L’ attacco informatico contro il Sindacato dei giornalisti somali non poteva arrivare in un momento peggiore. Un attacco denial-of-service distribuito , noto con l’acronimo DDoS, ha inondato di traffico il sito web del gruppo locale per la libertà di stampa all’inizio di agosto e lo ha messo offline. Giorni dopo, le autorità hanno arrestato Mohamed Ibrahim Osman Bulbul, membro dello staff di SJS e redattore di Kaab TV, in relazione alla sua denuncia di presunta corruzione. Le crisi del tandem hanno messo a dura prova l’organizzazione.

“È stata una settimana davvero traumatica. Insonne. Molto stressante. Non abbiamo potuto pubblicare la nostra dichiarazione, la prima dichiarazione della detenzione di Mohamed”, ha detto al CPJ il segretario generale della SJS Abdalle Ahmed Mumin in un’intervista dal Regno Unito, dove era fuggito all’inizio di quest’anno dopo essere stato ripetutamente arrestato dalle autorità somale. “Immagina che qualcuno attacchi la tua squadra, trattenga uno dei tuoi membri e tu non sia in grado di comunicare con il mondo internazionale perché il tuo sito web è stato rimosso.”

SJS ha trovato un po’ di sollievo quando si è collegata a Qurium , un’organizzazione no-profit con sede in Svezia che ha iniziato a ospitare il sito web di SJS. Ma una settimana dopo l’attacco iniziale, un’altra inondazione DDoS ha colpito il sito web. Questa volta, Qurium è riuscito a proteggere SJS dall’andare offline. Dall’analisi di Qurium su questi ulteriori attacchi è emerso anche che una società statunitense, RayoByte, aveva fornito gli strumenti utilizzati nell’attacco.

Sprious, proprietaria di RayoByte, ha dichiarato a Qurium in un’e-mail, esaminata da CPJ, di aver “rimosso l’utente violento” dalla sua rete e di aver aggiunto il sito SJS alla sua “lista nera” per evitare che venisse ulteriormente preso di mira.

SJS non è l’unico organo di informazione che ha subito un attacco DDoS utilizzando i servizi di RayoByte. Secondo l’analisi di Qurium, organi di stampa di almeno altri cinque paesi – Kosovo, Nigeria, Kirghizistan, Filippine e Turkmenistan – hanno subito attacchi simili negli ultimi due anni. Questi incidenti forniscono uno sguardo raro sui meccanismi degli sforzi di censura online e su come le aziende private possono trarne profitto.

Sprious ha rifiutato le richieste di intervista del CPJ e non ha risposto direttamente a un elenco di domande scritte. Ma nelle dichiarazioni inviate via email al CPJ, Sprious ha affermato di essere “profondamente preoccupato” per le notizie secondo cui i suoi servizi sarebbero stati “presumibilmente” utilizzati negli attacchi DDoS. “Siamo fermamente contrari a qualsiasi forma di molestia o danno online, compresi gli attacchi informatici, soprattutto quando riguardano entità che svolgono un ruolo cruciale nella promozione della libertà di stampa e della sicurezza dei giornalisti”, ha affermato.

Con sede a Lincoln, Nebraska, RayoByte , precedentemente nota come Blazing SEO, è una delle tante aziende che vende ai clienti l’accesso agli indirizzi IP (protocollo Internet), numeri univoci assegnati ai dispositivi connessi a Internet, per lo “scraping”, un metodo per estrarre grandi dimensioni quantità di dati dai siti web. Il sito web di RayoByte elenca una gamma di prezzi per l’accesso agli indirizzi IP in base a variabili tra cui tipo e velocità.

Un modo per effettuare lo scraping è attraverso ripetute richieste di visitare un sito con indirizzi IP diversi. Giornalisti e ricercatori utilizzano lo scraping come tecnica di ricerca , ma quando le richieste IP vengono indirizzate rapidamente e in massa verso un sito specifico per sovraccaricarlo e metterlo offline, ciò costituisce un attacco DDoS.

Il CPJ ha documentato attacchi DDoS contro testate che conducono giornalismo critico in tutto il mondo. Questi attacchi informatici spesso avvengono insieme ad altre minacce alla sicurezza dei giornalisti e alla libertà di stampa.

