Accadde Oggi – 4 maggio 2000: L’e-mail d’amore che mise in ginocchio il mondo digitale

Il 4 maggio del 2000, milioni di utenti si trovarono davanti a un’email dall’oggetto apparentemente innocuo: “ILOVEYOU“. Un messaggio che sembrava romantico, forse un po’ ingenuo, ma che celava una delle più grandi insidie informatiche della storia: un virus, anzi un worm, destinato a entrare nella leggenda della cybersecurity.

Nel giro di poche ore, quel file allegato mise in ginocchio sistemi informatici in tutto il mondo: aziende, istituzioni, governi. Fu l’alba della prima vera emergenza cibernetica del XXI secolo, e per molti la brusca scoperta della vulnerabilità digitale in un’epoca che stava appena iniziando a connettersi.

Nel corso di due settimane, oltre 50 milioni di computer vennero infettati. Una propagazione così rapida e capillare da restare, ancora oggi, un caso di studio nei manuali di sicurezza informatica. Nessun attacco fino ad allora aveva colpito con tanta forza. E sebbene negli anni siano seguiti attacchi ben più sofisticati – da Stuxnet, il malware che sabotò gli impianti nucleari iraniani, fino ai moderni ransomware che paralizzano ospedali e intere città – ancora oggi a 25 anni di distanza, il worm ILOVEYOU resta una pietra miliare. Non tanto per la sua potenza, ma per ciò che ci ha insegnato.

Una lettera (malevola) d’amore

Il trucco era tanto semplice quanto efficace. L’email sembrava provenire da un contatto fidato e conteneva un allegato dal nome: “LOVE-LETTER-FOR-YOU.TXT.vbs”. All’epoca, Windows nascondeva per impostazione predefinita l’estensione dei file, rendendo invisibile quel “.vbs” (che indicava uno script eseguibile) e facendo sembrare il file un normale documento di testo.

Nel corpo del messaggio, poche parole in un inglese stentato: “Kindly check the attached LOVELETTER coming from me.” Bastò questo per disarmare la diffidenza e spingere milioni di utenti a cliccare. Un solo clic per scatenare l’infezione.

Un virus semplice, ma devastante

ILOVEYOU era un worm: un malware in grado di replicarsi e diffondersi autonomamente. Scritto in Visual Basic Script, utilizzava Microsoft Outlook per auto-inviarsi a tutti i contatti dell’utente infetto. Una volta attivato, sovrascriveva file multimediali e documenti, rendeva alcuni file invisibili, modificava la home page di Internet Explorer e, in certi casi, scaricava software in grado di sottrarre password.

L’attacco non richiedeva particolari abilità da parte dell’utente: faceva leva su funzioni standard di Windows e su un gesto quotidiano, quasi istintivo. Proprio l’estrema semplicità del meccanismo fu la chiave del successo.

Una diffusione globale inarrestabile

Partito dalle Filippine, il worm raggiunse in poche ore Hong Kong, l’Europa e infine gli Stati Uniti. In meno di 24 ore, il contagio era fuori controllo. Negli Usa, il Dipartimento della Difesa, la Cia e la Nasa subirono gravi interruzioni operative. In Europa, il Parlamento britannico fu costretto a spegnere i propri server di posta elettronica per due ore. Anche in Italia, tra i colpiti ci fu il Ministero del Tesoro.

Le contromisure furono drastiche: molte multinazionali e agenzie pubbliche disattivarono temporaneamente la posta elettronica pur di contenere ed eliminare la minaccia.

Secondo le stime dell’epoca, il worm causò danni per circa 5,5 miliardi di dollari, una cifra che includeva non solo la perdita di dati, ma anche le interruzioni operative, gli interventi d’emergenza e i costi per il ripristino dei sistemi.

Chi c’era dietro ILOVEYOU

Ma chi c’era davvero dietro a ILOVEYOU? Nessuno Stato, nessun gruppo criminale organizzato. Le indagini portarono a Manila, nelle Filippine, dove l’autore venne individuato in Onel de Guzmán, uno studente universitario di 23 anni. Proprio lui, mesi prima, aveva presentato una tesi incentrata sulla creazione di un software capace di ottenere accesso gratuito a Internet. Secondo gli inquirenti, da quel lavoro nacque il worm.

De Guzmán fu identificato ma non venne mai condannato. All’epoca, la legge filippina non contemplava ancora i reati informatici, e mancava del tutto un quadro giuridico internazionale in grado di colmare il vuoto normativo.

In un’intervista rilasciata al Guardian nel 2020, de Guzmán ammise la paternità del virus, spiegando di aver agito per motivi economici: non poteva permettersi una connessione a Internet stabile e cercava un modo per procurarsi credenziali di accesso gratuite.

Il virus che ha cambiato la sicurezza digitale

ILOVEYOU lasciò un’eredità profonda e cambiò la cybersecurity per sempre. Microsoft fu costretta a modificare alcune impostazioni predefinite di Windows e Outlook. I produttori di antivirus iniziarono a sviluppare strumenti in grado di rilevare comportamenti sospetti, non solo firme digitali già note.

Tra le curiosità tecniche: il worm conteneva stringhe come “WIN-BUGSFIX” e utilizzava il dominio reale skyinet.net per reindirizzare i browser infetti. Era la versione più aggressiva e raffinata di un altro virus circolato poco prima: Melissa, che si limitava a spedire l’email a 50 contatti. ILOVEYOU non aveva limiti.

Il vero punto debole: l’essere umano

La vera novità – e il lascito più duraturo del worm ILOVEYOU – fu un altro: per la prima volta, un attacco informatico su scala globale non sfruttava una vulnerabilità tecnica, ma una debolezza psicologica. Non un bug nel software, ma nell’essere umano. L’arma decisiva fu l’ingegneria sociale: la capacità di manipolare emozioni e comportamenti per spingere l’utente a fidarsi. Niente exploit sofisticati, solo una falsa dichiarazione d’amore. Una trappola ben confezionata, che faceva leva su una reazione istintiva e universale: “Ma sì, sarà carino, ci clicco.”

Come osservò Greg Day, esperto di sicurezza informatica: “Il concetto di ingegneria sociale utilizzato dal virus è stato estremamente efficace e, purtroppo, continua ad avere successo ancora oggi“.

Da allora, il crimine informatico ha fatto passi da gigante. Siamo passati dai worm ai ransomware che chiedono riscatto in bitcoin, dagli attacchi via email ai deepfake che imitano volti e voci per truffare. Eppure, il cuore del problema resta invariato: la vulnerabilità più pericolosa non è nel software, ma nella natura umana. Curiosità, distrazione, desiderio di fidarsi: basta un’email amichevole, un nome familiare, un link apparentemente innocuo per aprire la porta all’intrusione. E così, ILOVEYOU, un virus romantico solo nel nome, continua ancora oggi a ricordarci quanto fragile sia il cyberspazio.