Salt Typhoon: quando le agenzie americane hanno consigliato la cifratura

Che cosa hanno comunicato FBI e CISA

La CISA (Cybersecurity and Infrastructure Security Agency) è l'agenzia federale per la sicurezza informatica e delle infrastrutture; l'FBI è la polizia federale. Le due agenzie hanno pubblicato due comunicati congiunti, entrambi sul sito cisa.gov.

• 25 ottobre 2024. Il governo sta indagando su accessi non autorizzati alle infrastrutture delle telecomunicazioni commerciali da parte di attori «affiliated with the People's Republic of China». Dopo aver individuato l'attività, FBI e CISA hanno avvisato le aziende colpite, prestato assistenza tecnica e condiviso informazioni con altre possibili vittime.
• 13 novembre 2024. L'indagine ha rivelato «a broad and significant cyber espionage campaign». Attori affiliati alla Repubblica popolare cinese hanno compromesso le reti di più compagnie di telecomunicazioni per consentire tre cose: il furto dei dati sulle chiamate dei clienti (call records); la compromissione delle comunicazioni private di «a limited number of individuals who are primarily involved in government or political activity»; la copia di «certain information that was subject to U.S. law enforcement requests pursuant to court orders». Le agenzie aggiungono che la comprensione dei fatti crescerà con il proseguire dell'indagine.

Nessuno dei due comunicati nomina le compagnie colpite, né indica quante persone siano state coinvolte.

Le richieste delle forze dell'ordine

Il terzo punto del comunicato di novembre riguarda informazioni legate a richieste delle autorità americane basate su ordini del giudice. Negli Stati Uniti gli operatori di telecomunicazioni devono essere in grado di permettere al governo di intercettare le comunicazioni «pursuant to a court order or other lawful authorization»: è l'obbligo di CALEA, al 47 U.S.C. § 1002(a). Il comunicato non spiega quali sistemi siano stati toccati né in che modo. Come funziona quell'obbligo, e perché non comprende la decifrazione delle comunicazioni cifrate dal cliente, è spiegato in Intercettazioni e cifratura: Wiretap Act e CALEA.

4 dicembre 2024: la guida per chi gestisce le reti

Il primo documento tecnico è l'«Enhanced Visibility and Hardening Guidance for Communications Infrastructure», datato sul sito della CISA 4 dicembre 2024. Lo firmano CISA, NSA (l'agenzia per la sicurezza nazionale) e FBI, insieme alle agenzie di sicurezza informatica di Australia, Canada e Nuova Zelanda. È rivolto agli ingegneri e ai difensori delle reti di comunicazione: monitoraggio delle configurazioni, registri centralizzati, segmentazione, protezione degli apparati.

Le agenzie scrivono che, alla data di pubblicazione, gli accessi individuati sfruttavano debolezze già note delle infrastrutture colpite: «no novel activity has been observed». Tra le misure indicate c'è anche questa: «Ensure that traffic is end-to-end encrypted to the maximum extent possible». Altre raccomandazioni vanno nella stessa direzione: cifrare il traffico dei registri inviati a server remoti, usare la versione 3 del protocollo di gestione SNMP con cifratura e autenticazione, disattivare le interfacce di gestione web non cifrate.

18 dicembre 2024: la guida per i telefoni

Il documento più citato è la «Mobile Communications Best Practice Guidance», pubblicata dalla CISA nella versione 1.0 il 18 dicembre 2024. Parte dall'attività di spionaggio contro le telecomunicazioni commerciali e si rivolge in particolare alle persone «highly targeted», che ricoprono alte cariche di governo o politiche e probabilmente possiedono informazioni di interesse per gli attaccanti, pur essendo, dice il testo, «applicable to all audiences». Queste persone dovrebbero dare per scontato che tutte le comunicazioni tra dispositivi mobili e servizi internet possano essere intercettate o manipolate.

Seguono indicazioni specifiche. Per iPhone: attivare la modalità di isolamento (Lockdown Mode), impedire che i messaggi partano come SMS quando iMessage non è disponibile, proteggere le richieste DNS, rivedere i permessi delle app. Per Android: scegliere modelli con aggiornamenti di sicurezza almeno mensili e garantiti per almeno cinque anni, usare i messaggi RCS solo con la cifratura end-to-end attiva, configurare il DNS privato con un risolutore affidabile.

