Dark web: marketplaces, numeri e realtà del lato oscuro della rete

Virus, hacker, armi, pedopornografia, carte di credito rubate, organizzazioni di matrice terroristica, creazione di documenti falsi, farmaci senza licenza e credenziali di accesso a milioni di account violati in tutto il mondo; ma anche sicurezza e privacy dei governi, libertà contro i regimi oppressivi, giornalismo, intelligence e comunicazioni protette: tutto racchiuso in una piccola e profonda area della Rete, il dark web.

Per comprendere cos’è il dark web è necessario fare una premessa. Nel corso degli anni Internet è diventata la base per una comunità online globale di persone provenienti da tutto il mondo, che interagiscono tra loro su una scala e una velocità senza precedenti nella storia. Internet ha dato vita ad una società digitale totale che trascende i confini, siano essi di natura nazionale, legale, di razza o religione. La società, nonostante la sua natura amorfa, resta costituita da individui vincolati da leggi esistenti a tutela del prossimo e della collettività stessa; i governi hanno politiche e di conseguenza azioni, che consentono il perseguimento dei soggetti qualora partecipassero a comportamenti illegali. In questo contesto è fondamentale parlare di Internet delineando tre grandi categorie in essa appartenenti: il surface web (o web di superficie), il deep web (web profondo o sommerso) e una sottocategoria di quest'ultimo, il dark web (web oscuro); con i seguenti due attributi: pubblico vs privato e responsabile vs anonimo. Per rendere più comprensibile, anche visivamente, quale sia la reale differenza viene utilizzata una metafora: quella dell’iceberg che galleggia nel mare.

Il World Wide Web (www), letteralmente la "ragnatela globale", contiene ormai una mole di informazioni smisurata e in continua crescita. Guardando i dati generati da Internet Live Stats, ad oggi ci sono oltre 1,8 miliardi di siti web (ogni secondo utilizziamo circa 104,096 GB di traffico Internet e inviamo quasi 3 milioni di mail - di cui 2/3 è spam). Stando ai calcoli di worldwidewebsize.com - un altro sito che cerca di quantificare la dimensione di Internet attraverso il lavoro del suo fondatore Maurice de Kunder e dei suoi collaboratori - ci sono almeno 5,47 miliardi di pagine web (riferimento novembre 2020); una stima che copre solo quella parte di Internet inclusa nelle ricerche, non il deep web.

Si riferisce a quella parte di Internet considerata pubblica e responsabile. È pubblica perché l'accesso non è limitato dall’autenticazione o dietro pagamento ed è indicizzata dai vari motori di ricerca; è responsabile in quanto gli stakeholder (host e utente) sono identificabili pubblicamente o comunque facilmente rintracciabili. Il sito web della Rai è un esempio: è accessibile pubblicamente visitando l'Url che può essere raggiunto tramite un motore di ricerca (es. Google, Bing o Yahoo), ed è responsabile per il contenuto che pubblica. Gli utenti possono anche essere ritenuti responsabili della loro visita al sito web poiché il loro accesso verrà registrato dal server e da chiunque monitori la rete, fornendo dettagli come un indirizzo IP a loro riconducibile.

Il deep web rappresenta quella porzione di web non accessibile pubblicamente, quindi privata e non indicizzata dai motori di ricerca, ma al contempo soggetta a responsabilità da parte dei rispettivi titolari e fruitori. Il suo accesso è solitamente limitato da requisiti di autenticazione o in quanto facente parte di una rete interna. Questa "area sommersa" comprende molto comunemente web mail, pagine e profili di social network privati o comunque ad accesso riservato, forum e blog online che richiedono un’iscrizione per visualizzarne i contenuti e servizi che necessitano di un pagamento da parte dell’utente come video on demand e riviste o giornali online. Il proprio conto personale sul portale online della banca fa parte del deep web: è privato a tutti tranne alla persona con le credenziali di accesso corrette alla pagina web; tuttavia i partecipanti (utente e banca) rimangono identificabili tra loro. Questa responsabilità in qualche modo è ancora più forte data la natura dei dati.

