Kevin Mitnick: l’hacker più ricercato d’America
Introduzione
Nell’estate del 1994, una giovane donna di nome “Eric Heinz” prese in affitto un appartamento a Raleigh, North Carolina, pagando in contanti. Usava un cellulare prepagato acquistato con un nome falso. Il suo vero laptop era cifrato. Non usava mai la stessa connessione due volte. Non si fidava di nessuno.
“Eric Heinz” era in realtà Kevin David Mitnick, il fuggitivo informatico più ricercato degli Stati Uniti, e stava vivendo da fantasma da due anni mentre si intrufolava nelle reti delle più grandi aziende tecnologiche del mondo. La sua storia è un caso di studio senza pari sull’ingegneria sociale, sulla sicurezza operativa, e sulla sottile linea tra curiosità intellettuale e crimine informatico.
I primi anni: il ragazzo dei telefoni
Mitnick nacque nel 1963 a Los Angeles. Cresciuto da una madre single nel quartiere di Sepulveda, trovò la sua prima passione a 12 anni nei bus pass della città: scoprì che poteva ottenere biglietti gratuiti imparando a usare il punch per ricreare combinazioni valide. Non era ladro — era incuriosito dal sistema.
A 13 anni incontrò il phone phreaking — la stessa sottocultura di John Draper e Captain Crunch. Imparò a manipolare le centraline telefoniche, a ottenere connessioni gratuite, a ascoltare le chiamate degli operatori. Ma mentre la maggior parte dei phreaker era motivata dal risparmio sulle bollette, Mitnick era motivato da qualcosa di diverso: voleva capire come funzionavano i sistemi. Voleva accedere a posti dove non avrebbe dovuto entrare — non per rubare, non per sabotare, ma per sapere di poterlo fare.
A 16 anni, con un amico, riuscì ad ottenere accesso al sistema interno della Pacific Bell, la compagnia telefonica californiana. Potevano vedere le chiamate di qualsiasi numero, cambiare i servizi degli abbonati, tracciare le linee. Non usarono mai queste capacità per arricchirsi — ma le usarono per assicurarsi che nessuno stesse indagando su di loro.
Il metodo: ingegneria sociale come arte
Quello che distingue Mitnick dalla quasi totalità degli hacker della sua epoca è che le sue intrusioni più spettacolari non si basavano principalmente su vulnerabilità tecniche. Si basavano su ingegneria sociale — la capacità di manipolare le persone per ottenere accessi, informazioni, credenziali.
Mitnick aveva sviluppato questa capacità a un livello che rasentava il soprannaturale. Il suo metodo:
La costruzione del pretesto
Prima di fare qualsiasi chiamata, Mitnick passava ore — a volte giorni — a raccogliere informazioni. Chiamava l’azienda come cliente per capire la struttura interna. Raccoglieva nomi, titoli, numeri di interno dai comunicati stampa, dagli annunci di lavoro, dalle pagine bianche. Imparava il gergo tecnico specifico dell’azienda target. Costruiva un personaggio credibile pezzo per pezzo.
La chiamata
Quando finalmente chiamava spacciandosi per un tecnico interno, un nuovo dipendente, o un fornitore esterno, era perfettamente preparato. Sapeva chi era il responsabile IT (“ah sì, Steve”), come si chiamava il suo capo (“il manager Johnson mi ha detto di chiamarti”), quali sistemi usavano (“ho un problema con il VAX cluster nel data center di Phoenix”). La persona dall’altra parte non aveva motivo di dubitare.
La tecnica funzionava sfruttando tendenze umane universali: la tendenza a voler aiutare chi sembra in difficoltà, la tendenza a fidarsi di chi conosce il gergo interno, la tendenza a non voler sembrare scortesi o sospettosi verso un collega.
