I registri di smistamento delle emergenze di sette distretti di Taipei sono stati estratti da un attaccante che usava agenti IA, riferisce The Hacker News, citando una ricerca resa nota la settimana precedente dalla Threat Research Unit di Acronis. Gli agenti hanno inoltre individuato una piattaforma dei vigili del fuoco di Taipei priva di autenticazione, che esponeva dati dei pazienti risalenti al 2018, inclusi tracciati elettrocardiografici (ECG) e filmati delle ambulanze.
L'operazione è andata oltre i servizi di emergenza. Acronis ha rilevato che centinaia di organizzazioni in almeno 11 Paesi erano state prese di mira, tra banche, università e sistemi militari. La raccolta di dati o l'accesso ai sistemi sono avvenuti in circa 10 organizzazioni a Taiwan, in Thailandia e in Messico. Taiwan è stato il Paese di gran lunga più colpito e ha subito il danno più grave confermato ai servizi di emergenza.
I ricercatori hanno valutato con alta confidenza che una sola persona nella città di Hualien, a Taiwan, controllasse l'operazione. Il suo sistema, chiamato BOSSAI, combinava la costruzione dell'infrastruttura assistita dall'IA con agenti d'attacco che giravano per lo più su modelli locali privati dell'addestramento sulla sicurezza. I suoi successi hanno riguardato soprattutto sistemi con falle di protezione già presenti.
Registri di emergenza e dati dei pazienti esposti
I dati di smistamento rubati provenivano da un'API, cioè un'interfaccia software per lo scambio di dati, collegata al sistema di emergenza 119 dei vigili del fuoco e delle ambulanze di una città. L'API descriveva gli incidenti tramite marcatori temporali, tipi di intervento, stato dei casi e localizzazioni a livello stradale. Non consentiva il tracciamento in tempo reale delle ambulanze.
La piattaforma sanitaria rappresenta un risultato diverso: i suoi dati erano accessibili senza autenticazione. Sebbene la sintesi generale di Acronis descriva furti di dati medici e personali presso servizi di emergenza e università, il resoconto dettagliato stabilisce l'esposizione dei dati dei pazienti di Taipei, non la loro estrazione.
Altri obiettivi taiwanesi nei servizi di emergenza mostrano la gamma che va dall'accesso riuscito agli attacchi falliti fino ai risultati errati:
- Il pannello di amministrazione del database di un fornitore di tecnologie per lo smistamento dei vigili del fuoco accettava credenziali root predefinite, che hanno dato agli agenti accesso ad almeno 18 tabelle. Un tentativo di sfruttare una vulnerabilità nota per installare una web shell, cioè uno script che consente l'accesso remoto, è fallito.
- Il JavaScript lato browser di un sistema informativo per la gestione delle emergenze conteneva una chiave di cifratura AES-256 inserita direttamente nel codice. Ha rivelato il contenuto dei cookie di sessione, che contengono informazioni sulla sessione di un utente, inclusa l'identità di un amministratore. Una compromissione non è stata confermata.
- Uno scanner ha segnalato che un centro nazionale di risposta alle catastrofi aveva una falla critica in Apache che consentiva l'esecuzione di codice da remoto. La falla segnalata non esisteva.
- I tentativi di indovinare le password sul portale di single sign-on di un'agenzia nazionale dei vigili del fuoco non hanno prodotto accessi confermati.
- Sistemi dei vigili del fuoco in cinque città sono stati scansionati per identificarne il software, senza una compromissione confermata.
In altre zone di Taiwan, gli agenti hanno recuperato dati della tabella dei conti di una società di prestiti tramite SQL injection, una tecnica che manipola le query del database attraverso input vulnerabili delle applicazioni. Hanno inoltre raccolto dati da tre università thailandesi tramite SQL injection, dopo aver selezionato 489 potenziali obiettivi in 45 istituti.
L'attività in Messico ha prodotto circa 206.800 record di telefono fisso domestico contenenti nomi e indirizzi, utilizzando statistiche governative, elenchi di codici postali e dati dell'autorità per le telecomunicazioni. Altre circa 15 organizzazioni sono state attaccate senza un'intrusione confermata. In almeno altri otto Paesi, l'attività si è fermata alla scansione o alla preparazione di attacchi che non erano ancora stati eseguiti quando i ricercatori hanno esaminato l'operazione.
