Ethical hacking, le regole del gioco

La parola hacker non significa «criminale». In origine indica chi conosce a fondo un sistema e lo sa piegare a usi nuovi. Il problema non è la competenza, ma cosa ci fai e con quale permesso.

Chi è un ethical hacker

Un ethical hacker (o penetration tester) è un professionista pagato per attaccare un sistema con il permesso del proprietario, allo scopo di trovare le falle prima che le trovino i criminali. Fa le stesse cose di un attaccante, ma al contrario: segnala i problemi invece di sfruttarli.

Esempio: un'azienda assume un pentester e gli dice «prova a entrare nei nostri server, hai tempo due settimane, ecco cosa puoi e non puoi toccare». Alla fine lui consegna un report con le vulnerabilità trovate e come correggerle.

La sicurezza si studia conoscendo l'attacco. Un medico studia le malattie per curarle, non per diffonderle: con la sicurezza informatica è lo stesso.

La linea che separa tutto: l'autorizzazione

La differenza tra un ethical hacker e un criminale non è la tecnica: è identica. La differenza è il permesso.

	Ethical hacker	Criminale informatico
Permesso	Sì, scritto e firmato	No
Obiettivi	Concordati prima (scope)	Qualunque cosa
Cosa fa dopo	Segnala e aiuta a correggere	Sfrutta, ruba, ricatta
Conseguenze	Viene pagato	Viene denunciato

Prima di ogni test, il pentester firma un documento che stabilisce:

• lo scope: quali sistemi può toccare e quali no;
• i limiti di tempo: quando può agire;
• le regole d'ingaggio: cosa è permesso (per esempio: niente attacchi che bloccano i servizi in orario di lavoro).

Senza quel documento, la stessa identica azione diventa un reato.

Le figure del settore

• White hat (cappello bianco): lavora con autorizzazione, per difendere. È l'ethical hacker.
• Black hat (cappello nero): attacca senza permesso, per guadagno o danno. È il criminale.
• Grey hat (cappello grigio): sta nel mezzo, per esempio trova una falla senza permesso e poi la segnala. Anche se le intenzioni sono buone, l'accesso senza autorizzazione resta illegale.

Nelle aziende si parla spesso anche di due squadre:

• Red team: chi attacca (simula il nemico);
• Blue team: chi difende (monitora e risponde).

In questo modulo useremo tutti e due i punti di vista: capire l'attacco (red) per imparare a difendere (blue).

Cosa dice la legge in Italia

Accedere a un computer o a un account che non è tuo, senza permesso, è un reato, anche se «non hai rotto niente» e anche se è stato «solo per provare».

• Art. 615-ter del Codice Penale – Accesso abusivo a un sistema informatico o telematico: punisce chi entra senza autorizzazione in un sistema protetto, o vi si trattiene contro la volontà di chi lo gestisce.
• Art. 615-quater – punisce la detenzione e diffusione abusiva di codici di accesso (password, credenziali).
• Art. 617-quater e seguenti – riguardano l'intercettazione di comunicazioni informatiche: qui rientra, per esempio, catturare di nascosto quello che un'altra persona digita.
• GDPR e Codice Privacy – rubare o spiare dati personali altrui viola anche la normativa sulla protezione dei dati.

⚠️ Installare un programma spia sul telefono o sul PC di un'altra persona — un/una partner, un amico, un familiare — senza che lo sappia è un reato, non uno scherzo. Vale anche tra minorenni.

E in laboratorio? Qui è tutto lecito perché i computer sono della scuola, l'attività è guidata dal docente e serve a imparare a difendersi. È lo stesso principio dell'autorizzazione: ambiente controllato e permesso esplicito.

Il codice etico in tre regole

1. Permesso prima di tutto. Nessun test senza autorizzazione scritta di chi possiede il sistema.
2. Non fare danni. Si cercano le falle, non si distrugge né si ruba.
3. Riservatezza. Quello che scopri sui sistemi altrui non si divulga: si segnala a chi di dovere.

Attività