Il pretexting moderno
Le tecniche di Mitnick sono oggi studiate nei corsi di sicurezza aziendale come esempi di pretexting — la creazione di scenari falsificati per ottenere informazioni. Il principio non è cambiato: è ancora la base di molti attacchi di spear phishing moderni, anche se eseguiti via email invece che via telefono.
Le intrusioni: un decennio di accessi non autorizzati
Pacific Bell e i sistemi telefonici (1979-1981)
L’accesso ai sistemi di Pacific Bell che Mitnick mantenne per anni durante l’adolescenza era più significativo di quanto sembrasse. Significava che poteva sapere in tempo reale se la polizia stava tracciando le sue chiamate, se c’erano mandati per il suo numero, se i detective stavano collaborando con la compagnia telefonica. Era una rete di early warning contro le indagini su se stesso.
Digital Equipment Corporation (1988)
Il primo grande arresto. Mitnick si introdusse nei sistemi di DEC — Digital Equipment Corporation, all’epoca uno dei più grandi produttori di computer del mondo — e copiò il codice sorgente del loro sistema operativo VMS.
Non lo vendette. Non lo pubblicò. Lo volle per studiarlo, per capire come funzionava a livello profondo un sistema operativo commerciale. Questa motivazione — la curiosità intellettuale pura, senza guadagno economico — è uno dei tratti più costanti della sua carriera.
Fu arrestato, processato, condannato a un anno di carcere e tre anni di libertà vigilata con divieto di usare computer. Scontò il tempo. E appena finì, ricominciò.
La latitanza (1992-1995): il fantasma nella rete
Nel 1992, ancora sotto sorveglianza delle autorità e sospettato di nuove intrusioni, Mitnick scomparve. Diventò un fuggitivo con un nome falso, pagando tutto in contanti, usando identità multiple.
Per tre anni, mentre l’FBI lo cercava, Mitnick accedette ai sistemi di:
- Nokia — codice sorgente del software per telefoni cellulari
- Motorola — specifiche tecniche dei loro dispositivi
- Fujitsu — software per sistemi di paging
- Sun Microsystems — codice sorgente del sistema operativo Solaris
- Novell — software di rete
- NEC — vari sistemi interni
L’elenco completo, emerso durante il processo, comprendeva decine di aziende. La stima del danno aggregato variava enormemente: da decine di milioni secondo l’accusa, a praticamente zero secondo la difesa (il codice non era stato venduto né pubblicato).
Mitnick viveva spostandosi di città in città, cambiando appartamenti, usando telefoni prepagati, collegandosi sempre da luoghi pubblici o da connessioni rubate. La sua sicurezza operativa era notevole — ma non perfetta.
La caduta: Tsutomu Shimomura
Il Natale del 1994, qualcuno attaccò i sistemi di Tsutomu Shimomura, ricercatore di sicurezza al San Diego Supercomputer Center e uno degli esperti più rispettati del paese. Rubò strumenti di ricerca e file personali.
Shimomura prese l’intrusione come una sfida personale. Era stato humiliato pubblicamente — i file rubati circolavano su newsgroup — e decise di collaborare attivamente con l’FBI per trovare l’attaccante.
L’attacco di Mitnick a Shimomura era stato tecnicamente sofisticato: un IP spoofing attack combinato con TCP sequence number prediction — una tecnica che all’epoca richiedeva una comprensione molto approfondita del networking per essere eseguita. Shimomura analizzò i log dell’attacco e pubblicò una descrizione tecnica dettagliata su internet, umiliando a sua volta l’attaccante davanti alla comunità tecnica.
Il tracciamento
Shimomura e l’FBI combinarono diverse tecniche per restringere la ricerca. I log delle connessioni mostravano che l’attaccante si collegava a server intermedi attraverso una serie di hop. Analizzando i pattern delle connessioni, i tempi, e i segnali delle celle telefoniche, riuscirono a restringere la posizione a Raleigh, North Carolina.
