Un attacco informatico durato 8 anni, capace di colpire la Federal Reserve, la NASA e persino il Senato degli Stati Uniti, si è fermato grazie a un’operazione tecnica tanto semplice quanto decisiva. L’FBI e il Dipartimento di Giustizia hanno annunciato mercoledì il sequestro di una serie di domini internet che sostenevano una vasta rete di dispositivi compromessi, utilizzata per anni da hacker legati a Pechino per infiltrarsi in obiettivi sensibili americani. Il sequestro della botnet sostenuta dalla Cina arriva dopo un’indagine che ha coinvolto anche il colosso delle telecomunicazioni Lumen, e segna uno dei colpi più rilevanti sferrati finora contro l’infrastruttura hacker legata al governo cinese.
Summary
Punti chiave
- L’FBI ha sequestrato i domini usati dalle piattaforme di hacking QScan e QTRouter, rendendole inoperabili.
- Le due piattaforme erano gestite dal gruppo cinese QTFY, impiegato dalla società Nanjing Xinjiuwei Network Technology Company.
- Tra i clienti di QTFY figurano il Ministero della Sicurezza di Stato cinese e l’Esercito Popolare di Liberazione.
- Le vittime includono NASA, Federal Reserve, Dipartimento di Giustizia, Senato USA e altre agenzie federali, con intrusioni datate almeno al 2018 e proseguite fino al 2026.
Il sequestro dei domini che ha bloccato la botnet cinese
Il sequestro dei domini ha reso inoperabili sia QScan che QTRouter, le due piattaforme di hacking al centro dell’inchiesta. Secondo i documenti giudiziari, resi pubblici presso il tribunale federale del distretto meridionale della California, questi indirizzi internet erano codificati direttamente nel malware delle due piattaforme: senza di essi, la rete non poteva più comunicare con i propri server di comando e controllo. È un dettaglio tecnico che spiega perché l’operazione abbia avuto un impatto così immediato: non si è trattato di smantellare fisicamente migliaia di dispositivi compromessi in tutto il mondo, ma di tagliare il filo che li teneva collegati al centro operativo.
Il Dipartimento di Giustizia ha precisato che le piattaforme servivano a colpire non solo infrastrutture critiche statunitensi, ma anche reti gestite da ospedali, fornitori di telecomunicazioni, compagnie energetiche, istituti finanziari e appaltatori della difesa. Un raggio d’azione che va ben oltre le agenzie governative citate nei titoli, e che dà la misura di quanto fosse estesa l’obiettivo strategico dietro questa infrastruttura offensiva.
Chi c’è dietro QTFY e Nanjing Xinjiuwei Network Tech
Dietro l’operazione c’è un gruppo identificato dagli investigatori come QTFY, descritto nei documenti come sponsorizzato dallo Stato cinese. A gestirlo materialmente sarebbe stata la società Nanjing Xinjiuwei Network Tech, con sede in Cina, che secondo le carte processuali avrebbe creato e mantenuto operative le piattaforme di hacking. QTFY, secondo quanto riportato dal Dipartimento di Giustizia, offriva servizi di intrusione informatica a pagamento a una clientela che includeva direttamente il Ministero della Sicurezza di Stato della Repubblica Popolare Cinese e l’Esercito Popolare di Liberazione.
Le due piattaforme funzionavano come reti di offuscamento: nascondevano il traffico dannoso generato dagli hacker dietro migliaia di dispositivi connessi a internet compromessi, rendendo molto più difficile per i team di sicurezza risalire all’origine reale degli attacchi. È lo stesso meccanismo alla base di molte campagne di spionaggio digitale statale, dove l’anonimato tecnico diventa lo scudo principale per operare indisturbati per anni.
Gli obiettivi colpiti: da NASA al Senato USA
L’elenco delle vittime accertate racconta l’ampiezza della campagna. Le intrusioni risalgono almeno al 2018 e hanno coinvolto NASA, la Federal Reserve, il Dipartimento dell’Energia, il Dipartimento di Giustizia, il Dipartimento della Salute e dei Servizi Umani e i National Institutes of Health. Il caso più recente, e forse più preoccupante, riguarda il Senato degli Stati Uniti, i cui sistemi informatici sarebbero stati compromessi fino al 2026, secondo quanto riportato nell’affidavit presentato dal governo per ottenere l’ordine di sequestro dei domini.