Il dark web è un sottoinsieme del deep web. Di quest'ultimo ne rappresenta una piccolissima parte (meno del 6%) e non è raggiungibile attraverso una connessione standard in quanto giacente su reti sovrapposte ad Internet chiamate genericamente darknet. Il dark web è una caratteristica di specifici sistemi distribuiti in overlay che esistono su Internet; si compone di elementi appartenenti sia al lato pubblico che a quello privato, in quanto è accessibile pubblicamente o solo da coloro che dispongono di credenziali. La differenza fondamentale tra il dark web, il surface web o il deep web sta nella mancanza di responsabilità presente nel primo. Nel dark web gli utenti non sono identificabili per la rete o per qualsiasi altro parametro di monitoraggio (IP, ubicazione ecc), le loro azioni sono quindi effettivamente rese anonime.

Il dark web è caratterizzato da protocolli unici abilitati dalla tecnologia e l'anonimato, mentre il deep web fa più affidamento sull'autenticazione e quindi su una mancanza di accesso pubblico.

Navigare nel dark web non ha niente a che vedere con la navigazione in incognito messa a disposizione dai browser tradizionali; per accedere a questa parte di web servono strumenti (browser) appositi. Lo strumento più diffuso è Tor (acronimo di The Onion Browser), un sistema di comunicazione anonima per Internet, basato sul protocollo di rete "onion routing" che si sovrappone al comune TCP (Transmission Control Protocol). Tor poggia il suo funzionamento su un'architettura a strati (da qui l'utilizzo del termine onion ovvero cipolla) e fornisce essenzialmente due servizi: connessioni anonime in uscita e la fornitura di servizi nascosti. Il nucleo di Tor fu sviluppato a metà degli anni novanta per la US Naval Research Laboratory, con lo scopo di proteggere le comunicazioni dei servizi segreti statunitensi. Fu concepito per fare affidamento su un network decentralizzato ed iniziò ben presto a ottenere popolarità tra gli attivisti e gli utenti esperti di tecnologia interessati alla privacy (Tor è stato utile alle denunce di Edward Snowden). Nel 2004 il codice fu rilasciato con una licenza libera.

Il dark web non monopolizza il crimine informatico. Come spiegavo all’inizio, malgrado le tante attività illecite, il dark web è usato anche per impieghi perfettamente legali. Un esempio è chi vuole evitare che i propri dati vengano raccolti dai giganti del web o da enti governativi. In particolare, nei regimi oppressivi, dove alcuni siti web sono oscurati (pensiamo alla Cina, dove non è possibile accedere a Facebook), attraverso il dark web è possibile aggirare la censura. Giornalisti, ricercatori e ONG usano Tor per proteggere le proprie fonti anonime, documenti riservati e anche loro stessi quando lavorano in Paesi in cui c’è un importante controllo sociale. I vari programmi sviluppati per accedere alle darknet sono quasi tutti gratuiti e open source; questo consente una maggiore diffusione e facilità di utilizzo: attivisti e dissidenti politici fanno uso di Tor e del dark web per superare le barriere della censura e il controllo dei regimi e governi meno democratici e ostili alla libertà di espressione. Le stesse agenzie di intelligence ne fanno uso.

Costruire e mantenere un'efficace capacità di monitoraggio del dark web è estremamente complesso e impegnativo: richiede una vasta conoscenza del panorama criminale, l'accesso a fonti chiuse e una tecnologia strutturata in grado di monitorare le medesime fonti (che peraltro sono labili e in continuo cambiamento). È necessario diagnosticare i siti Tor e I2P che sono di interesse e rappresentano una minaccia, nonché le chat dei canali IRC e Telegram, forum criminali e siti clonati che non sono limitati ad agire nel solo dark web. Esistono diverse tecnologie che forniscono un valido supporto al monitoraggio: tra questi c’è OnionScan uno strumento utile a sondare i servizi nascosti di Tor alla ricerca di vulnerabilità e problemi che potrebbero rivelare informazioni sensibili su un determinato sito.

