Nella notte fra il 14 e il 15 maggio, i telefoni di decine di migliaia di abitanti del Wisconsin e dell’Upper Michigan hanno improvvisamente smesso di squillare. Niente chiamate, niente SMS: solo la connessione dati – e quindi le app di messaggistica – continuava a funzionare. A provocare il blackout è stato un cyberattacco che ha colpito Cellcom, l’operatore mobile regionale del gruppo Nsight, lasciando circa 75 000 clienti privi di voce e testi per oltre una settimana Light Reading.
Cosa è successo davvero
All’inizio l’azienda ha parlato di «problema tecnico», ma il 20 maggio la CEO Brighid Riordan ha confermato la natura dell’incidente: un’azione ostile portata da terze parti che ha preso di mira i sistemi di segnalazione voce e SMS, ma non i server che custodiscono i dati sensibili degli utenti BleepingComputer. Secondo l’analisi preliminare di Imperva citata da Wireless Estimator, l’attacco si è distinto per un doppio approccio DDoS: un flooding volumetrico contro i gateway SIP accompagnato da pacchetti TCP studiati per esaurire lo stato delle connessioni. In pratica, l’equivalente digitale di un ingorgo in cui migliaia di auto bloccano l’accesso e, nello stesso momento, decine di furbetti occupano ogni parcheggio libero wirelessestimator.com.
Cellcom ha immediatamente attivato il proprio piano di risposta e coinvolto FBI, FCC, CISA e consulenti specializzati. «È la procedura che pratichiamo a freddo proprio per essere pronti a gestire il caldo», ha ribadito Riordan in una lettera aperta ai clienti, aggiungendo che nessun dato finanziario o personale risulta esposto SecurityWeekWLUK.
Impatto locale, eco globale
Settantacinquemila abbonati senza voce né SMS possono sembrare pochi rispetto alle decine di milioni dei big statunitensi, ma nell’economia digitale di una comunità rurale l’effetto domino è tangibile. Le cliniche che inviano promemoria medici via testo, le aziende agricole che coordinano le squadre sui campi, persino i sistemi di autenticazione a due fattori delle banche locali: tutto si è dovuto appoggiare a soluzioni di fortuna. L’irritazione degli utenti è esplosa sui social, dove in molti hanno lamentato anche l’impossibilità di cambiare operatore perché i porting dei numeri erano bloccati dal medesimo guasto di rete BleepingComputer.
Parallelamente, la stampa specializzata ha accostato il caso Cellcom a episodi ben più eclatanti: dal ransomware che piegò Dish Network nel 2023 all’attacco che costrinse la coreana SK Telecom a regalare nuove SIM a 23 milioni di clienti Light Reading. Segno che l’assalto alle infrastrutture di telecomunicazione non è più appannaggio di «pesci grossi», ma una minaccia democratica: colpisce chiunque, ovunque, purché la superficie esposta sia allettante.
Come si è risolto il blackout
Il 27 maggio Cellcom ha annunciato che voce e SMS erano «di nuovo stabili per la maggior parte degli utenti», pur avvertendo possibili intermittenze nei giorni successivi Light Reading. La normalizzazione è passata per un reset «torre per torre», priorità alle chiamate d’emergenza e stress test continui sulle dorsali IP. A oggi l’azienda non ha rivelato – verosimilmente per motivi investigativi – se dietro l’attacco vi sia stato un ricatto economico o un’azione dimostrativa. Un ex agente FBI, intervistato da FOX 11, ha però ricordato che il silenzio mediatico fa parte delle linee guida federali: parlare troppo significa dare indizi utili agli aggressori WLUK.
Il dettaglio tecnico che (forse) ci siamo persi
Molti osservatori hanno puntato il dito contro il fatto che un carrier regionale possa perdere servizi fondamentali per così tanti giorni. In realtà, per una rete provinciale le ridondanze costano percentualmente più che a un gigante nazionale, e non sempre si dispone di dorsali alternative pronte ad assorbire un traffico DDoS da milioni di richieste al secondo. Il paradosso è che, proprio perché Cellcom non gestisce dati personali nei nodi vittima dell’attacco, i criminali hanno scelto un target (voce e SMS) dall’altissimo impatto percepito ma basso valore di rivendita sul dark web.
Un commento personale
Da addetto ai lavori trovo confortante – e insieme preoccupante – che la procedura di risposta abbia funzionato a metà: la business continuity sui servizi dati ha protetto applicazioni cruciali come WhatsApp, ma la caduta della fonia ha riportato la comunità a un’era pre-smartphone. È la dimostrazione che la resilienza non è binaria. Se non si progettano architetture zero-trust e segmentazioni «a cipolla», basta un bersaglio preciso per innescare onde d’urto sociali ed economiche.
D’altra parte, la trasparenza (per quanto filtrata dagli avvocati) con cui Cellcom ha comunicato le tappe della ripresa dovrebbe diventare best practice: ammettere il problema, spiegare i limiti attuali e indicare prossimi step consolida la fiducia, riduce la fuga di clienti e frena la disinformazione.
Dove andiamo da qui
Il caso riaccende il dibattito sul ruolo dei piccoli carrier nelle reti critiche: se da un lato garantiscono concorrenza e presidio delle aree rurali, dall’altro rischiano di diventare l’anello debole di una catena sempre più interconnessa. Servono fondi mirati alla cyber-difesa – magari attingendo al programma federale BEAD che finanzia la banda larga – e un coordinamento con le major per condividere SOC, threat intel e procedure di hardening.
In sintesi, il «cyberattacco Cellcom» non è solo una notizia di cronaca locale: è un campanello d’allarme per tutte le telco che credono di potersi nascondere nell’anonimato del proprio mercato domestico. Nel cyberspazio, i confini di stato contano poco; contano molto, invece, i confini logici fra sezioni di rete. E quelli vanno alzati oggi, non dopo il prossimo blackout.
