Immagine generata da DALL-E di ChatGPT con il prompt “draw me a cartoon army made of angry electric toothbrushes marching in rows”

Nei giorni scorsi moltissime testate giornalistiche nazionali e internazionali hanno diffuso ampiamente la notizia di un attacco informatico effettuato tramite tre milioni di spazzolini da denti elettronici ai danni di un'impresa elvetica, dichiarando per esempio che "Quello che sembra uno scenario da film hollywoodiano è realmente accaduto" e che il sito dell'impresa è crollato sotto l'attacco ed è rimasto "paralizzato per quattro ore"; i danni ammonterebbero a "milioni di franchi" (Swissinfo). Gli spazzolini in questione sarebbero stati infettati con del malware Java installato da criminali e sarebbero stati indotti a visitare in massa e ripetutamente il sito dell'azienda presa di mira, creando un DDOS o distributed denial of service. Ma la storia è una bufala, e nessun attacco del genere è mai avvenuto.

La notizia falsa è stata pubblicata dalla Aargauer Zeitung e dai giornali ad essa associati (Luzerner Zeitung, copia d'archivio) in una intervista a un dirigente della filiale svizzera di Fortinet, una società statunitense specializzata in sicurezza informatica, molto nota nel settore. In realtà l'attacco informatico tramite spazzolini da denti è uno scenario ipotetico, come ha chiarito successivamente Fortinet, dichiarando che è stata fatta confusione fra scenari reali e scenari immaginati.

La bufala si è diffusa ed è diventata virale perché la storia aveva tutti gli ingredienti giusti per essere giornalisticamente accattivante: riguardava un oggetto familiare usato in maniera insolita, evocava una paura molto diffusa, quella degli attacchi informatici, e citava un numero sensazionale e facile da ricordare e da mettere in un titolo. Era così intrigante che anche molte testate semispecialistiche del settore informatico l'hanno pubblicata dandola per buona e fidandosi della fonte apparente, che sembrava essere Fortinet, mentre gli esperti esprimevano pubblicamente forti dubbi sulla credibilità tecnica dello scenario raccontato ma venivano puntualmente ignorati.

Allarme rientrato, insomma: non buttate via il vostro spazzolino da denti elettronico per paura che sia stato "hackerato" da malviventi. Nessuna azienda svizzera è stata paralizzata da un'orda di spazzolini e la notizia è, ripeto, una bufala.

Articoli raccomandati:

IA: il collasso, reloaded

Il caso delle telecamere di sicurezza che lasciano sbirciare nelle case altrui

Gli attacchi di gruppo: PKPLUG, xHunt, BabyShark e Mirai

Non ci siamo liberati di Mirai

Ma potrebbe accadere davvero una cosa del genere? Quasi sicuramente no. Gli spazzolini da denti elettronici non si connettono direttamente a Internet* ma si collegano solo agli smartphone, tramite Bluetooth, per cui uno spazzolino in sé, anche se "hackerato" installandogli del software malevolo, non potrebbe visitare un sito Web e quindi non sarebbe possibile paralizzare un sito facendolo visitare a ripetizione da milioni di spazzolini da denti.

* Nei commenti a questo articolo, però, un lettore segnala che esiste almeno una marca di spazzolino elettronico la cui base si collega al Wi-Fi locale, per cui in teoria si potrebbe infettare la base (non lo spazzolino, che comunica via Bluetooth con la base) per indurla a contattare un sito diverso da quello predefinito dal software standard installato dal produttore.

Infettare informaticamente uno spazzolino elettronico, invece, è plausibile. Proprio Fortinet, già quasi dieci anni fa, ha dimostrato come era possibile "hackerare" uno di questi oggetti tramite la sua app di controllo, ma gli effetti dell'attacco si limitavano a spegnere e accendere lo spazzolino, farlo andare più velocemente o disattivarlo. Si tratta insomma di esperimenti puramente dimostrativi, che mettono in luce un principio tecnico generale che purtroppo non è una bufala: molti dei dispositivi che colleghiamo a Internet non hanno protezioni adeguate contro gli attacchi informatici, oppure le hanno ma gli utenti non le attivano, e quindi è davvero possibile infettarli in massa e usarli per attaccare un sito.

Non è teoria: è già successo, per esempio nel 2019, quando il malware denominato Mirai è riuscito a infettare milioni di dispositivi connessi a Internet, dalle stampanti alle telecamere di sicurezza ai dispositivi di monitoraggio per neonati, sfruttando il fatto che moltissimi utenti lasciavano attive le loro password predefinite, che sono pubblicate nei manuali, e questo malware ha ordinato a questi dispositivi di visitare tutti contemporaneamente uno specifico sito Internet, paralizzandolo. Ma si trattava di dispositivi connessi direttamente a Internet, non di spazzolini, i cui dati passano attraverso uno smartphone, e comunque i criminali informatici oggi hanno a disposizione metodi di attacco ben più efficaci ed efficienti di un'infezione di massa di spazzolini smart.

Questa vicenda degli spazzolini, insomma, è fasulla ed è un caso da manuale di passaparola giornalistico in cui tutti citano tutti e nessuno controlla perché la storia è troppo accattivante, ma è comunque un buon pretesto per fare l'inventario dei nostri oggetti digitali e controllare che siano aggiornati e che la loro password per collegarsi a Internet non sia ancora quella predefinita dal costruttore, magari una simpatica e attaccabilissima sequenza "1234".