Nel luglio del 2017, grazie alla collaborazione di FBI, DEA ed Europol, nell’operazione denominata Bayonet, le forze dell'ordine hanno chiuso due dei più importanti mercati del dark web: AlphaBay - uno dei più noti marketplace illegali, erede di Silk Road - e Hansa, il terzo marketplace più grande al mondo con base in Olanda. Una stima di oltre 1 miliardo di dollari in commercio illegale. Alphabay contava 200.000 utenti e 40.000 venditori, con 250.000 droghe e prodotti chimici illegali in vendita e più di 100.000 documenti rubati, prodotti falsi, malware, tool di hacking e molti altri servizi fraudolenti. Il volume di affari per Hansa era leggermente inferiore, ma comunque rilevante; la lista recuperata dagli investigatori durante le indagini contava ben 10.000 utenti che sfruttavano la piattaforma per effettuare vendite illecite. Lo scorso maggio 2019 un’operazione analoga a livello internazionale, ha portato alla rimozione di altri due mercati del dark web: Wall Street Marketplace e Valhalla Marketplace (Silkkitie). Nella stessa operazione, le forze dell'ordine hanno disabilitato contemporaneamente una popolare fonte di notizie sul dark web e una pagina di recensioni, DeepDotWeb. DeepDotWeb non vendeva contrabbando ma gli amministratori traevano profitto dalla promozione di siti e mercati criminali tramite link di affiliazione. Anche senza valicare i confini di casa nostra, un caso meno rilevante per forma ma assolutamente simile nella sostanza, è stato il Berlusconi Market chiuso a novembre dello scorso anno dalla Guardia di Finanza di Roma. Il black market metteva a disposizione ogni genere di merce illegale (soprattutto armi e droga) come se fosse un normale sito di e-commerce. 

Nonostante le numerose azioni delle forze dell'ordine mirate a chiudere i mercati del dark web, l'attività informatica più malevola continua il suo lavoro a ritmo sostenuto. Ad esempio, le AVCs (Automated Vending Carts) - sono pagine che consentono ai criminali di vendere grandi quantità di dati rubati (carte di credito, credenziali e accessi) in modo rapido e semplice - non hanno subito un drastico arresto dai recenti sequestri (a parte la chiusura di xDedic nel gennaio 2019). Joker’s Stash, un importante AVC utilizzato per acquistare carte di credito rubate, sembra continuare a funzionare mentre sperimenta anche nuove tecnologie come il DNS blockchain.

Il dark web è poco affidabile ed estremamente disorganizzato. In questo ambiente si cade spesso in attività di phishing o di typosquatting; questo perché i domini .onion sono una sequenza di caratteri apparentemente casuale, che non ha nulla a che fare con il contenuto del sito. Ad esempio https://7rmath4ro2of2a42.onion è un sito aggregatore di notizie e https://3g2upl4pq6kufc4m.onion riporta al motore di ricerca DuckDuckGo. Di conseguenza, per un utente, diventa ancora più complicato riconoscere un sito "ufficiale" da uno malevolo (es. pieno di virus) o che pratica attività di truffa; nel dark web è più facile ritrovarsi nella trappola degli hacker.

L'unica forma di pagamento ammessa nel dark web sono le criptovalute (Bitcoin su tutte ma anche Ethereum, Ripple, Stellar e tante altre piattaforme e protocolli di criptomonete). Ciò che contraddistingue il mondo dei criptomarket è proprio l’uso di sistemi di pagamento relativamente non rintracciabili: le criptovalute (o monete virtuali) e i portafogli virtuali elettronici (gli e-wallet). Si tratta di monete utilizzabili solo conoscendo una determinata chiave di accesso (un codice informatico) che rende, per l’appunto, le monete fisiche in monete digitali, quindi da pezzi di carta a spiccioli in bit.

Nel dark web si vende di tutto: profili social hackerati, passaporti falsi, dati personali intercettati su Paypal, virus informatici e attacchi DDoS. Un account Instagram hackerato costa circa 55 dollari, mentre per avere le credenziali di un profilo Facebook ne occorrono 74; si sale a 155 dollari per Gmail e ce ne vogliono solo 49 per Twitter. Per una Mastercard clonata con PIN bastano 15 dollari. Per un malware - tipologia di virus informatico in grado di insinuarsi in uno smartphone e nel computer, concedendo di fatto agli hacker l’accesso ai nostri dati - si va dai 70 ai 6000 dollari (per 1000 installazioni acquistabili) a seconda del continente/paese in cui diffonderlo e della qualità. Gli attacchi DDoS (Distributed Denial of Service), atti a mandare ko un sito web, inviando migliaia di richieste con lo scopo di sovraccaricare il server dello stesso, causandone l'arresto anomalo, ha prezzi differenti; si va dai 10 dollari per un ora con 10/50 mila richieste al secondo (per un sito non protetto), ai 200 dollari richiesti per attaccare un sito protetto per 24 ore.