Questo articolo prende spunto dalla storia raccontata nel documentario ufficiale di Google "Operation Aurora | HACKING GOOGLE", integrando il racconto con la documentazione tecnica pubblicata da Google, dal NIST e dalla CISA. L'obiettivo non è semplicemente ripercorrere uno degli attacchi informatici più significativi degli ultimi decenni, ma comprendere come da quell'evento sia nato un modo completamente nuovo di concepire la sicurezza informatica.
Per molti anni la sicurezza informatica è stata costruita attorno a un'idea tanto semplice quanto intuitiva, ovvero proteggere il perimetro aziendale. Firewall, VPN, antivirus e sistemi di controllo degli accessi avevano un obiettivo preciso: impedire agli attaccanti di entrare nella rete. Se il perimetro era sicuro, tutto ciò che si trovava all'interno veniva automaticamente considerato affidabile.
Era un modello che, per molto tempo, ha funzionato. Poi, tra la fine del 2009 e l'inizio del 2010, un sofisticato attacco informatico cambiò per sempre il modo in cui il settore avrebbe iniziato a pensare la cybersecurity. Quell'attacco è passato alla storia con il nome di Operazione Aurora.
Non fu solo un incidente che coinvolse Google e altre grandi aziende tecnologiche. Fu la dimostrazione concreta che il problema non era soltanto impedire agli hacker di entrare in una rete, ma capire come proteggere dati e sistemi quando un attaccante è già riuscito a superare le difese. Da quella consapevolezza nacque un nuovo modo di progettare la sicurezza. Un approccio che oggi conosciamo con il nome di Zero Trust.
Alla fine del 2009 Google individuò un'attività anomala all'interno della propria infrastruttura. Dopo settimane di analisi, i suoi team di sicurezza scoprirono che un gruppo di attaccanti altamente organizzato era riuscito a compromettere alcuni sistemi aziendali sfruttando una vulnerabilità di Microsoft Internet Explorer.
L'obiettivo non era interrompere i servizi o bloccare il funzionamento dell'azienda. Gli aggressori volevano ottenere informazioni riservate, sottrarre proprietà intellettuale e accedere agli account Gmail di alcuni attivisti per i diritti umani.
Nel gennaio 2010 Google decise di rendere pubblico l'accaduto con un comunicato ufficiale. Fu una scelta insolita per l'epoca, ma destinata ad avere un enorme impatto sull'intero settore della sicurezza informatica.
Con il proseguire delle indagini emerse inoltre che Google non era l'unica vittima. Anche Adobe, Juniper Networks, Rackspace, Yahoo, Symantec e numerose altre aziende erano state colpite attraverso tecniche molto simili.
Operazione Aurora dimostrò una realtà che fino a quel momento molte organizzazioni tendevano a sottovalutare: nessuna azienda è davvero al sicuro solo perché possiede un buon firewall o una rete ben protetta.
Per comprendere l'importanza di quell'attacco bisogna fare un passo indietro. Fino a pochi anni fa le reti aziendali erano progettate seguendo un principio molto semplice:
Di conseguenza, chi riusciva a collegarsi alla rete interna veniva generalmente considerato affidabile. Era una filosofia perfettamente coerente con il modo in cui le aziende lavoravano allora. Ma presentava un limite enorme.
Se un attaccante riusciva a rubare le credenziali di un dipendente, compromettere un computer o sfruttare una vulnerabilità, poteva muoversi all'interno dell'infrastruttura quasi senza ostacoli. In cybersecurity questo comportamento prende il nome di lateral movement, cioè la capacità di spostarsi da un sistema all'altro fino a raggiungere le informazioni più sensibili.
Ed è proprio questo che Operazione Aurora mise in evidenza. Il problema non era soltanto riuscire a entrare. Il vero problema era tutto ciò che diventava possibile fare una volta entrati.
Dopo quell'incidente, gli ingegneri di Google iniziarono a ragionare in modo completamente diverso. La domanda non era più:
"Come possiamo impedire agli hacker di entrare nella nostra rete?"
La vera domanda diventò:
Può sembrare una sfumatura, ma rappresenta uno dei più grandi cambiamenti di paradigma nella storia della cybersecurity. Per la prima volta il perimetro aziendale smetteva di essere il centro della strategia di difesa. L'attenzione si spostava sulle identità, sui dispositivi e sul controllo continuo degli accessi.
Fu da questa riflessione che Google sviluppò BeyondCorp, un nuovo modello di sicurezza che eliminava il concetto di rete interna "fidata" e verificava ogni richiesta di accesso in base all'identità dell'utente, allo stato del dispositivo e al livello di rischio.
BeyondCorp è oggi considerato una delle prime implementazioni su larga scala dei principi che, pochi anni dopo, sarebbero stati formalizzati nel modello Zero Trust.
Negli ultimi quindici anni il modo di lavorare è cambiato radicalmente. Le applicazioni sono migrate nel cloud, lo smart working è diventato la normalità e dipendenti, collaboratori e fornitori accedono alle risorse aziendali da luoghi e dispositivi sempre diversi.
In questo scenario il concetto stesso di "rete interna" perde significato. I dati non si trovano più all'interno di un unico edificio e gli utenti non lavorano più esclusivamente dalla sede aziendale. Continuare a basare la sicurezza esclusivamente sul firewall significa proteggere una porta mentre le informazioni circolano ormai ovunque.
È proprio per questo motivo che il modello Zero Trust è diventato uno dei principali riferimenti della cybersecurity moderna. Non perché sia una moda o una nuova tecnologia, ma perché risponde a un problema reale che aziende come Google hanno sperimentato sulla propria pelle.
Accompagniamo le aziende in un percorso graduale verso la sicurezza Zero Trust e SASE, basato sulla piattaforma Cloudflare.
L'obiettivo è ridurre la superficie di attacco e mettere l'identità al centro della difesa.
Scopri il servizio Zero Trust