L’analisi di Qurium mostra che ha bloccato quasi 20.000 indirizzi IP dal raggiungere il sito web di SJS con milioni di richieste il 18 e 19 agosto. La maggior parte del traffico (quasi il 50%) è arrivata tramite RayoByte e i suoi partner di hosting, afferma l’analisi. La seconda metà del traffico è arrivata attraverso diversi altri canali online, comprese le reti private virtuali (VPN) .

“Siamo stati molto efficaci nel mitigare l’attacco perché nel giro di poche ore ci siamo resi conto di aver già visto questo tipo di traffico”, ha detto Lundström di Qurium al CPJ. “Abbiamo incontrato questa infrastruttura [attaccante] in passato… questa infrastruttura non è uno scherzo.”

Attacchi DDoS simili sono iniziati quasi immediatamente dopo che il sito di notizie Nacionale con sede in Kosovo ha iniziato a pubblicare nel marzo 2022, coprendo la politica locale e le questioni sociali, ha detto al CPJ il co-fondatore Visar Arifaj in una recente intervista telefonica. “Il nostro sito web risultava inattivo abbastanza spesso. Poiché eravamo ancora freschi nel mercato delle notizie, per noi ha avuto davvero un impatto raggiungere il nostro pubblico”, ha affermato Arifaj. “Per noi essere fermi un paio d’ore durante la giornata è stato un duro colpo”.

Qurium ha iniziato a ospitare e difendere Nacionale nel settembre 2022 e a marzo e aprile 2023 Qurium ha notificato a Sprious che gli aggressori avevano utilizzato i suoi servizi contro il canale.

Nelle e-mail di marzo, Qurium ha informato Sprious di attacchi che durano “diverse ore senza sosta”. Uno degli attacchi ha “fornito” milioni di richieste web da indirizzi IP “pubblicizzati da Rayobyte/BlazingSEO”, ha affermato Qurium. Sprious ha risposto di aver inserito nella “lista nera” l’accesso al sito web del Nacionale e di aver impedito all'”utente” responsabile – che Sprious non ha nominato – di accedere ai suoi servizi, ma in aprile Qurium ha nuovamente rintracciato un attacco DDoS contro Nacionale che coinvolgeva RayoByte. In risposta all’e-mail di Qurium sull’attacco di aprile, Sprious ha affermato di aver “scoperto un problema” con i suoi “controlli di sicurezza” e di averlo risolto “per prevenire ulteriore traffico”.

Tuttavia, il traffico Internet proveniente da RayoByte verso il sito web di Nacionale non si è fermato ed è stato protagonista di attacchi DDoS contro l’outlet in luglio e agosto, ha detto Lundström al CPJ. Mentre la polizia del Kosovo ha arrestato e perseguito un uomo in relazione agli attacchi informatici e Qurium è riuscito a impedire che i continui attacchi mettessero offline Nacionale, Lundström ha dichiarato al CPJ che il traffico in entrata mostra che gli aggressori continuano a sfruttare gli IP da una combinazione di servizi proxy, VPN e altre fonti .

Oltre agli attacchi informatici, il personale della Nacionale è stato sottoposto a “costanti” molestie online per il proprio lavoro e recentemente è stato attaccato fisicamente sul posto di lavoro, sebbene gli aggressori siano stati arrestati, ha detto Arifaj al CPJ. “Questa pressione costante, anche quando non arriva ai giornalisti fisicamente e in modo diretto, si vede che ha un effetto molto positivo sul loro esaurimento”, ha aggiunto. “Ci vuole un tributo, mentalmente, per tutti.”

Dal 2022, Qurium ha inoltre monitorato gli attacchi DDoS con IP provenienti da RayoByte contro altri quattro mezzi di informazione: Peoples Gazette dalla Nigeria, Kloop dal Kirghizistan, Bulatlat dalle Filippine e Turkmen.news , che riporta il Turkmenistan dall’esilio. Gli attacchi a tre dei quattro punti vendita, escluso Kloop, hanno coinvolto anche il traffico tramite VPN.

Nelle sue dichiarazioni al CPJ, Sprious ha affermato che indaga sulle segnalazioni di attacchi DDoS utilizzando i suoi servizi e intraprende “azioni appropriate con l’utente finale che riteniamo responsabile” e “misure per mitigare i problemi segnalati, incluso, ma non limitato a, l’inserimento nella lista nera associata domini e lavorando diligentemente per rimuovere gli utenti abusivi.” Le dichiarazioni non rispondono direttamente alle richieste del CPJ di fornire dettagli sui clienti responsabili di questi attacchi e su come l’azienda ha risposto in ciascun caso.