Il 15 febbraio 1995, Shimomura e agenti dell’FBI percorsero le strade di Raleigh con attrezzatura per il rilevamento del segnale cellulare. Il segnale li guidò a un complesso di appartamenti. L’appartamento era quello di “Eric Heinz”.
Alla porta bussò l’FBI. Kevin Mitnick fu arrestato.
Il processo: 4 anni senza condanna
Quello che seguì fu forse la parte più controversa dell’intera vicenda. Mitnick rimase in prigione per 4 anni e mezzo prima che si svolgesse un processo.
Il governo sosteneva che Mitnick fosse così pericoloso da giustificare misure eccezionali. Il procuratore federale disse a un giudice che Mitnick poteva “causare il lancio di testate nucleari fischiando nei toni giusti al telefono.” Era una descrizione tecnicamente assurda — ma i giudici, completamente a digiuno di tecnologia, la presero sul serio. A Mitnick fu vietato di usare un telefono in prigione.
Gli hacker di tutto il mondo si mobilitarono nella campagna Free Kevin — una delle prime grandi campagne di attivismo digitale. Siti web venivano defacciati con il messaggio “Free Kevin”. Manifestazioni davanti al tribunale. Petizioni con centinaia di migliaia di firme.
Nel 2000, dopo 5 anni di detenzione (incluso il periodo preventivo), Mitnick fu rilasciato. Gli fu vietato di usare computer, telefoni cellulari o internet per altri 3 anni.
La rinascita: da criminale a guru della sicurezza
Uscito dal carcere, Mitnick si reinventò completamente. Fondò Mitnick Security Consulting, offrendo servizi di penetration testing e consulenza alle stesse aziende che un tempo hackerava.
Scrisse tre libri fondamentali:
“The Art of Deception” (2002) — il manuale definitivo sull’ingegneria sociale. Attraverso casi studio (romanzati ma basati su tecniche reali) mostra come chiunque può essere manipolato, e come le aziende possono difendersi. Ancora oggi il testo di riferimento per capire il fattore umano nella sicurezza.
“The Art of Intrusion” (2005) — racconta le storie di veri hacker e le tecniche che hanno usato, con l’obiettivo di educare i difensori.
“The Art of Invisibility” (2017) — una guida pratica alla privacy digitale per chiunque, non solo per hacker.
Morì il 16 luglio 2023 per complicazioni legate a un cancro al pancreas. Aveva 59 anni. La comunità della sicurezza informatica mondiale lo ricordò come un pioniere e — malgrado tutto — come qualcuno che aveva dedicato la seconda metà della sua vita a rendere i sistemi più sicuri.
La lezione che non cambia
Il messaggio centrale dei libri di Mitnick è rimasto costante per vent’anni ed è ancora attualissimo:
La tecnologia è spesso la parte più facile da bucare. Le persone sono il vero punto debole.
Un firewall di ultima generazione, un sistema di autenticazione a più fattori, un EDR sofisticato — tutto questo può essere aggirato con una telefonata convincente a un dipendente ignaro. La sicurezza tecnica è inutile se le persone non sanno come si riconosce un pretexting attack, perché si risponde a richieste che sembrano urgenti senza verificare l’identità del richiedente, o come funziona il vishing.
Per questo la security awareness è considerata oggi un pilastro della sicurezza aziendale: non perché sia sufficiente, ma perché senza di essa tutto il resto è costruito su sabbie mobili.
Conclusione
Kevin Mitnick è una figura impossibile da giudicare in modo semplice. Non era un criminale comune — non ha mai arricchito se stesso con ciò che rubava. Non era un eroe — le sue intrusioni violavano la privacy e causavano danni reali. Era qualcosa di più complicato: un uomo con una curiosità intellettuale straordinaria e un totale disprezzo per i confini legali di quella curiosità.
La sua storia rimane il caso di studio più completo che esista sull’ingegneria sociale: su come funziona, perché funziona, e cosa si può fare per difendersi.