L'Air Force comprava chiavette USB dal mercato di Kabul per le missioni in Afghanistan

Ex CISO Air Force rivela che piloti compravano chiavette USB da venditori afghani per pianificare missioni.

Nel 2008 il Dipartimento della Difesa USA vietò le chiavette USB dopo l'infezione da worm Agent.BTZ. Ora un ex responsabile sicurezza IT dell'Air Force racconta che anni prima i piloti acquistavano quei dispositivi da venditori locali in Afghanistan, senza comprendere il rischio di attraversare il confine tra sistemi classificati e non classificati.

Punti chiave

I piloti dell'US Air Force negli early 2000s passarono dai CD alle chiavette USB per trasferire dati di missione, senza valutare la capacità di lettura/scrittura come vettore di infezione.
Il personale acquistava le chiavette da venditori locali a Kabul e in altre città afghane anziché da canali militari ufficiali, con quantità tipiche di circa 100 unità per ordine.
Justin Henkel, all'epoca addetto sicurezza di 22 anni, tentò invano di segnalare ai superiori di grado superiore che la pratica violava le policy di separazione dei sistemi.
L'incidente Agent.BTZ del 2008 costrinse il Pentagono a 14 mesi di bonifica e portò al bando delle chiavette USB, revocato parzialmente solo nel 2010.

Da CD a USB: il passaggio che nessuno aveva autorizzato

Negli early 2000s i piloti dell'US Air Force utilizzavano compact disc per spostare dati di pianificazione missione tra computer non classificati e sistemi classificati installati sugli aerei. L'arrivo delle chiavette USB semplificò l'operazione ma introdusse una variabile che il personale non misurava: la riscrivibilità del supporto.

Secondo la testimonianza di Justin Henkel, ex CISO IT dell'Air Force, i piloti «non pensavano davvero all'impatto complessivo di sistemi classificati vs non classificati». La stessa unità di storage transitava da ambienti con connettività esterna a network isolati, con la sola separazione fisica a garantire il perimetro. Nessun controllo di integrità, nessuna provenienza tracciata.

Il procurement seguiva la logistica del teatro operativo. «Era più difficile portare un computer basato negli USA nella nazione che semplicemente comprare in locale», ha riferito Henkel. Il personale si rivolgeva quindi ai venditori del mercato di Kabul o di altre città afghane. Henkel stesso descrive il proprio ruolo di intermediario: uscire, creare relazioni con i venditori locali, ordinare lotti di circa 100 chiavette USB.

La gerarchia che non ascoltava il tecnico di 22 anni

Henkel tentò di bloccare la pratica segnalandola ai superiori. La reazione, racconta, fu di sconcerto per chi aveva compreso il rischio: «Era semplicemente uno shock... Ero un giovane ragazzo di 22 anni, molto junior nella gerarchia, che cercava di dire a colonnelli e maggiori che quello che stavano facendo è una violazione.»

La fonte non specifica se le segnalazioni di Henkel fossero documentate per iscritto o se fossero conversazioni informali. Non emergono sovrapposizioni infrastrutturali che colleghino le chiavette acquistate in Afghanistan al worm Agent.BTZ: sono eventi correlati nella narrazione ma distinti nei fatti verificati. La fonte menziona che «nemici degli USA notarono e iniziarono a vendere chiavette infette», ma non documenta infezioni specifiche nelle unità Air Force descritte da Henkel.

"Non pensavano davvero all'impatto complessivo di sistemi classificati vs non classificati... Usando lo stesso dispositivo per entrambi, non capivano che potevi leggere e scrivere su una chiavetta USB con malware. Non capivano davvero il quadro generale delle minacce." — Justin Henkel, ex CISO IT Air Force

Agent.BTZ e il costo di 14 mesi di bonifica

Nel 2008 il Dipartimento della Difesa USA fu infettato dal worm Agent.BTZ dopo il collegamento di una chiavetta USB infetta a un laptop con accesso a US Central Command. Il malware, attribuito a gruppi russi da un rapporto FBI/DHS del 2016 secondo la fonte, disponeva di capacità di raccolta informazioni e comunicazione con server remoti.

Il Pentagono impiegò 14 mesi per eradicare Agent.BTZ dai propri sistemi. La gravità dell'incidente impose un bando immediato delle chiavette USB nel 2008, con riautorizzazione condizionata solo dal 2010. La fonte non dettaglia le condizioni della riautorizzazione né i controlli introdotti.

La discrepanza temporale è significativa: le pratiche descritte da Henkel risalgono agli early 2000s, mentre Agent.BTZ si manifesta nel 2008. Se le chiavette afghane fossero state effettivamente vettore di infezione in quel lasso di tempo, la fonte non lo documenta. Il caso Agent.BTZ funziona da catalizzatore istituzionale, non da conferma retroattiva delle specifiche missioni Air Force.

Perché è importante

Mancano documenti militari, risposte FOIA o verifiche indipendenti sulla diffusione sistemica della pratica.

La fonte non dettaglia il tipo di malware eventualmente presente nelle USB locali prima del 2008, né stabilisce correlazioni tecniche con Agent.BTZ. L'attribuzione a gruppi russi citata per il worm del 2008 proviene da un rapporto FBI/DHS del 2016: la fonte non chiarisce se questa attribuzione fosse nota al momento del bando o se sia emersa successivamente.

Il valore del racconto sta nel meccanismo, non nella singola infezione. L'uso di dispositivi rimovibili acquistati da canali non fidati per attraversare confini di sicurezza fisici e logici rimane rilevante per le policy di BYOD, il procurement IT in zone di conflitto e la persistente vulnerabilità dell'air-gap fisico. La testimonianza di Henkel documenta un pattern culturale — la gerarchia che scavalca il tecnico junior — più che un catalogo di exploit.

L'incidente illustra come la supply chain hardware non controllata in contesti operativi critici possa compromettere la separazione tra ambienti. La lezione non è nel malware specifico ma nella gestione del rischio come processo decisionale, non come configurazione tecnica.

Fonti

Fonti e riferimenti

Ricevi DeafLetter