Lundström ha detto al CPJ che Sprious deve ancora rispondere alle e-mail di Qurium riguardanti gli attacchi a Peoples Gazette, Kloop, Bulatlat e Turkmen.news, nonché gli ulteriori attacchi a Nacionale in luglio e agosto.

I proxy e le VPN hanno usi validi e importanti per garantire che gli utenti di Internet, compresi i giornalisti, possano mantenere la privacy online. Le organizzazioni per i diritti umani, incluso il CPJ, raccomandano l’uso delle VPN per difendersi dalla sorveglianza; gli individui possono utilizzarlo per evitare la censura online sostenuta dallo stato e le aziende lo utilizzano per salvaguardare le informazioni proprietarie . Ma Lundström ha descritto l’uso di servizi proxy e VPN per condurre attacchi DDoS come una “arma” di questi strumenti. “Ti stai nascondendo in uno strumento [fatto] per un altro scopo”, ha detto degli aggressori. “Penso che sia una decisione strategica.”

“Gli attacchi DDoS sono illegali ai sensi di una sezione del Computer Fraud and Abuse Act [degli Stati Uniti]”, Gabe Rottman, direttore del Technology and Press Freedom Project presso il Reporters Committee for Freedom of the Press con sede negli Stati Uniti, che fornisce supporto legale ai giornalisti. , ha detto al CPJ. Ma ha affermato che non è necessariamente illegale per le società proxy o VPN fornire servizi che vengono poi utilizzati negli attacchi DDoS.

Ciò non significa che i fornitori di servizi non possano intraprendere azioni. “Si può fare in modo che i fornitori di tecnologia facciano cose appropriate per proteggere i propri utenti e gli altri e allo stesso tempo costruiscano il loro servizio in modo da proteggere la privacy”, ha affermato Rottman. “Se… vieni a conoscenza di malintenzionati che fanno cose cattive, avvisa le autorità, impedisci loro di utilizzare il tuo servizio, mitiga il danno.”

Gli attacchi al sito web di SJS sono continuati, ha detto Lundström al CPJ, sebbene nessuno degli IP sia arrivato tramite RayoByte da quando Qurium e CPJ hanno contattato Sprious per un commento. Tuttavia, Lundström vuole che la leadership di RayoByte faccia di più per affrontare il fatto che gli aggressori si sono ripetutamente rivolti ai servizi dell’azienda per prendere di mira i siti dei media. “[RayoByte] sta facendo tutti i soldi”, ha detto. “E dobbiamo fare tutto questo lavoro extra e costruire nuove infrastrutture per affrontare tutta questa merda”.

Per quanto riguarda SJS, Abdalle resta preoccupato per il suo collega, che è ancora dietro le sbarre. Ma si dice fiducioso che il sito web del gruppo per la libertà di stampa rimarrà accessibile. Non conosce ancora l’identità della persona o delle persone che hanno lanciato l’attacco informatico, ma immagina cosa potrebbero pensare: “Ora stanno testimoniando, stanno entrando in una nuova realtà che anche dopo l’attacco SJS è ancora resistente. SJS è ancora attivo. SJS è ancora disponibile ed è in grado di lavorare e operare in modo efficace sia online che fisicamente in Somalia”.

Jonathan Rozen

Jonathan Rozen è il ricercatore senior per l’Africa del CPJ. In precedenza, ha lavorato in Sud Africa, Mozambico e Canada con l’Institute for Security Studies, valutando i processi di costruzione della pace in Mozambico. Ha anche scritto analisi per il think tank Adelphi sui collegamenti tra azione per il clima e prevenzione dei conflitti. Rozen è stato corrispondente delle Nazioni Unite per IPS News e ha scritto per Al-Jazeera English e l’International Peace Institute. Parla inglese e francese. Seguitelo su Twitter @Rozen_J .

Ilrestomancia con i suoi canali informativi non gode di contributi pubblici, non ha finanziamenti né pubblicità. Senza padri né padrini, solo servi vostri. Ci sosteniamo solo con il contributo dei lettori.