della magistratura, esatto?
Sì. E i risultati furono preoccupanti: alla fine potevamo accedere all’area disco dove venivano salvati i contenuti delle intercettazioni – banalissimi file wav analoghi a quelli dei computer casalinghi – e con un po’ di pratica potevamo lanciare tutti i comandi per gestire ogni funzionalità di intercettazione.
Negli anni successivi ripetemmo questa analisi per altre due volte. Cambiavano nella forma, ma nella sostanza i problemi rimanevano sempre gli stessi. Quando parlai del problema al gotha della security di Telecom Italia, l’interesse collettivo venne negato smorzando l’evidenza: il problema non era grave, la rete di gestione era adeguatamente separata dal mondo esterno e la situazione era sotto controllo grazie alle procedure interne e alla lealtà di tutti gli operatori.
Tavaroli aveva ambizioni personali?
Le voci di corridoio dicevano che il progetto di Tavaroli era quello di esternalizzare la direzione security e tutti i servizi di sicurezza offerti da Telecom all’interno di un progetto denominato “One Security”. Sull’onda di questo progetto, alla fine del 2004 nacque la funzione technology and information security e in seguito un competence center di sicurezza con il compito di razionalizzare e pacchettizzare soluzioni partendo dalle competenze interne esistenti. Come a dire: creiamo i nostri prodotti e poi li portiamo sul mercato.
Successivamente molti testimoni hanno confermato questa visione a lungo termine di Giuliano Tavaroli, confermando anche la consapevolezza del progetto da parte dei vertici aziendali.
Nel tuo libro si parla dell’analisi del sistema GRM. Cosa rilevaste in quell’occasione?
Il sistema GRM (Gestione Richieste Magistratura) era una delle banche dati più sensibili di Telecom in quanto conteneva i tabulati di traffico di tutta la rete fissa. Conservava traccia di tutte le chiamate fisse intermini di chiamante, chiamato, data e ora, durata ed eventuale scheda telefonica usata sia per i telefoni privati che per le cabine pubbliche.
Il sistema era completamente vulnerabile. Non solo i ragazzi erano riusciti ad entrarci sfruttando ogni spiffero aperto, ma la stessa applicazione risultava inadeguata perché consentiva l’accesso anche senza utenza e password.
Decidemmo quindi di effettuare dei controlli automatici mensili sullo stato di sicurezza della banca dati, convinti che tutti fossero a conoscenza di questa procedura. Ma evidentemente non era così.
Durante tutto questo periodo, l’S2OC rilevò gli accessi effettuati durante le analisi e queste informazioni passarono successivamente per le mani di Adamo Bove.
L’S2OC era un’organizzazione parallela alla vostra?
L’S2OC era un gruppo di Milano più ampio del nostro che aveva avuto per primo l’onore di “gestire la sicurezza” all’interno dell’azienda. Le sue responsabilità andavano dal monitoraggio costante degli allarmi di sicurezza al supporto in caso di intrusioni o frodi informatiche. Addirittura, nel 2004, era questo l’organo incaricato di eseguire i tentativi di intrusione per tutta l’azienda.
Come reagì Adamo Bove quando scoprì ciò che era accaduto?
Presentò un esposto nei confronti di Ghioni e dei suoi fedelissimi relativamente a presunti accessi illeciti a questa banca dati.
“(Alcuni) fascicoli erano relativi ad elaborati della Global e della Polis D’Istinto. Alla mia richiesta circa l’uso da farne, Ghioni mi disse di non conoscere nessun fascicolo e di conseguenza di distruggerli”. Così Caterina Plateo in merito a quanto accadde in quei giorni. Ricorda altre reazioni?
Dopo la perquisizione ai danni di Giuliano Tavaroli (maggio 2005), documenti, nastri, addirittura interi computer vennero tritati e disintegrati. Secondo Repubblica i dossier pericolosi dovevano essere distrutti. “Cosparsi di benzina il materiale e lo bruciai. Erano i report di Cipriani e in qualche caso quelli della società per cui lavoro” così ha dichiarato Bernardini, uomo di fiducia di Tavaroli e Cipriani, durante uno degli interrogatori
E Tavaroli?
Agli inizi del 2006, Tavaroli sembrava pronto a rientrare in Telecom, come lui stesso aveva preannunciato. Restava da capire se sarebbe tornato a gestire la security e l’interim prolungato della sua ex-direzione confermava l’ipotesi del ritorno. Si era trattato di una “pausa” in attesa di far calmare le acque e le acque erano calme da un pezzo, o almeno così sembrava: perché poco tempo dopo Tavaroli veniva silurato.
