Sulle email di phishing a nome del RIPE NCC — paura, autorità e il vero ruolo dei registri

Di recente, molti membri del RIPE NCC hanno ricevuto un’email con oggetto «Download Review», che esigeva la conferma di informazioni entro 48 ore. L’email non proveniva dal RIPE NCC. Era un tentativo di phishing che sfruttava la paura: in particolare, la paura dell’autorità attribuita al RIPE NCC.

Questo episodio rivela un problema strutturale più profondo.

Il RIPE NCC è un’entità privata costituita dai suoi membri, che mantiene una banca dati delle registrazioni. Eppure molti membri lo trattano inconsciamente come un’autorità di regolazione dotata di poteri sovrani, capace di chiudere l’intera loro attività dall’oggi al domani. È proprio questa paura che i truffatori hanno sfruttato. Ed esiste per un solo motivo: secondo le politiche attuali dei RIR, i membri non possiedono davvero gli indirizzi IP da cui dipendono le loro imprese.

Se un registro può, in teoria, risolvere un contratto di servizio e modificare le registrazioni, il rischio viene percepito come una minaccia all’esistenza stessa dell’impresa. Un operatore nazionale di telecomunicazioni, un ISP che serve milioni di persone, non dovrebbe mai dipendere strutturalmente dalla discrezionalità di una società privata soggetta a una legislazione straniera. Non è una base sana per un’infrastruttura critica.

La vera soluzione è riformare le politiche. La proprietà delle risorse di numerazione deve essere riconosciuta. Quando i membri possiedono davvero i propri indirizzi IP, un’email, autentica o falsa, non può minacciare la sopravvivenza della loro impresa. La paura scompare nel momento in cui scompare la dipendenza. I RIR sono istituzioni guidate dalla comunità, nelle quali le decisioni nascono dal basso. Se la comunità vuole la proprietà, può ottenerla: partecipando, votando e cambiando le politiche.

Allo stesso tempo, i membri dovrebbero comprendere la realtà di oggi. Il RIPE NCC non è un governo. Non è la polizia di Internet. È un’entità privata che intrattiene un rapporto contrattuale con i propri membri. Se agisse in modo irragionevole, risolvendo contratti e causando danni sproporzionati, ne risponderebbe giuridicamente. I tribunali esistono proprio per impedire questi abusi, e la storia dimostra che nemmeno i registri sono al riparo da ingiunzioni, blocchi o insolvenza quando oltrepassano i limiti.

Nella pratica, le attività del RIPE NCC seguono procedure definite e ragionevoli. Per esempio, le verifiche assistite del registro, chiamate Assisted Registry Checks, servono a mantenere l’esattezza dei dati, ma si svolgono in modo collaborativo, vengono programmate secondo le disponibilità del membro e sono esplicitamente non ostili. Nessuna procedura legittima di RIPE esige, sotto minaccia, un intervento entro 48 ore. Messaggi del genere dovrebbero destare immediatamente sospetti.

Questo episodio ci ricorda di rimettere le cose in prospettiva. I registri sono contabili. Come disse uno dei fondatori di RIPE, esistono per tenere il libro correttamente. Niente di più. Non comandano le reti, non fanno da polizia dei comportamenti e non esercitano poteri sovrani.

La soluzione a lungo termine è l’azione collettiva: partecipare ai processi di definizione delle politiche, chiedere una vera proprietà degli indirizzi IP ed eliminare la paura strutturale che rende efficaci questi attacchi di phishing. Una volta chiarita la proprietà degli indirizzi IP, questa intera categoria di minacce scompare.

Fino ad allora, trattate le comunicazioni dei registri come quelle di qualsiasi fornitore: con calma, sulla base del contratto e senza paura.