L'attacco invisibile: come il dirottamento BGP mette a rischio la tua infrastruttura

Qualcosa di preoccupante sta scuotendo il mondo dell'hosting. Alcuni attaccanti sono riusciti a dirottare rotte BGP per colpire Softaculous, una piattaforma popolare per l'automazione dell'hosting, e la sua controllata Virtualizor. L'obiettivo? Ottenere certificati TLS fraudolenti e iniettare aggiornamenti malevoli nei canali di distribuzione del software.

Non è l'ennesimo titolo inquietante sulla sicurezza. È un segnale d'allarme per chiunque gestisca infrastrutture online.

Cosa è successo esattamente?

L'attacco ha seguito un metodo incredibilmente sofisticato.

Prima fase: dirottamento delle rotte. Gli attaccanti hanno annunciato prefissi BGP che non gli appartenevano, reindirizzando il traffico destinato a specifici indirizzi IP attraverso la loro infrastruttura.

Seconda fase: frode sui certificati. Interceptando il traffico legittimo, hanno ottenuto certificati TLS da Let's Encrypt per domini che non controllavano.

Terza fase: aggiornamenti dannosi. Con certificati validi, hanno servito aggiornamenti compromessi di Virtualizor ai clienti.

Questa catena è particolarmente allarmante perché ogni passaggio ha reso possibile il successivo. Il dirottamento BGP ha aperto tutte le porte.

BGP: il GPS di internet

BGP (Border Gateway Protocol) è il sistema di instradamento della rete. Quando chiedi dati a un server, BGP decide quale percorso seguirà il traffico attraverso migliaia di reti.

Lo chiamano il GPS di internet, ma a differenza del navigatore della tua auto, BGP si basa interamente sulla fiducia. Le reti annunciano quali indirizzi IP controllano, e le altre reti ci credono. Non esiste un meccanismo di verifica integrato.

Questo modello basato sulla fiducia funzionava quando internet era una piccola rete accademica. Oggi è una falla enorme.

Perché dovrebbe interessarti?

Potresti pensare che la sicurezza BGP sia un problema per gli ingegneri di rete, non per gli sviluppatori. Sbagliato.

Ogni volta che fai un deploy su un server, aggiorni una dipendenza o installi un pannello di controllo, ti stai fidando del meccanismo di distribuzione. Se quel meccanismo viene compromesso tramite dirottamento BGP, tutta la tua infrastruttura potrebbe eseguire codice malevolo.

L'attacco a Softaculous dimostra che gli aggressori possono:

• Eludere la validazione dei certificati su cui gli sviluppatori fanno affidamento per connessioni sicure
• Distribuire malware attraverso canali di aggiornamento fidati che sembrano legittimi
• Compromettere i server a livello infrastrutturale, prima ancora che venga eseguito qualsiasi codice applicativo

RPKI: una luce nel buio

C'è anche una buona notizia. Esistono soluzioni.

Resource Public Key Infrastructure (RPKI) è un framework che aggiunge validazione crittografica agli annunci BGP. Con RPKI, le reti possono verificare di possedere davvero i prefissi IP che annunciano.

Quando implementato correttamente, RPKI impedisce il dirottamento delle rotte rendendo impossibile per gli attaccanti annunciare prefissi che non possiedono. I principali provider cloud e operatori di rete stanno adottando RPKI sempre di più, ma l'ecosistema non è ancora completo.

Ecco cosa devi sapere:

• La validazione RPKI intercetta la maggior parte delle perdite di rotte accidentali e previene i dirottamenti malevoli
• L'adozione sta crescendo ma non è universale: molte reti più piccole sono ancora scoperte
• È una soluzione a livello di rete, quindi dipendi dall'infrastruttura del tuo provider di hosting

Proteggere la tua infrastruttura

Non puoi risolvere BGP da solo, ma puoi ridurre la tua esposizione.

Nella scelta dell'hosting

• Scegli provider con sicurezza di rete solida: cerca implementazione RPKI, Route Origin Validation (ROV) e politiche di routing trasparenti
• Verifica le certificazioni del provider: controlla se la tua azienda di hosting sottopone le proprie infrastrutture a audit di sicurezza
• Chiedi della loro postura BGP: i provider affidabili dovrebbero saper spiegare le loro misure RPKI

Nel tuo codice

• Verifica i checksum in modo indipendente: non fidare solo HTTPS per la verifica del software
• Usa build riproducibili quando possibile per verificare l'integrità del software
• Implementa la firma del codice per i tuoi deployment

Nella validazione dei certificati

• Usa i log Certificate Transparency: monitora la emissione di certificati inaspettati per i tuoi domini
• Implementa HSTS: forza le connessioni HTTPS e riduci la superficie d'attacco
• Considera il certificate pinning per le connessioni critiche dell'infrastruttura

Il quadro più ampio

L'incidente Softaculous non è un evento isolato. Dirottamenti BGP simili hanno colpito exchange di criptovalute, provider cloud major e reti di distribuzione contenuti. La tecnica sta diventando più sofisticata, e l'impatto potenziale cresce man mano che più infrastrutture si spostano nel cloud.

Questo attacco evidenzia anche la natura interconnessa della sicurezza internet. Una vulnerabilità nel routing infrastrutturale può compromettere le difese più forti a livello applicativo. I certificati TLS, che ci fidiamo implicitamente, diventano armi nelle mani sbagliate.

Cosa succede adesso?

L'industria dell'hosting web deve dare priorità alla sicurezza BGP come requisito fondamentale, non come miglioramento opzionale.

Per sviluppatori e startup, questo incidente è un promemoria: la sicurezza va ben oltre il codice della tua applicazione. Capire lo stack infrastrutturale sotto il tuo software non è più competenza esclusiva dei team ops. È conoscenza essenziale per chiunque sia responsabile di asset digitali.

Stai all'erta, verifica le tue fonti e scegli partner di hosting che investano in misure di sicurezza complete. Gli attaccanti diventano più sofisticati. Le tue difese devono esserlo altrettanto.

La buona notizia è che la comunità della sicurezza sta lavorando attivamente sulle soluzioni. L'adozione di RPKI sta accelerando e gli strumenti per monitorare la sicurezza BGP stanno migliorando. Ma finché queste protezioni non diventeranno universali, restare informati e scegliere provider attenti alla sicurezza rimane la tua migliore difesa.

Tu come stai verificando l'integrità della tua infrastruttura? Vorremmo sapere qual è il tuo approccio a queste sfide di sicurezza emergenti.