Il motivo dell’allontanamento definitivo sembrerebbe legato all’apertura dei DVD cifrati di Emanuele Cipriani da parte delle forze dell’ordine. DVD che sembrerebbero contenere parte delle attività svolte dallo stesso Tavaroli per conto di Telecom e Pirelli.
“Le abbiamo chiesto troppo”, questa è la frase di commiato, secondo Tavaroli. Ognuno per la sua strada. Il dottore ovviamente esprime apprezzamento e comprensione per il lavoro e per l’esposizione che il suo uomo ha sostenuto, ma c’è un principio da salvare, quindi Tavaroli deve farsi da parte. Ed è per questo che durante il periodo di detenzione non dichiarò mai il coinvolgimento del management nelle presunte azioni illegali, anzi si profuse a difendere colui che gli aveva dato la possibilità di diventare qualcuno nello spietato mondo della sicurezza aziendale.
Scaricato?
Secondo Tronchetti: “Il signor Tavaroli non riferiva a me, non è mai stato un mio riporto diretto”.
In un memorabile discorso ai dipendenti annunciò che esistevano delle mele marce da estirpare e da separare da quelle buone, dimostrando l’intenzione di allontanare chiunque fosse entrato nella vicenda, piuttosto che un sano senso di giustizia.
Adamo Bove?
La voce era che Adamo Bove avrebbe avuto il benservito a causa della storia di Radar.
Bove si ritrovava così con un possibile coinvolgimento nell’indagine, una campagna di screditamento personale orchestrata ad arte, un’azienda che lo stava scaricando, e magari qualche anonimo che non avrebbe gradito la rivelazione di determinati favori più o meno personali a cui Bove poteva essersi prestato.
Nel settembre del 2006 arrivarono i primi arresti. Associazione a delinquere finalizzata alla corruzione e all’accesso abusivo a informazioni riservate. Giri di denaro per milioni di euro. Possibile che transazioni di quella portata fossero il risultato di una banale appropriazione personale da parte di Giuliano Tavaroli?
Tra le ipotesi investigative c’era anche il finanziamento di azioni illegali commesse da invisibili deviatori interni e esterni a Telecom.
Sei diventato ricco?
Magari. Almeno avrei avuto un motivo per fare quello che dicevano avessi fatto. Non avevo motivo.
Metteresti la mano sul fuoco per tutti i tuoi collaboratori?
Oggi no. Ci sono rimasto scottato già una volta.
La reazione di Tronchetti Provera e del gruppo Telecom?
Non se l’aspettava nessuno: “Telecom Italia è un’azienda per bene e fatta di gente per bene con qualche mela marcia”. In pratica, dopo aver incensato Adamo Bove e aver rabbiosamente accusato una fantomatica “zona grigia” (facilmente identificabile nelle continue accuse lanciate dal gruppo La Repubblica), aveva annunciato la propria linea di difesa: non sarebbe stata una protezione a oltranza dei propri uomini, ma una forte contrapposizione nei confronti di chiunque fosse finito nel calderone, innocente o colpevole.
E da quel momento iniziò una strana sequela di “atti dovuti” per nulla incoraggianti nei confronti di dipendenti e dirigenti del gruppo.
All’inizio tu non eri tra gli indagati, ma tra le persone informate sui fatti. Come si comportarono con te?
Il giorno prima del mio interrogatorio chiesi di parlare con il direttore della sezione corporate e legal affair per chiarire la mia posizione. Mi disse: “Vedrà, alla fine tutto si ridurrà a una storia di tre amici al bar”. Tre amici. Era chiaro: su questa affermazione Telecom aveva deciso di basare la sua futura linea difensiva. Il re sarebbe stato protetto a costo del resto della scacchiera, ogni personaggio più o meno coinvolto nella vicenda sarebbe stato spazzato via pur di dimostrare coerenza e volontà di riscatto a procuratori, politici, analisti, spettatori e, soprattutto, clienti.
La sorte di Adamo Bove ti influenzò?
Penso sia umano.
Dopo gli arresti come si comportarono i media?
Si passò dall’obiettiva descrizione dei fatti allo screditamento personale di tutti i personaggi coinvolti. Persino le fotografie di un corso di formazione in Sardegna divennero occasione di calunnia: “Tavaroli boys” e “I furbetti del telefonino” per dirne alcune. Meno male che a quel corso io non c’ero.
Ritieni che fosse un effetto studiato a tavolino?