Il Dipartimento di Giustizia non ha fornito dettagli sull’entità del danno subito da queste agenzie né sulla natura precisa delle informazioni sottratte. Questo silenzio sui contenuti effettivi delle intrusioni lascia aperta una domanda centrale: quanto a lungo e con quale profondità gli operatori di QTFY abbiano avuto accesso a sistemi che custodiscono dati su politica monetaria, ricerca spaziale e sicurezza nazionale.
Perché la durata dell’operazione conta
Il fatto che un’infrastruttura di questo tipo sia rimasta attiva dal 2018 fino al 2026 dice molto sulla resilienza delle reti di offuscamento cinesi e sulla difficoltà, per le agenzie di sicurezza occidentali, di individuare per tempo pattern di traffico anomalo generati da migliaia di dispositivi compromessi sparsi nel mondo. Non è un singolo attacco isolato, ma una infrastruttura persistente pensata per restare operativa nel tempo, cambiando obiettivi e adattandosi alle contromisure.
Il ruolo di Lumen e le implicazioni per la sicurezza informatica USA-Cina
Un contributo decisivo all’indagine è arrivato da Lumen, il gigante delle reti di telecomunicazioni, che ha dichiarato di aver osservato per circa un anno gli hacker mentre profilavano e colpivano agenzie governative, settori della difesa e dell’aerospazio, condividendo poi le informazioni raccolte con l’FBI. Questo tipo di collaborazione tra operatori privati di rete e agenzie federali è diventato uno strumento sempre più centrale nel contrasto alle campagne di spionaggio digitale sponsorizzate da Stati stranieri, perché spesso sono i grandi provider a intercettare per primi i flussi di traffico sospetto.
Il procuratore generale Todd Blanche ha commentato l’operazione affermando che gli hacker malintenzionati sostenuti da Stati stranieri e diretti contro le infrastrutture critiche americane “saranno fermati e perseguiti”, definendo l’operazione l’ultima di una serie di interventi tecnici per smantellare le attività di hacking indiscriminate sponsorizzate dalla Repubblica Popolare Cinese. L’annuncio arriva peraltro a poco più di un mese da un altro caso legato alla Cina: la condanna a 38 mesi di carcere di John Harold Rogers, ex consulente senior del Board della Federal Reserve, riconosciuto colpevole di false dichiarazioni agli investigatori federali per aver condiviso informazioni riservate su politica monetaria con operatori dell’intelligence cinese, pur essendo stato assolto dall’accusa più grave di spionaggio economico.
Preso nel suo insieme, il quadro che emerge mostra come il sequestro dei domini non sia un episodio isolato, ma parte di una pressione crescente delle autorità americane su più fronti dell’attività cinese negli Stati Uniti: dalle reti di hacking come infrastruttura, ai singoli individui accusati di aver fatto da tramite con l’intelligence di Pechino. Resta da vedere quanto rapidamente QTFY o gruppi analoghi possano ricostruire un’infrastruttura equivalente, e quanto invece questa mossa riesca a ritardare in modo duraturo operazioni che, per anni, hanno colpito senza essere scoperte.
FAQ
Cosa ha sequestrato l’FBI legato alla botnet cinese?
L’FBI ha sequestrato i domini internet usati dalla botnet cinese per coordinare gli attacchi informatici, rendendo la rete inoperabile.
Chi gestiva la botnet usata per questi attacchi informatici?
La botnet era creata e gestita dalla società cinese Nanjing Xinjiuwei Network Tech, sotto il gruppo QTFY.
Quali enti governativi statunitensi sono stati presi di mira dalla botnet?
Tra gli obiettivi figurano NASA, Federal Reserve, i Dipartimenti dell’Energia, di Giustizia e della Salute e dei Servizi Umani, oltre al Senato degli Stati Uniti.
Quanto sono recenti gli attacchi ai sistemi del governo americano?
I computer del Senato USA sono stati violati fino al 2026, mentre la botnet risultava attiva almeno dal 2018.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
