Febbraio 2000. Il dot-com boom è al culmine. Internet è il futuro. Yahoo vale 100 miliardi di dollari. Poi, per quasi una settimana, i siti delle più grandi aziende di Internet cominciano a cadere uno dopo l’altro — offline per ore — e nessuno capisce perché.
Chi era MafiaBoy
Michael Calce aveva 15 anni, viveva a Montréal e online si chiamava MafiaBoy. Non era un genio informatico, non aveva hackerato sistemi sofisticati, non aveva scritto il codice degli strumenti che usava. Li aveva semplicemente trovati e imparato a usarli.
Come molti teenager dell’epoca, frequentava chat IRC dove circolavano tool per attacchi DDoS. Quello che lo distingueva era l’ambizione: non attaccare singoli bersagli, ma i più grandi siti di Internet, e farlo per impressionare la propria crew online.
L’attacco
Dal 7 al 14 febbraio 2000, Calce condusse quella che chiamò “Project Rivolta”: una serie di attacchi DDoS coordinati che colpirono:
- Yahoo — offline per quasi un’ora, perdita stimata 500.000$
- Dell — offline per ore
- eBay — servizi degradati per ore
- CNN — il sito di news più visitato al mondo inaccessibile
- Amazon — il gigante dell’e-commerce giù
Il metodo era relativamente semplice: Calce aveva compromesso migliaia di macchine universitarie (che avevano connessioni veloci) formando una botnet, poi le aveva usate per inondare i target di traffico fino a saturarne le connessioni.
L’indagine e l’arresto
Ciò che portò all’identificazione di Calce fu l’ironia del cybercrime giovanile: si vantò. In una chat IRC pubblicamente monitorata scrisse di aver compiuto gli attacchi. I federal agent canadesi e l’FBI lo identificarono in pochi giorni.
L’FBI aveva già aperto un’indagine coordinata sull’ondata di attacchi — la più grande mai vista fino ad allora — con il coinvolgimento diretto del Presidente Clinton e del suo cybersecurity advisor Richard Clarke. Il caso aveva già raggiunto la Casa Bianca.
Calce fu arrestato nel settembre 2000. Aveva ancora 15 anni.
Il processo e la sentenza
I casi di cybercrime a carico di minorenni erano una novità assoluta per il sistema giudiziario canadese. Calce fu processato come minore, dichiarò colpevolezza su 66 capi di imputazione e fu condannato a:
- 8 mesi di “open custody” (non prigione, ma libertà vigilata)
- 12 mesi di probation
- Divieto di accesso a Internet per 12 mesi
- Piccola multa
Una sentenza che molti ritennero eccessivamente mite, considerati i danni — stimati in oltre 1,7 miliardi di dollari tra tutte le vittime.
L’impatto sulla legislazione
Il caso MafiaBoy fu un turning point politico. Negli USA accelerò la revisione del Computer Fraud and Abuse Act (CFAA) e portò ad un’ondata di nuova legislazione sul cybercrime in tutto il mondo. In Canada portò a emendamenti alla legislazione sui crimini informatici.
Fu anche il primo caso in cui i danni economici di un attacco informatico furono quantificati in modo esplicito e mediatico — 1,7 miliardi di dollari — rendendo concreta la posta in gioco per legislatori e imprenditori.
Dove è finito Calce
Michael Calce, diventato adulto, ha intrapreso una carriera legittima nel campo della cybersecurity come consulente. Ha scritto un libro sulla sua esperienza (Mafiaboy: How I Cracked the Internet and Why It’s Still Broken) e fa conferenze sulla sicurezza informatica. È diventato, nel senso più letterale, un poacher turned gamekeeper.