Casa connessa, rischio invisibile: chi protegge davvero i tuoi dispositivi

La sicurezza degli oggetti connessi non dipende soltanto dalle impostazioni scelte in casa. Una parte decisiva passa dai produttori, chiamati a correggere le vulnerabilità e a garantire aggiornamenti per un periodo adeguato. In questo quadro, il Cyber Resilience Act europeo introduce requisiti di protezione già nella fase di progettazione, regole sulla gestione dei problemi e obblighi di aggiornamento durante il supporto.

Le disposizioni principali entreranno in applicazione dall'11 dicembre 2027. È invece già attivo, dall'11 settembre 2026, il dovere di segnalare le vulnerabilità sfruttate concretamente dagli attaccanti. L'indagine della IoT Security Foundation pubblicata all'inizio del 2026 mostra però quanto il percorso sia ancora incompleto: soltanto il 40,53% dei 491 produttori esaminati offriva ai ricercatori un canale per comunicare i difetti individuati.

Un dispositivo può colpire anche altri

Quando un apparecchio viene violato, il danno non resta necessariamente confinato all'abitazione del proprietario. Il dispositivo può essere inserito in una botnet, cioè un insieme di apparecchi controllati a distanza e impiegati per attività ostili su larga scala.

L'8 ottobre 2026 il Dipartimento della Giustizia statunitense ha annunciato il sequestro di strumenti collegati a operazioni attribuite a soggetti vicini alla Cina. Secondo gli atti giudiziari richiamati dal dipartimento, una rete di apparecchi IoT infettati da una variante di Mirai veniva usata anche per individuare punti deboli in altre reti. Un prodotto domestico lasciato senza adeguata protezione può quindi trasformarsi, all'insaputa dell'utente, in una risorsa per attaccare terzi.

Questa esposizione è legata anche alle scelte commerciali dell'industria. Nei modelli più economici, mantenere bassi i prezzi e assicurare aggiornamenti software per molti anni può entrare in conflitto con gli investimenti necessari alla sicurezza. Una ricerca pubblicata su Nature nel maggio del 2026 ha analizzato proprio le fragilità strutturali degli apparecchi connessi.

Account e router sono bersagli centrali

Nella vita quotidiana, lo smartphone svolge spesso il ruolo di chiave digitale della casa: conserva credenziali, riceve notifiche e permette di impartire comandi tramite le applicazioni. Un attacco di phishing, una password usata su più servizi o un'applicazione compromessa possono esporre anche gli oggetti associati allo stesso account.

La verifica in due passaggi rende più difficile l'accesso abusivo, ma non è una protezione assoluta e non viene proposta da tutti i servizi. Anche il router richiede attenzione: la guida della FTC sulla sicurezza delle reti senza fili raccomanda una password amministrativa distinta, la cifratura WPA3 o WPA2, l'aggiornamento del firmware e una rete separata per gli ospiti.

Il controllo non si esaurisce nel dispositivo fisico. Account, applicazione mobile e piattaforma remota del produttore partecipano insieme al funzionamento di videocitofoni, serrature, prese e termostati. Se uno di questi elementi viene violato, l'intruso potrebbe consultare dati, modificare impostazioni o attivare comandi, entro i limiti previsti dal prodotto.

Privacy esposta tra schermi e telecamere

Televisori, videocamere e baby monitor mostrano con particolare chiarezza la varietà dei rischi. Una televisione intelligente può presentare falle nel software e raccogliere informazioni sulle abitudini di visione. Nel 2017, negli Stati Uniti, Vizio fu accusata dalla FTC di acquisire dati sui contenuti guardati dagli utenti.

Nel 2023 un procedimento riguardò invece Amazon Alexa, con contestazioni relative alla conservazione delle registrazioni vocali dei bambini e alle modalità di eliminazione delle informazioni. Questi casi riguardano non solo il funzionamento tecnico dell'apparecchio, ma anche il trattamento dei dati da parte del fornitore.

Le telecamere domestiche aggiungono immagini, suoni e indicazioni sugli orari in cui una casa è occupata. Nel caso Ring, la FTC contestò accessi impropri ai filmati da parte di personale e soggetti esterni, oltre a carenze che avevano agevolato l'ingresso negli account. Lo stesso principio vale per serrature e altri dispositivi: una falla può avere conseguenze sulla riservatezza oppure sulla sicurezza fisica.

Il caso francese mostra il rischio materiale

La differenza tra un impianto industriale e un oggetto domestico resta significativa, ma entrambi possono unire controllo fisico e collegamento digitale. L'OT, tecnologia operativa, comprende infatti i sistemi che sorvegliano e comandano processi o apparecchiature reali; l'IoT identifica invece gli oggetti capaci di raccogliere dati, intervenire sull'ambiente e comunicare attraverso una rete. Le due dimensioni possono sovrapporsi, come accade con una caldaia gestita da sensori e applicazioni.

Nel campo domestico rientrano televisori, telecamere, videocitofoni, termostati, lampadine, serrature, robot aspirapolvere, lavatrici e frigoriferi intelligenti. Anche Amazon Echo e Google Nest appartengono a questo insieme, così come smartwatch e braccialetti per l'attività fisica, che acquisiscono dati tramite sensori e li inviano a uno smartphone o a servizi online.

La portata concreta di un attacco è emersa nella notte tra l’11 e il 12 ottobre, quando i sistemi di refrigerazione di centinaia di supermercati francesi sono stati colpiti da un'intrusione informatica. Alcune apparecchiature hanno raggiunto 50 °C e i punti vendita coinvolti hanno dovuto distruggere consistenti quantità di prodotti freschi e surgelati.

Gli aggressori avrebbero interferito con la funzione di sbrinamento, gestita dai sistemi elettronici di controllo. In un impianto di questo tipo l'OT regola temperature, cicli di lavoro e allarmi: una compromissione può quindi interrompere il servizio, rovinare le merci e creare rischi per le persone. Gli apparecchi di casa sono meno articolati, ma il principio rimane: ogni oggetto connesso va protetto in base ai dati che custodisce e alle azioni che può compiere.