La versione 2.0 del 24 novembre 2025

Il documento oggi pubblicato sul sito della CISA è la versione 2.0, datata 24 novembre 2025. Secondo la tabella delle modifiche, estende i destinatari alle cariche militari e aggiunge raccomandazioni per proteggere le comunicazioni cifrate da attori malevoli anche diversi da quelli cinesi. La prima raccomandazione resta la stessa e si arricchisce di consigli per le app di messaggistica, citate come «Signal and WhatsApp»:

• diffidare di chi sostiene che l'account è compromesso per indurti a compiere azioni che gli danno il controllo dell'account; non scansionare codici QR o link di invito a gruppi di provenienza sconosciuta;
• verificare gli inviti ai gruppi contattando l'amministratore per un altro canale e diffidare degli avvisi di sicurezza inattesi che chiedono PIN o codici;
• attivare la scadenza automatica dei messaggi; sui dispositivi forniti dal datore di lavoro, verificare prima che le regole di conservazione dei documenti lo consentano e che sia conforme alla legge;
• controllare l'elenco dei dispositivi collegati all'account e rimuovere subito quelli non voluti.

Sul telefono di lavoro e sui poteri del datore vedi Il telefono di lavoro: che cosa vede il datore.

Chi c'è dietro, secondo i documenti ufficiali

«Salt Typhoon» è un nome usato dalle aziende di sicurezza informatica. Due documenti ufficiali lo collegano ad attori precisi.

• Tesoro, 17 gennaio 2025. L'OFAC (Office of Foreign Assets Control, l'ufficio del Tesoro che gestisce le sanzioni) ha sanzionato Sichuan Juxinhe Network Technology Co., descritta come società di sicurezza informatica con sede nel Sichuan con «direct involvement in the Salt Typhoon cyber group», che aveva compromesso l'infrastruttura di rete di più grandi compagnie telefoniche e fornitori di accesso a internet americani.
• Avviso congiunto AA25-239A, 27 agosto 2025. «Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide to Feed Global Espionage System»: lo firmano NSA, CISA, FBI, il centro del Dipartimento della difesa per i reati informatici e agenzie di Australia, Canada, Nuova Zelanda, Regno Unito, Repubblica Ceca, Finlandia, Germania, Italia (AISE e AISI), Giappone, Paesi Bassi, Polonia e Spagna. Descrive un'attività in corso almeno dal 2021, osservata negli Stati Uniti, in Australia, Canada, Nuova Zelanda, Regno Unito e altrove, che si sovrappone in parte a quella chiamata dall'industria Salt Typhoon; gli autori scelgono di non adottare quel nome e la collegano a più società cinesi, tra cui quella sanzionata dal Tesoro.

Che cosa non dicono i documenti

La guida del 18 dicembre è un insieme di best practices, cioè raccomandazioni, non una norma. Non vieta nulla e non impone un'app. Non dice che la cifratura end-to-end elimini ogni rischio: «no single solution eliminates all risks». Non contiene indicazioni per chi entra negli Stati Uniti o per i controlli alla frontiera, che seguono regole proprie (vedi Prima di partire). E non prende posizione sulle proposte di legge che vorrebbero imporre ai fornitori la capacità di decifrare, descritte in Le proposte per indebolire la cifratura.

Fonti

CISA e FBI, «Joint Statement by FBI and CISA on PRC Activity Targeting Telecommunications» (25 ottobre 2024) e «Joint Statement from FBI and CISA on the People's Republic of China (PRC) Targeting of Commercial Telecommunications Infrastructure» (13 novembre 2024), cisa.gov. CISA, NSA, FBI e partner, «Enhanced Visibility and Hardening Guidance for Communications Infrastructure» (4 dicembre 2024). CISA, «Mobile Communications Best Practice Guidance», versione 1.0 (18 dicembre 2024) e versione 2.0 (24 novembre 2025). Department of the Treasury, «Treasury Sanctions Company Associated with Salt Typhoon and Hacker Associated with Treasury Compromise» (17 gennaio 2025), home.treasury.gov. Avviso congiunto AA25-239A (27 agosto 2025, rivisto il 3 settembre 2025), cisa.gov. 47 U.S.C. § 1002(a). Verificato il 24 settembre 2026.