Non saprei. In quel periodo l’obiettivo sembrava essere quello di allontanare Tronchetti Provera, e lo scandalo della Security Telecom con i suoi strani personaggi sembrava il tramite migliore attraverso cui colpirlo. Probabilmente lo screditamento era una delle tante possibilità in attesa di qualche risultato più tangibile da parte della Procura.
Alcuni dei tuoi collaboratori vennero trasferiti in alcune occasioni a Milano?
Sì. Si trattava di azioni prioritarie che non potevano essere rimandate.
Sei in grado di stabilire con certezza cosa stavano realizzando?
Purtroppo no. Anche se, come scrivo nel libro, senza quegli interventi forse non sarebbe successo niente di così clamoroso.
Come è stato affrontato il caso “Tiger Team” successivamente?
Verso la fine del 2007 il caso mediatico si era completamente sgonfiato. D’altronde il “principale sospettato”, quel Tronchetti Provera ossessionato da ciò che il mondo pensava di lui, aveva lasciato la guida del gruppo a settembre, indignato dall’ingombrante intromissione del governo Prodi nelle scelte strategiche della propria azienda.
Arriva l’ultima tornata di arresti, è il 5 novembre 2007. Un’ordinanza che cambia tutte le carte in tavola: dopo innumerevoli considerazioni sull’indiscutibile interesse aziendale che tutte le azioni sembravano avere, lo scenario cambia drasticamente seguendo linee più miti. Il management aziendale non viene nominato più, anzi, è lampante che ogni cosa dipendeva e prendeva piede su iniziative di Tavaroli, senza specifici ruoli o competenze, ma solo nell’ossessiva compulsione di prevenire i problemi a tutti i costi.
Gli stessi arrestati vengono gestiti con molto disinteresse. Roberto Preatoni, figlio del celebre immobiliarista e coinvolto nell’indagine, viene scarcerato dal tribunale della libertà a tempo di record, senza che nessuno del pool batta ciglio, nonostante sembrasse “certo” il supporto esterno concesso durante le attività contestate.
In merito alla morte di Carlo Giuliani, dichiari: “Se non fosse accaduto niente, qualcuno avrebbe potuto chiedersi la ragione di tutto questo”. E se non accade niente dopo lo scandalo “Tiger Team”?
Qualcuno dovrebbe porre delle domande, ma stranamente questo non accade.
Una corsa al silenzio?
Sarà un caso, ma è stato il giorno dopo l’arresto di Giuliano Tavaroli che è stato varato il decreto per la “distruzione delle intercettazioni illegali”.
E oggi si parla di un patteggiamento di massa per tutti i personaggi coinvolti. I vantaggi sono numerosi: esenzione dal risarcimento civile, esenzione dalle spese processuali e una pena quasi ridicola rispetto ai capi d’imputazione. E’ chiaro che non se ne deve parlare più.
D’altronde il rischio è troppo grosso, basti pensare allo spiraglio aperto dallo stesso Tavaroli nella famosa intervista a La Repubblica del 2008. Un vero e proprio putiferio che è stato fatto sprofondare immediatamente nel silenzio.
Il futuro?
Come dicevo, dopo la scontata richiesta di rinvio a giudizio di novembre 2008, tutte le testate giornalistiche hanno annunciato la corsa a un patteggiamento di massa. E la Procura di Milano sembra accettare di buon grado questa scelta processuale, un atteggiamento atipico se paragonato al colpevolismo e alla durezza applicata durante le indagini preliminari.
Alla fine, visto che Telecom non è più di Tronchetti e i colpevoli sono stati trovati, è meglio mettere un coperchio al problema e dimenticare rapidamente, prima che esca qualche altra esternazione pericolosa.
La verità è che questa storia ha dimostrato che la Security Italiana si occupa generalmente d’altro, con l’effetto che una delle testate giornalistiche più importanti del paese viene messa sotto scacco da un banale programmino allegato ad un messaggio di posta elettronica.
Qualcuno potrebbe obiettare che alla fine i colpevoli sono stati trovati, inseguiti e acciuffati, ma la verità è che nonostante convegni, campagne di sensibilizzazione, avvertimenti, specialisti di sicurezza e soluzioni chiavi in mano, basta un sistema alquanto rudimentale per penetrare tutte le difese.
E il tuo personale?
Telecom mi ha licenziato. Due giorni dopo la mia scarcerazione, con un telegramma. Da allora lavorare è stato difficile. Spero di avere la possibilità un giorno di tornare e dimostrare chi sono.
Ci vorrà molto tempo, ma i primi risultati sono molto incoraggianti.
C’è qualcuno che ti senti di ringraziare?
La mia famiglia. Per aver sempre creduto in me. Davvero.