Una persona coordinava gli agenti IA
Acronis ha ricostruito l'attività a partire dal server dell'attaccante. Inizialmente sembrava una macchina di sviluppo configurata male, ma si è rivelato contenere il suo ambiente operativo d'attacco: oltre 90.000 file con conversazioni con gli agenti, cronologia dei comandi, strumenti d'attacco, credenziali e dati delle vittime.
I ricercatori hanno monitorato l'operazione per 12 giorni. Una conversazione registrata colloca l'attaccante al lavoro il 25 luglio. I risultati sono stati resi noti la settimana precedente alla notizia.
BOSSAI contava 12 agenti, nove dei quali in uso, suddivisi tra la manutenzione di server e strumenti e la conduzione di ricognizione e attacchi. Il coordinamento dipendeva ancora dall'operatore: gli agenti non potevano scambiarsi messaggi, quindi copiava manualmente il materiale da uno all'altro.
Gran parte dello sviluppo dell'infrastruttura ha usato modelli cloud commerciali, soprattutto Grok. Le richieste dirette di attacco hanno ricevuto rifiuti da Grok e MiniMax M3, che chiedevano un'autorizzazione scritta. Non era chiaro ai ricercatori se un'autorizzazione falsificata avrebbe cambiato quelle risposte. Tuttavia Grok ha riparato uno script di exploit proof-of-concept difettoso, che l'operatore ha poi affidato a un agente d'attacco.
Per la maggior parte del lavoro offensivo, l'attaccante ha usato versioni «abliterated» di DeepSeek, GLM e Qwen, in esecuzione in locale con l'addestramento alla sicurezza rimosso. Ha inoltre collegato gli agenti di programmazione Claude Code e Codex a un modello abliterated, anche se il loro lavoro riguardava soprattutto l'infrastruttura. Cursor, un altro agente di programmazione, ha usato un modello di questo tipo per attaccare un sito taiwanese dei servizi di emergenza.
I risultati degli agenti richiedevano verifiche. Uno strumento di scansione ha inventato identificativi CVE, cioè i numeri di riferimento usati per tracciare le vulnerabilità note, e più della metà dei suoi risultati di gravità alta e critica erano falsi positivi o classificati in modo errato. Anche l'agente d'attacco principale ha dichiarato esiti che non si erano mai verificati.
Attribuzione e difese che hanno retto
Il riutilizzo di identità ha aiutato Acronis a collegare l'operazione al presunto operatore. Informazioni pubbliche ed errori nel nascondere la sua identità hanno collegato attività commerciali legittime e infrastrutture d'attacco attraverso un profilo GitHub, un logo, il nome di una chiave SSH e un indirizzo email. Il suo indirizzo IP domestico è comparso anche in una conversazione con Grok durante una sessione di accesso remoto via SSH.
I ricercatori hanno ritenuto che il movente più probabile fosse il guadagno economico. Alcuni attacchi contro sistemi governativi, di emergenza e militari somigliavano ad attività sostenute da uno Stato, mentre altri somigliavano al normale cybercrimine. Non era chiaro se l'operatore lavorasse per qualcuno.
Il resoconto di The Hacker News sui risultati di Acronis descrive un elenco di indicatori con nove indirizzi IP e nove domini. Il loro stato di attività non è specificato e per la maggior parte manca la spiegazione del loro ruolo. Restano inoltre irrisolti lo stato delle notifiche e della bonifica per i sistemi coinvolti, compreso se i dati esposti siano ancora raggiungibili.
Le attività riuscite si sono concentrate su debolezze già presenti: una porta per i dati medici aperta dal 2018, un'API di smistamento raggiungibile pubblicamente, 16 punti di SQL injection presso la società di prestiti e database Oracle non aggiornati presso le università. L'IA ha abbassato il costo di individuare e perseguire molti obiettivi, ma gli agenti hanno fallito davanti ad accessi obbligatori, paywall che richiedevano sessioni valide ed endpoint che filtravano correttamente le richieste.
